Dutch follows English
Eight intermediate CA certificates used to verify secure internet connections have been compromised, potentially allowing attackers to forge certificates for any domain and impersonate websites or services. While major browsers are protected, many other systems remain vulnerable and require immediate updates.
Description
On October 17, 2026, security researchers discovered that eight intermediate TLS certificates from Certificate Authority eMudhra Limited were compromised due to extremely weak private keys. [1] TLS certificates are the digital credentials that verify websites are who they claim to be when you see the padlock icon in your browser.
The compromised certificates had private keys with only 3-8 bits of entropy instead of the normal 384 bits. [2] This catastrophic weakness meant anyone could use these certificates to create fake but trusted certificates for any website on the Internet, including banks, email providers, or corporate systems.
Security researchers demonstrated this by creating a valid certificate for Google's domain. The incident affects TLS connections used across the Internet, not just web browsers. [1]
Impact
We estimate the impact of these vulnerabilities as critical.
This compromise breaks a fundamental trust mechanism of the Internet. Attackers possessing these certificates can impersonate any website or service to intercept encrypted communications. [3] While this requires the attacker to position themselves between you and the real website (called a "man-in-the-middle attack"), such attacks are possible on local networks like coffee shops, airports, corporate networks, or by well-resourced attackers controlling Internet infrastructure.
Potentially affected systems include systems that still trust the compromised certificate chains, particularly:
- VPN connections
- Linux systems awaiting security updates
- IoT and embedded devices
- Docker containers and forgotten servers
- Applications using their own certificate stores (Python tools, CLI applications)
Applications like Signal and WhatsApp that use their own encryption are not affected. Major browsers (Chrome, Firefox, Safari) have been updated, though Windows 10 Edge remains vulnerable. [2]
Risk
We estimate the risk of these vulnerabilities as high.
While exploitation requires an attacker to intercept network traffic, the widespread nature of affected systems and the potentially time consuming remediation create significant risk.
Most at risk are:
- VPN users
- Users on untrusted or public networks (corporate, university, public WiFi)
- Organizations with IoT devices or embedded systems
- Systems that cannot be easily updated
Currently, there are no reports of malicious exploitation detected in certificate transparency logs, but the compromise has been publicly proven by successfully signing data with the private keys of all eight affected intermediate certificates [2].
Mitigation
The compromised certificates should be revoked from all systems and applications relying on SSL certificates for communication. Below are mitigating actions which can be taken for some of the different systems and applications. Please check the relevant steps required for all systems within your environment [3]. More details and specific instructions for different systems shared on the eMudhra incident website [4].
- Update CA certificate packages immediately (ca-certificates on Debian/Ubuntu)
- On Debian systems, run sudo dpkg-reconfigure ca-certificates and deselect eMudhra certificates
- Please also update to the latest versions which are shown on eMudhra Intermediate CA Compromise [4].
- On NetBSD, use certctl untrust commands for eMudhra root certificates
- Inventory and prioritize updates for IoT devices, embedded systems, and Docker containers
- Ensure all language-specific certificate stores are monitored and updated, including Python (pip and certifi packages in all venvs), Go trust stores, Java cacerts, Node.js CA bundles, .NET certificate stores, and other application runtimes affected by the eMudhra certificate changes. Please be aware that some of those dependencies may also be used indirectly. See eMudhra incident website [4] for details.
What should you do?
- Immediately update certificate authority bundles on all Linux servers and workstations
- Create an inventory of IoT devices, embedded systems, and appliances that use TLS
- Contact vendors for update timelines on systems that cannot be easily patched
- Test critical applications to ensure they properly reject the compromised certificates
- Review VPN infrastructure and update certificate stores
- Monitor certificate transparency logs for any unauthorized certificates issued for your domains
What will Northwave do?
Northwave MDR is actively monitoring for any exploitation attempts using the compromised eMudhra certificates in customer environments. We have updated our detection systems for customers with a NIDS to identify and alert on “Man-in-the-Middle” attacks using these compromised certificates.
Do you have an incident right now? Call our Incident Response Team: 00800 1744 0000
Disclaimer applies, see below.
Sources
Acht intermediaire CA-certificaten die worden gebruikt om beveiligde internetverbindingen te verifiëren, zijn gecompromitteerd. Hierdoor kunnen aanvallers mogelijk certificaten voor elk domein vervalsen en zich voordoen als websites of diensten. Hoewel grote browsers beschermd zijn, blijven veel andere systemen kwetsbaar en moeten deze onmiddellijk worden bijgewerkt.
Beschrijving
Op 17 oktober 2026 ontdekten beveiligingsonderzoekers dat acht intermediaire TLS-certificaten van certificaatautoriteit eMudhra Limited waren gecompromitteerd als gevolg van extreem zwakke privésleutels. TLS-certificaten zijn de digitale referenties die bevestigen dat websites daadwerkelijk zijn wie zij beweren te zijn wanneer u het hangslotpictogram in uw browser ziet.
De gecompromitteerde certificaten beschikten over privésleutels met slechts 3 tot 8 bits entropie in plaats van de gebruikelijke 384 bits. Deze catastrofale zwakte betekende dat iedereen deze certificaten kon gebruiken om vervalste maar vertrouwde certificaten aan te maken voor elke website op het internet, inclusief banken, e-mailproviders of bedrijfssystemen.
Beveiligingsonderzoekers hebben dit aangetoond door een geldig certificaat voor het domein van Google aan te maken. Het incident heeft gevolgen voor TLS-verbindingen op het gehele internet, en niet alleen voor webbrowsers.
Impact
Wij schatten de impact van deze kwetsbaarheden in als kritiek.
Deze compromittering ondermijnt een fundamenteel vertrouwensmechanisme van het internet. Aanvallers die over deze certificaten beschikken, kunnen zich voordoen als iedere website of dienst om versleutelde communicatie te onderscheppen. Hoewel hiervoor vereist is dat een aanvaller zich tussen u en de echte website positioneert (een zogenaamde man-in-the-middle-aanval), zijn dergelijke aanvallen mogelijk op lokale netwerken zoals cafés, luchthavens, bedrijfsnetwerken, of door goed uitgeruste aanvallers die internetinfrastructuur controleren.
Mogelijk getroffen systemen zijn systemen die de gecompromitteerde certificaatketens nog steeds vertrouwen, met name:
- VPN-verbindingen
- Linux-systemen die nog wachten op beveiligingsupdates
- IoT- en embedded-apparaten
- Docker-containers en vergeten servers
- Applicaties die hun eigen certificaatopslag gebruiken (Python-tools, CLI-applicaties)
Applicaties zoals Signal en WhatsApp die hun eigen versleuteling gebruiken, worden niet getroffen. Grote browsers (Chrome, Firefox en Safari) zijn bijgewerkt, hoewel Windows 10 Edge nog steeds kwetsbaar blijft.
Risico
Wij schatten het risico van deze kwetsbaarheden in als hoog.
Hoewel misbruik vereist dat een aanvaller netwerkverkeer onderschept, zorgen de grote hoeveelheid getroffen systemen en de mogelijk tijdrovende herstelmaatregelen voor een aanzienlijk risico.
Het grootste risico loopt:
- VPN-gebruikers
- Gebruikers op niet-vertrouwde of openbare netwerken (bedrijfsnetwerken, universiteiten, openbare wifi)
- Organisaties met IoT-apparaten of embedded systemen
- Systemen die niet eenvoudig kunnen worden bijgewerkt
Op dit moment zijn er geen meldingen van kwaadaardig misbruik aangetroffen in certificate transparency logs. Wel is publiekelijk aangetoond dat de privésleutels van alle acht getroffen intermediaire certificaten succesvol konden worden gebruikt om gegevens te ondertekenen.
Mitigatie
De gecompromitteerde certificaten moeten worden ingetrokken op alle systemen en applicaties die SSL-certificaten gebruiken voor communicatie. Hieronder staan enkele mitigerende maatregelen voor verschillende systemen en applicaties. Controleer welke stappen van toepassing zijn op alle systemen binnen uw omgeving. Meer details en specifieke instructies voor verschillende systemen zijn beschikbaar op de incidentwebsite van eMudhra.
- Werk CA-certificaatpakketten onmiddellijk bij (ca-certificates op Debian/Ubuntu).
- Voer op Debian-systemen sudo dpkg-reconfigure ca-certificates uit en deselecteer de eMudhra-certificaten.
- Werk tevens bij naar de meest recente versies die vermeld staan op eMudhra Intermediate CA Compromise.
- Gebruik op NetBSD de certctl untrust-opdrachten voor de eMudhra-rootcertificaten.
- Maak een inventarisatie en prioriteer updates voor IoT-apparaten, embedded systemen en Docker-containers.
- Zorg ervoor dat alle taal- en platformspecifieke certificaatopslagen worden gecontroleerd en bijgewerkt, waaronder Python (pip- en certifi-pakketten in alle virtual environments), Go trust stores, Java cacerts, Node.js CA-bundels, .NET-certificaatopslagen en andere runtimes die door de wijzigingen in de eMudhra-certificaten worden getroffen. Houd er rekening mee dat sommige van deze afhankelijkheden ook indirect kunnen worden gebruikt. Raadpleeg de incidentwebsite van eMudhra voor meer informatie.
Wat moet u doen?
- Werk onmiddellijk de certificaatautoriteitsbundels bij op alle Linux-servers en werkstations.
- Maak een inventarisatie van IoT-apparaten, embedded systemen en appliances die TLS gebruiken.
- Neem contact op met leveranciers voor updateplanningen van systemen die niet eenvoudig kunnen worden gepatcht.
- Test kritieke applicaties om te controleren of zij de gecompromitteerde certificaten correct afwijzen.
- Controleer de VPN-infrastructuur en werk de certificaatopslagen bij.
- Monitor certificate transparency logs op ongeautoriseerde certificaten die voor uw domeinen zijn uitgegeven.
Wat gaat Northwave doen?
Northwave MDR monitort actief op pogingen tot misbruik van de gecompromitteerde eMudhra-certificaten binnen klantomgevingen. Wij hebben onze detectiesystemen bijgewerkt om man-in-the-middle-aanvallen die gebruikmaken van deze gecompromitteerde certificaten te identificeren en hierover te alarmeren.
E-mail: soc@northwave-cybersecurity.com
Heeft u op dit moment een incident?
Bel ons Incident Response Team: 00800 1744 0000
Bronnen
Disclaimer van toepassing, zie hieronder.