11:33 22.10.2026 Чт 3 мин
8 скомпрометированных сертификатов поставили под угрозу безопасность миллионов пользователей (изображение: РБК-Украина) Додати як бажане джерело в Google
Кибербезопасность по всему миру оказалась под угрозой из-за 8 TLS-сертификатов с критически слабыми частными ключами.
Об этом сообщает РБК-Украина со ссылкой на специалистов WordPress.
Ошибка, шокировавшая экспертов
Все 8 скомпрометированных промежуточных сертификатов принадлежали индийскому центру сертификации eMudhra Limited.
Специалисты узнали о проблеме после публикации неофициального предупреждения, подписанного частным ключом одного из этих сертификатов.
Это стало неопровержимым доказательством того, что посторонние лица получили полный контроль над ключом.
Криптоинженер и мейнтейнер языка программирования Go Филиппо Вальсорда заявил, что «ликвидация последствий потребует колоссальных усилий и займет очень много времени».
Вальсорда сравнил этот случай с критической уязвимостью Heartbleed, которая в 2014 году позволила хакерам перехватывать зашифрованный трафик, угонять сессионные ключи и пароли тысяч серверов по всему миру.
Тогда для полного восстановления защиты понадобились годы.
Слабость обнаруженных ключей поразила даже опытных инженеров. Для сравнения: стандартный частный ключ NIST P-384 имеет 384 бита, то есть существует около 10¹¹⁶ возможных комбинаций, тогда как ключи eMudhra имели всего от 3 до 8 битов. Фактически они сводились к простым числам: 4, 56, 66, 115, 155, 156, 230 и 237.
Эксперты предполагают, что разработчики могли случайно выпустить в рабочую среду тестовый код или по ошибке задать минимальное значение параметра размера ключа.
В PHP проекте имеются fixes for 2 critical vulnerabilities affecting servers that host PHP applications. Site owners and technical teams обязаны соответствовать их обладателям провайдеров update plan and update PHP immediately. Versions be PHP 8.2 не longer receive security updates. Эти данные не являются конкретными для WordPress, а не WordPress update is required. https://t.co/2Bgok9Vdcq
— WordPress (@WordPress) October 21, 2026
Кто находится в зоне риска?
Сейчас самая большая опасность угрожает пользователям VPN-сервисов, особенно в странах, где правительства практикуют массовый перехват сетевого трафика.
Для обычных пользователей единственным вариантом защиты остается временный отказ от использования приложений без проверки наличия последних обновлений.
Большинство браузеров уже устранили уязвимость, однако браузер Edge на Windows 10 некоторое время продолжал подключаться к уязвимым узлам.
Месенджеры Signal, WhatsApp и протокол Wireguard не пострадали, поскольку они не полагаются на стандартные сертификаты TLS для обеспечения конфиденциальности.
Эксперты отмечают, что для проведения атаки с использованием таких ключей злоумышленники должны иметь возможность перехватывать трафик между пользователем и сервером. Сделать это самое простое в публичных сетях Wi-Fi — в кафе, университетах или офисах.
Читайте больше: Скандальный слив кода: WhatsApp намеренно блокировал советы ИИ о защите пользователей
Масштабная блокировка и опасность для устройств
По вторнику, 21 октября, разработчики ключевых браузеров, популярных приложений и языков программирования оперативно заблокировали все 8 проблемных промежуточных сертификатов.
Сейчас в журналах прозрачности сертификатов нет никаких данных о том, что эти скомпрометированные ключи уже использовали хакеры для проведения атак.
Несмотря на оперативную реакцию разработчиков, угрозу нельзя считать ликвидированной, ведь обновление многих компонентов интернет-инфраструктуры потребует много времени.
Наибольшие сложности с обновлением возникнут в следующих сегментах:
