نفوذ به کلیدهای هشت گواهی eMudhra؛ Cloudflare بخشی از خدماتش را به‌روزرسانی کرد

Cloudflare در ۱۹ اکتبر ۲۰۲۶، حدود ساعت ۱۷ به‌وقت UTC، از به‌خطر‌افتادن کلیدهای خصوصی هشت گواهی میانی eMudhra مطلع شد. این گواهی‌ها در مرورگرها، سیستم‌عامل‌ها و Cloudflare قابل اعتماد بودند. به‌گفتهٔ این شرکت، ضعیف‌بودن کلیدها می‌تواند به مهاجم امکان دهد برای هر دامنه‌ای گواهی جعلی بسازد و با جعل هویت سرور، ترافیک را رهگیری یا دست‌کاری کند.

Cloudflare اعلام کرد بررسی امنیتی‌اش نشانه‌ای از بهره‌برداری فعال از این مسئله در خدمات این شرکت پیدا نکرده است. این شرکت پیش از افشای عمومی آسیب‌پذیری، وصله‌کردن خدمات حیاتی را در اولویت گذاشت و برای محصولات CDN، Developer و Zero Trust اقدام‌های کاهشی اجرا کرد. همچنین به‌روزرسانی‌هایی برای Cloudflare One Client، اپلیکیشن 1.1.1.1 و Cloudflare Tunnel منتشر کرده است. کاربران Zero Trust با Gateway که از کلاینت به‌روز استفاده می‌کنند، بنا بر اعلام شرکت به‌طور خودکار محافظت می‌شوند.

Cloudflare علاوه بر به‌روزرسانی خدماتی که برای احراز هویت مقصدهای راه دور به گواهی‌های عمومی متکی‌اند، مخازن اعتماد مشترک و imageهای پایه را نیز به‌روزرسانی کرده و برای فعال‌شدن تغییرات، برخی سرویس‌ها را دوباره بارگذاری یا راه‌اندازی کرده است. برنامه‌هایی که مخزن اعتماد اختصاصی یا گنجانده‌شده دارند، جداگانه بررسی شده‌اند. شرکت تأکید می‌کند این اقدام‌ها به احراز هویت مبتنی بر گواهی مربوط‌اند، نه ضعف در الگوریتم‌های رمزگذاری TLS.

به‌روزرسانی‌های اعلام‌شده برای Cloudflare One Client عبارت‌اند از نسخهٔ ۲.۵.۷ در Android، نسخهٔ ۱.۱۲.۷ در iOS و نسخهٔ ۲۰۲۶.۸.۲۱۱۵.۰ در Windows، macOS و Linux. Cloudflare می‌گوید کار اصلاحات ادامه دارد و برخی مشتریان، به‌ویژه در تنظیمات نرم‌افزار یا اعتماد گواهی روی سرورهای مبدأ خود، باید اقدام کنند. اطلاعات منبع دربارهٔ نسخهٔ پیشنهادی اپلیکیشن 1.1.1.1 ناقص است.