Обнаружение крупной проблемы с безопасностью в eMudhra вызвало волнение, поднимая вопросы о потенциальной угрозе данным интернет-пользователей. В центре внимания находится вопрос о слабых криптографических закрытых ключах eMudhra.
Google и Mozilla приняли решение заблокировать затронутые сертификаты. Возникает закономерный вопрос о том, подвержены ли данные индийских пользователей опасности, а также какие ответы должна дать проверка Министерства электроники и информационных технологий (MeitY).
В течение последних суток в сфере кибербезопасности произошел значительный всплеск событий. Серьезные проблемы с безопасностью были выявлены в различных областях — от программного обеспечения для веб-сайтов и цифровых сертификатов до инструментов искусственного интеллекта и облачных платформ. Среди обнаруженных недостатков были уязвимости, позволяющие злоумышленникам выполнять свой код на сервере, а также случаи внедрения вредоносного кода непосредственно в обновления программного обеспечения.
Одним из громких инцидентов стало дело, касающееся цифровых сертификатов индийской компании eMudhra, которое привлекло внимание мирового сообщества в области кибербезопасности.
Возникает вопрос о причинах одновременного возникновения такого количества проблем. Ранее лидеры в области ИИ предупреждали, что мощные модели ИИ способны находить недостатки в программном обеспечении гораздо быстрее, чем люди. Общественность опасается, что если скорость обнаружения уязвимостей ИИ превысит скорость их устранения, безопасность и конфиденциальность пользователей по всему миру окажутся под угрозой.
Эти инциденты вновь продемонстрировали, что безопасность интернета не зависит исключительно от одной компании или веб-сайта. Доверие к интернету поддерживается взаимодействием множества компонентов, таких как браузеры, серверы, обновления ПО и цифровые сертификаты. Сбой в любом из этих элементов может повлиять на другие сервисы и компании. Хотя на данный момент о крупных потерях не сообщается, дальнейшая оценка ситуации еще требуется.
Наиболее значимым событием стал обнаружение двух критических уязвимостей в языковом программирования PHP. PHP широко используется для создания веб-сайтов и веб-приложений, и многие серверы работают на этой платформе. Индийское агентство по кибербезопасности CERT-In выпустило предупреждение об этих уязвимостях 21 октября, присвоив им идентификаторы CVE-2026-109618 и CVE-2026-109619.
Используя эти уязвимости, атакующие могли выполнять свой код на некоторых слабых серверах без необходимости авторизации. Это создавало риск получения контроля над сервером и воздействия на работающие на нем сервисы. Команда PHP выпустила новые обновления безопасности для исправления этих недостатков: для PHP 8.5 — 8.5.12, для PHP 8.4 — 8.4.27, для PHP 8.3 — 8.3.36 и для PHP 8.2 — 8.2.35. Пользователям пострадавших сайтов и серверов было рекомендовано оперативно установить соответствующие обновления.
После обнародования информации о рисках, активность злоумышленников значительно увеличилась. Согласно отчету Reuters от 22 октября, Cloudflare зафиксировал резкий скачок попыток атак на PHP после того, как информация об уязвимостях стала общедоступной. Если ранее такие попытки насчитывали тысячи, то после раскрытия их число достигло миллионов. Многие государственные службы и компании в разных странах начали ускоренно проверять свои системы и применять обновления безопасности.
Тем не менее, попытка атаковать систему и успешное хищение данных — это два разных процесса. Первоначальные отчеты не подтвердили наличие каких-либо масштабных успешных атак, связанных с этим инцидентом.
В истории с уязвимостями PHP присутствует и аспект, связанный с искусственным интеллектом. По данным OpenAI, одна из критических уязвимостей была обнаружена с помощью GPT-5.6 Sol в рамках инициативы компании «Patch the Planet». Независимо, компания Wiz также самостоятельно обнаружила и сообщила об обеих уязвимостях. После этого команда PHP и другие компании по безопасности совместно работали над их исправлением.
Этот случай демонстрирует, что искусственный интеллект может применяться не только для генерации контента или ответов на вопросы, но и для поиска скрытых уязвимостей в программном обеспечении. Подобные технологии могут помочь командам по безопасности быстрее идентифицировать недостатки и разрабатывать решения. Однако существует и обратная сторона: если злоумышленники начнут использовать аналогичные методы для поиска уязвимостей, подготовки атак и определения слабых систем, время реакции компаний сократится. Поэтому растет обеспокоенность тем, что атаки могут стать более быстрыми, несмотря на надежды на укрепление кибербезопасности с помощью ИИ.
Параллельно возникла проблема, связанная с цифровыми сертификатами индийской компании eMudhra. Эта компания занимается выпуском цифровых сертификатов, которые используются для обеспечения защищенного соединения в интернете. Такие сертификаты помогают браузерам определить, является ли веб-сайт надежным, и гарантируют, что защищенное соединение направляется на нужный ресурс.
Согласно CERT-In, восемь промежуточных сертификатов eMudhra имели уязвимость в том, что их частные криптографические ключи были сформированы небезопасным способом. Эти ключи...
Компания eMudhra столкнулась с пристальным вниманием после обнаружения критической слабости в восьми промежуточных ключах центров сертификации, связанных с ее глобальным бизнесом по обеспечению безопасности веб-сайтов. Эта уязвимость вызывает серьезные опасения относительно систем, которые браузеры используют для установления доверия в сети.
Данный недостаток потенциально позволял злоумышленникам создавать поддельные HTTPS-сертификаты и выдавать себя за легитимные веб-ресурсы. Согласно заявлению eMudhra от 21 октября 2026 года, ключи были сгенерированы 30 апреля 2025 года, однако слабость оставалась незамеченной около восемнадцати месяцев.
Центр сертификации (CA) отвечает за проверку подлинности и выпуск цифровых сертификатов. Промежуточные органы функционируют под эгидой корневого сертификата, которому доверяют браузеры и операционные системы.
eMudhra сообщила, что во время процедуры генерации ключей произошел этап оборачивания/распаковывания ключа, который создал второй, слабый набор ключей, впоследствии опубликованный в хранилищах корневых сертификатов браузеров. Хотя компания заверила, что ее корневой закрытый ключ не был скомпрометирован, операторы браузеров приняли превентивные меры и отозвали доверие к связанному корневому CA emSign ECC Root CA - G3.
Команда по безопасности Chrome от Google предупредила, что данная уязвимость позволяет любому человеку подделать доверенные HTTPS-сертификаты для имитации любого сайта против клиентов, которые еще не удалили доверие к этим CA. Google заблокировал затронутые ключи и планирует удалить родительский корень из хранилища доверия Chrome к 27 октября по тихоокеанскому времени. В результате некоторые законные сайты, использующие сертификаты под этим корнем, могут перестать работать в Chrome.
Тем временем Mozilla заблокировала затронутые сертификаты в Firefox в течение трех часов после получения сообщения и выпустила обновления программного обеспечения для расширения защиты пользователям, которые могут не получить автоматическую защиту.
Непосредственное влияние инцидента представляется ограниченным, хотя расследование продолжается. eMudhra подчеркнула, что ни один из восьми затронутых промежуточных органов не выпускал сертификаты конечных пользователей, ее инфраструктура не была скомпрометирована и утечки данных не произошло. Компания выявила одну затронутую экосистему клиентов в Соединенных Штатах, где происходит замена сертификатов.
Компания также отметила, что ее услуги по цифровой подписи и eSign в Индии, работающие на отдельной инфраструктуре, остались незатронутыми. Признавая неопределенность относительно причины, eMudhra заявила: «Мы еще не подтвердили точную первопричину. Мы опубликуем ее полностью после завершения нашего расследования».
Этот инцидент высвечивает более широкую проблему для индустрии цифрового доверия. Шифрование способно защищать коммуникации, но только в том случае, если сертификаты, удостоверяющие личность веб-сайта, надежны. Поэтому компании-производители браузеров поддерживают собственные списки доверенных сертификатов и могут аннулировать принятие, когда контроль поставщика дает сбой.
Публичные журналы прозрачности сертификатов также помогают обнаруживать подозрительный выпуск сертификатов. Сложный вопрос для eMudhra заключается в том, как слабость такого масштаба могла избежать обнаружения в ходе двух циклов аудита. Компания заявила, что пересматривает свои процедуры генерации ключей и предлагает корпоративным клиентам сертификаты от дополнительного центра сертификации для снижения зависимости от единой цепочки доверия.
