Certificats·Majeure

eMudhra : 8 clés d'autorité de certification ont fuité

AtténuéConcerne les propriétaires de sites

eMudhra (emSign ECC Root CA - G3), Chrome, Firefox, Node.js

Ce que ça change pour vous

Rien à faire ; votre navigateur bloque déjà les certificats compromis.

Les clés secrètes de huit certificats intermédiaires d'eMudhra ont fuité, ce qui aurait pu permettre à quelqu'un de falsifier le cadenas de n'importe quel site. Chrome, Android et Firefox les ont bloquées en quelques heures : les utilisateurs ordinaires sont protégés automatiquement.

Début : 17 oct. 2026Mis à jour : 21 oct. 2026

Poster sur X

Que faire ?

Vous: Rien à faire. Chrome et Firefox ont été protégés automatiquement ; sur Android, vous pouvez redémarrer l'appareil pour recevoir la mise à jour tout de suite.
Si vous gérez un site ou une appli: Si le certificat de votre site remonte à emSign ECC Root CA - G3, obtenez un nouveau certificat TLS auprès d'une autre autorité de confiance avant le 27 octobre 2026, date à laquelle Chrome cessera de faire confiance à cette racine. Mettez à jour les logiciels qui embarquent leur propre liste d'autorités.

Ce qui est touché

eMudhra (emSign ECC Root CA - G3)
Chrome
FirefoxCorrigé dans 158.0.1, ESR 115.43.1, ESR 153.5.1
Node.jsCorrigé dans 22.23.4, 24.22.1, 26.12.1

Chronologie

Atténué · 21 oct. 2026
Les versions de sécurité de Node.js mettent à jour le magasin d'autorités intégré après la compromission d'eMudhra.
nodejs.org
Atténué · 20 oct. 2026
Google et Mozilla publient les détails. Google retire emSign ECC Root CA - G3 du Chrome Root Store, avec un déploiement sur tous les appareils le 27 octobre 2026. Aucun certificat rattaché aux autorités concernées n'avait été consigné dans Certificate Transparency avant le blocage.
Google
Atténué · 17 oct. 2026
Firefox bloque les certificats via OneCRL pour tous les utilisateurs avec les réglages standard.
Mozilla
Identifié · 17 oct. 2026
Un chercheur signale que les clés privées de huit certificats d'autorité intermédiaires d'eMudhra sont compromises. Chrome confirme et déploie le jour même un blocage via CRLSet.
Google

Sources

Faille de sécurité21 oct.Node.js : quatre failles de gravité élevée corrigéesNode.js, qui fait tourner le côté serveur de nombreux sites et applications, a corrigé 10 failles, dont une dans sa décompression Brotli qui pouvait faire exécuter du code à partir de données d'un attaquant. Les visiteurs n'ont rien à faire ; les développeurs doivent mettre à jour Node.js.Correctif dispoConcerne les développeurs

eMudhra : 8 clés d'autorité de certification ont fuité

Que faire ?

Ce qui est touché

Chronologie

Sources

Lié