تعرضت المفاتيح الخاصة لثماني شهادات وسيطة تابعة لجهة الإصدار eMudhra للاختراق، وفقاً لما كشفه الباحث Wayne الذي أبلغ مسؤولي برامج الجذور في المتصفحات بالحادثة في 17 أكتوبر 2026. وتتصل هذه الشهادات بجذور معتمدة لدى متاجر Mozilla وMicrosoft وApple وChrome، بحسب تفاصيل الإفصاح المنشورة بواسطة Dennis Jackson في 20 أكتوبر.
أثبت Wayne حيازته للمفاتيح عبر توقيع رسالة نصية حملت عبارة “We have a problem here – Wayne” باستخدام المفتاح الخاص لكل شهادة من الشهادات الثماني، ونُشرت الشهادات والمفاتيح العامة والتواقيع علناً للتحقق المستقل. تتيح حيازة أي من هذه المفاتيح للمهاجمين انتحال أي موقع إلكتروني، حيث أوضحت Mozilla أن المهاجم الذي يعترض اتصال المستخدم قادر على إصدار شهادات HTTPS احتيالية وانتحال المواقع، وقراءة أو تعديل حركة البيانات.
تلقت Mozilla البلاغ عند الساعة 20:06 بتوقيت UTC يوم 17 أكتوبر، وأكملت حجب الشهادات في متصفح Firefox عبر قائمة الإلغاء OneCRL خلال أقل من ثلاث ساعات، وتحديداً عند الساعة 22:59، دون أن تطلب تحديث المتصفح أو إعادة تشغيله للإعدادات القياسية. وفي سياق متصل، استلمت Chrome البلاغ عند الساعة 18:05، وأصدرت تحديثاً لقائمة CRLSet عند الساعة 19:45 لحجب ست شهادات وسيطة مخصصة لإصدار شهادات TLS، في حين لم تتطلب الشهادتان المتبقيتان المخصصتان لتوقيع الأكواد البرمجية أي إجراء للحجب.
أكدت Chrome عدم وجود شهادات TLS مسجلة في سجلات شفافية الشهادات تتسلسل إلى هذه الجهات قبل عملية الحجب، ما يمنع المتصفح من الوثوق الافتراضي بأي شهادة احتيالية صادرة عنها. ولم توضح Mozilla ظهور أي شهادات احتيالية حتى الآن، مستبعدة امتداد المشكلة إلى جهات إصدار أخرى، وهو ما يتوافق مع نتائج فحص Chrome لبقية الجهات في متجر جذورها. وتخطط Chrome لإزالة جذر eMudhra في الإصدار 43 من متجر جذورها مع مراجعة شهادتها المتبقية.
ألغت eMudhra الشهادات الوسيطة المخترقة، وبدأت Apple إجراءات الحجب في 19 أكتوبر، وفقاً لموقع الإفصاح. وتغيب حتى الآن التفسيرات التقنية لآلية تسريب المفاتيح في بيانات Mozilla وموقع الإفصاح، واقتصر تفاعل eMudhra على إجراء الإلغاء السريع.
يواجه إجراء الإلغاء قصوراً في الوصول إلى كافة البرامج، إذ أشار نقاش لفريق Go على منصة GitHub إلى عدم شمول الإلغاء للتطبيقات المعتمدة على متاجر الجذور في أنظمة Linux، ما استدعى برمجة حجب هذه الشهادات الوسيطة داخل المكتبة البرمجية ذاتها. وعولجت المشكلة بإصدار التحديثين Go 1.27.3 وGo 1.26.10 تحت المعرف (CVE-2026-111943 ولم تُعلن درجة تقييم CVSS).
أطلقت Mozilla الإصدارات Firefox 158.0.1 وESR 115.43.1 وESR 153.5.1 لتغطية المستخدمين الذين تمنع إعداداتهم استقبال تحديثات OneCRL، وطرحت الإصدار NSS 3.131.1 لإزالة الجذر المُصدِر لهذه الشهادات الوسيطة من قوائم الثقة الخاصة بالتطبيقات الأخرى. وشملت الاستجابة التقنية تحديثات في Python certifi 2026.10.19 وRust webpki-roots 1.0.10، مع استمرار إعداد تحديثات لبيئات Node.js وBun وأنظمة Debian حتى 20 أكتوبر، وسط تأكيدات من Mozilla بنشر تفاصيل إضافية مستقبلاً.
ينضم هذا الحادث إلى سلسلة اختراقات جهات الإصدار المؤثرة على موثوقية الشهادات، والتي شملت حادثة اختراق DigiCert التي غطتها منصة سايبركاست في مايو الماضي، والتي أسفرت حينها عن إصدار شهادات توقيع برمجي استُغلت في برمجيات خبيثة.
