Alert GCSA-26280 - Compromessi otto certificati della CA eMudhra

-----BEGIN PGP SIGNED MESSAGE----- Hash: SHA256 ****************************************************************** alert ID: GCSA-26280 data: 21 ottobre 2026 titolo: Compromessi otto certificati della CA eMudhra ****************************************************************** :: Descrizione del problema L'autorita' di certificazione eMudhra ha revocato otto certificati intermedi compromessi, dopo che dei ricercatori hanno scoperto che le loro chiavi private erano cosi' deboli che chiunque poteva recuperarle quasi istantaneamente. Questi certificati erano ritenuti trusted da browser e sistemi operativi. L'incidente si e' verificato per un errore di scripting, durante il processo di generazione le chiavi private sono state create con una lunghezza di un solo byte. Poiche' le chiavi sono deboli, un aggressore puo' creare un certificato forgiato per qualsiasi sito web, usarlo per impersonare i server ed intercettare o modificare il traffico. Il problema e' stato segnalato la sera del 17 ottobre, Google e Mozilla hanno bloccato gli otto certificati nei propri browser, nel giro di poche ore. Pero' altri software che hanno un proprio bundle CA, potrebbero richiedere un aggiornamento esplicito. Maggiori informazioni sono disponibili alla sezione "Riferimenti". :: Software interessato La seguente lista non e' completa Go Mozilla Firefox / Thunderbird NSS Certifi: Python SSL Certificates Node.js prodotti Cloudflare Ubuntu ca-certificates Debian ca-certificates Gentoo ca-certificates FreeBSD ca_root_nss Python pip :: Impatto Attacco all'integrita' dei dati (Data Manipulation) Bypass delle funzionalita' di sicurezza (SFB) Accesso a dati riservati (ID) Spoofing (Provide Misleading Information) :: Soluzioni Aggiornare i software interessati. :: Riferimenti eMudhra Intermediate CA Compromise https://emudhra.we-have-a-problem.com/ https://arstechnica.com/security/2026/10/the-internet-goes-on-high-alert-after-discovery-of-8-compromised-tls-certs/ Mozilla Security Blog https://blog.mozilla.org/security/2026/10/20/protecting-firefox-users-following-the-compromise-of-emudhra-intermediate-certificates/ https://bugzilla.mozilla.org/show_bug.cgi?id=2083449#c5 Goggle Security Blog https://blog.google/security/protecting-chrome-and-android-users-from-compromised-emudhra-intermediate-ca-certificates/ https://groups.google.com/a/mozilla.org/g/dev-security-policy/c/0R3XLJL6FuE/m/Kp1v6CPuAAAJ Rescana https://www.rescana.com/post/emudhra-intermediate-ca-key-compromise-october-2026 Cloudflare Blog https://blog.cloudflare.com/emudhra-certificate-compromise/ The Hacker News https://thehackernews.com/2026/10/eight-emudhra-ca-keys-compromised.html Bleeping Computer https://www.bleepingcomputer.com/news/security/mozilla-google-apple-block-compromised-emudhra-ca-certificates/ Debian Advisory https://lists.debian.org/debian-security-announce/2026/msg00487.html https://security-tracker.debian.org/tracker/DSA-6572-1 https://lists.debian.org/debian-lts-announce/2026/10/msg00039.html https://security-tracker.debian.org/tracker/DLA-4845-1 Ubuntu Security Notices https://ubuntu.com/security/notices/USN-8944-1 https://ubuntu.com/security/notices/USN-8944-2 GARR CERT Security Alert - subscribe/unsubscribe: http://www.cert.garr.it/alert/ricevi-gli-alert-di-cert -----BEGIN PGP SIGNATURE----- iF0EAREIAB0WIQTGpdiR5MqstacBGHbBnEyTZRJgQgUCatjJ3AAKCRDBnEyTZRJg QpUWAJ4rhNMPxtxev1pejuZ0mc5/+rPysACfY/PyuUd1IK1BLyvMkvUCxCXmLhM= =t7g3 -----END PGP SIGNATURE-----