--- title: "eMudhra 中繼憑證密鑰外洩：Gentoo、Go 與 Python 同步撤銷信任" url: https://sammy.hk/emudhra-intermediate-ca-compromise/ author: Ethan published: 2026-10-28T16:37:00+08:00 modified: 2026-10-28T09:55:25+08:00 description: "2026年10月17日，Mozilla 把八張由 eMudhra 控制的根憑證所簽發的中繼憑證加入 OneCRL，令 Firefox 停止信任；八張之中六張用於 TLS，兩張用於程式碼簽署。數天內多個開源專案確認，這些憑證的私鑰強度薄弱，可在微秒之間被還原，攻擊者因而是能為任意網域簽發看似合法的憑證，再以中間人方式截取…" categories: ["開放源碼"] tags: [eMudhra, gentoo, Go, "供應鏈安全", "憑證"] source: https://sammy.hk --- ![](https://sammy.hk/wp-content/uploads/2026/10/emudhra-ca-og-1024x572.jpg)2026年10月17日，Mozilla 把八張由 eMudhra 控制的根憑證所簽發的中繼憑證加入 OneCRL，令 Firefox 停止信任；八張之中六張用於 TLS，兩張用於程式碼簽署。數天內多個開源專案確認，這些憑證的私鑰強度薄弱，可在微秒之間被還原，攻擊者因而是能為任意網域簽發看似合法的憑證，再以中間人方式截取連線。Gentoo、Go 與 Python 生態先後公布修補安排。\[1\]\[2\]\[3\] ## 事件時序與技術成因 Go 安全團隊記述，10月17日 Mozilla 的動作引起外部研究員調查；10月19日憑證接獲通報，結論是相關密鑰「明顯地弱」。由於 eMudhra 根憑證存在於大部分受信任根憑證計劃之中，取得私鑰即等同可為任意網域簽發憑證，無需憑證網域控制權。10月20日研究員公開詳情；Go 由接報到全球發布修補不足七個半小時。\[2\] ## 各生態的修補版本 Go 的解決在工具鏈：以 1.27.3 與 1.26.10 重新建置的二進位會自動拒絕涉事中繼憑證。憑證指出，Windows 與 macOS 可交回平台 API 處理撤銷，Linux 缺乏統一機制，因此選擇在執行期憑證面收回信任，並計劃截止日後支援 upki 憑證撐上 Linux 的撤銷能力。\[2\] Gentoo 的基準撤銷是升級至 `>=app-misc/ca-certificates-20260816.3.125`；部分套件自帶憑證存儲庫，部分會自動更新，部分需升級套件本身。發行版正誤於錯誤追蹤編碼 984601 集中記載受影響套件。\[1\] Python 生態的影響面最廣。官方要求即時升級 certifi 2026.10.19、pip 26.2.2、uv 0.13.4、sigstore 4.5.1、conda 26.9.4、pixi 0.82.1 以及 virtualenv 21.14.12；同時發布 3.15.2、3.14.10、3.13.18、3.12.16 與 3.11.18，即使 certifi 仍用涉事根憑證，新版本也會自動拒絕有問題的中繼憑證。3.10 及更舊版本已結束支援。\[3\] ## 自簽系統與虛擬環境的處理 Gentoo 提醒，經套件管理員以外途徑安裝的跟件同樣受影響，例如仍使用舊版 certifi、pip 或 uv 的虛擬環境；Python 公告要求重建容器映像時停用層快取，確保抓取最新憑證。Go 用戶可用 `go version -m ` 查看二進位的建置版本，`govulncheck -mode=binary` 亦可判斷是否受影響。\[2\] ## 為何憑證事件比一般漏洞更難修補 跟件漏洞通常可透過更新單一元件解決，憑證事件卻牽涉整條信任鏈：根憑證計劃、瀏覽器撤銷清單、發行版憑證套件、語言執行期憑證驗證器，以及每個自帶憑證庫的第三方套件，缺一環都留下漏洞。Gentoo 更指出，若自行更新流程只依賴 TLS 驗證，攻擊者便可利用僞造憑證攔截更新請求，把升級過程變成入侵途徑。\[1\] 對自簽服務營運者而言，實際行動是三項：更新系統憑證套件、升級自帶憑證庫的應用與虛擬環境、重建容器映像並確認已拉取最新憑證。\[1\] ## 參考資料 \[1\] [eMudhra Intermediate CA Compromise（2026年10月24日）](https://www.gentoo.org/news/2026/10/24/emudhra-intermediate-ca-compromise.html) \[2\] [Our Response To The eMudhra Key Disclosure Incident（2026年10月26日）](https://go.dev/blog/emudhra-incident) \[3\] [Information for Python users regarding eMudhra emSign CA certificate security incident（2026年10月）](https://discuss.python.org/t/information-for-python-users-regarding-emudhra-emsign-ca-certificate-security-incident/109576) ### 相關文章： 1. [Remastering Gentoo 2007.0-r1 光碟](https://sammy.hk/remastering-gentoo-2007r1-cd/ "Remastering Gentoo 2007.0-r1 光碟") 2. [Docker 把 Sandbox Kit 規格捐去 CNCF：為 AI 代理權限訂立開放標準](https://sammy.hk/docker-%e6%8a%8a-sandbox-kit-%e8%a6%8f%e6%a0%bc%e6%8d%90%e5%8e%bb-cncf%ef%bc%9a%e7%82%ba-ai-%e4%bb%a3%e7%90%86%e6%ac%8a%e9%99%90%e8%a8%82%e7%ab%8b%e9%96%8b%e6%94%be%e6%a8%99%e6%ba%96/ "Docker 把 Sandbox Kit 規格捐去 CNCF：為 AI 代理權限訂立開放標準") 3. [Go 推出平台無關 SIMD 實驗：寫一次、跨架構加速](https://sammy.hk/go-%e6%8e%a8%e5%87%ba%e5%b9%b3%e5%8f%b0%e7%84%a1%e9%97%9c-simd-%e5%af%a6%e9%a9%97%ef%bc%9a%e5%af%ab%e4%b8%80%e6%ac%a1%e3%80%81%e8%b7%a8%e6%9e%b6%e6%a7%8b%e5%8a%a0%e9%80%9f/ "Go 推出平台無關 SIMD 實驗：寫一次、跨架構加速") 4. [Let’s Encrypt 公布 64 日憑證時間表：2027 年 2 月 10 日生效](https://sammy.hk/lets-encrypt-%e5%85%ac%e5%b8%83-64-%e6%97%a5%e6%86%91%e8%ad%89%e6%99%82%e9%96%93%e8%a1%a8%ef%bc%9a2027-%e5%b9%b4-2-%e6%9c%88-10-%e6%97%a5%e7%94%9f%e6%95%88/ "Let’s Encrypt 公布 64 日憑證時間表：2027 年 2 月 10 日生效")