Saltar para o conteúdoistheinternetok
Todos os incidentes

Certificados·Grave

eMudhra: 8 chaves de autoridades de certificação foram divulgadas

MitigadoAfeta quem tem um site
eMudhra (emSign ECC Root CA - G3), Chrome, Firefox, Node.js

O que muda para si

Nada a fazer; o seu navegador já bloqueia os certificados divulgados.

As chaves secretas de oito certificados intermédios da eMudhra foram divulgadas, o que podia ter permitido falsificar o cadeado de qualquer site. O Chrome, o Android e o Firefox bloquearam-nos em poucas horas, por isso os utilizadores comuns ficam protegidos automaticamente.

Início: 17 de out. de 2026Atualizado: 21 de out. de 2026

Publicar no X

O que devo fazer?

Você
Não é preciso fazer nada. O Chrome e o Firefox ficaram protegidos automaticamente; no Android, pode reiniciar o dispositivo para receber já a atualização.
Se gere um site ou uma app
Se o certificado do seu site deriva da emSign ECC Root CA - G3, obtenha um novo certificado TLS de outra AC de confiança antes de 27 de outubro de 2026, data em que o Chrome deixa de confiar nessa raiz. Atualize o software que traz o seu próprio conjunto de ACs.

O que é afetado

Cronologia

  1. Mitigado · 21 de out. de 2026

    As versões de segurança do Node.js atualizam o repositório de ACs incluído, por causa do comprometimento da eMudhra.

    nodejs.org

  2. Mitigado · 20 de out. de 2026

    A Google e a Mozilla publicam os detalhes. A Google retira a emSign ECC Root CA - G3 do Chrome Root Store, com implementação em todos os dispositivos a 27 de outubro de 2026. Antes do bloqueio, nenhum certificado ligado às ACs afetadas tinha sido registado no Certificate Transparency.

    Google

  3. Mitigado · 17 de out. de 2026

    O Firefox bloqueia os certificados através do OneCRL para todos os utilizadores com as definições padrão.

    Mozilla

  4. Identificado · 17 de out. de 2026

    Um investigador comunica que as chaves privadas de oito certificados de AC intermédia da eMudhra estão comprometidas. O Chrome confirma e aplica no mesmo dia um bloqueio via CRLSet.

    Google

Fontes

Relacionado