Ocho certificados intermedios de la autoridad certificadora eMudhra tenían claves privadas adivinables; una era el número 4. Los navegadores ya los bloquearon, pero otros sistemas deben actualizarse.
El 17 de octubre de 2026 se informó a Mozilla que las claves privadas de ocho certificados intermedios de eMudhra, una autoridad certificadora de India, quedaron expuestas. Seis se usan para sitios web con HTTPS (TLS) y dos para firmar código. Según Cisco Talos, un error en la ceremonia de generación de claves del 30 de abril de 2025 produjo claves P-384 débiles, que se pueden deducir a partir de números pequeños. El investigador Scott Helme, que recuperó las claves, mostró que una de ellas era, literalmente, el número 4; el hallazgo inicial lo reportó otro investigador a los navegadores y a eMudhra.
Por qué importa
Las autoridades certificadoras son la base de la confianza en internet: garantizan que el candado del navegador corresponde de verdad al sitio que visitas y que un programa fue firmado por quien dice. Con esas claves, un atacante podría emitir certificados que los sistemas aceptarían como válidos. Hasta el 21 de octubre, Talos no había detectado uso malicioso.
Cómo respondieron navegadores y fabricantes
- Firefox bloqueó los certificados en tres horas mediante su lista de revocación OneCRL y publicó Firefox 158.0.1, ESR 115.43.1 y ESR 153.5.1. La librería NSS 3.131.1 elimina la raíz que los firmó.
- Chrome, Firefox y Apple bloquearon los certificados para sitios web, y Microsoft los de firma de código.
- En el lenguaje Go la falla se registró como CVE-2026-111943 y se corrigió en Go 1.27.3 y 1.26.10.
- eMudhra revocó los certificados y dejó de emitir bajo su raíz G3.
Quién sigue expuesto
Los navegadores actualizados ya están protegidos. El riesgo continúa en el software que trae su propio almacén de certificados y no depende del sistema operativo: clientes de VPN, proxies, equipos de red e IoT, servidores de integración continua y aplicaciones que se compilaron con una versión anterior de Go.
Qué actualizar en tu empresa
- Actualiza navegadores y sistemas operativos en todos los equipos.
- En los servidores, actualiza el paquete de certificados raíz (ca-certificates o NSS) y recompila las aplicaciones en Go con la versión 1.27.3 o 1.26.10.
- Revisa proxies, clientes de VPN, gateways y dispositivos IoT con almacén de certificados propio, y aplica las actualizaciones de cada fabricante.
- Si tu empresa usa certificados emitidos por eMudhra, identifica dónde están instalados y reemplázalos.
Actualización del 31 de octubre: raíz retirada y salida de eMudhra
Mozilla y Chrome retiraron la confianza en toda la raíz emSign ECC Root CA - G3, y el 22 de octubre eMudhra anunció que deja el negocio global de certificados SSL/TLS. Si tu sitio usa un certificado de eMudhra, reemplázalo por uno de otra autoridad certificadora. También revisamos esta noticia contra el análisis de Scott Helme y el caso abierto en Mozilla, y precisamos quién recuperó las claves.
Cómo te ayudamos
Gestionamos certificados SSL, servidores y actualizaciones como parte de la administración de infraestructura, y revisamos las dependencias de tus sistemas con nuestro equipo de desarrollo de aplicaciones.
Fuentes
- Cisco Talos: certificados intermedios comprometidos (21 de octubre de 2026)
- Mozilla: cómo protegió a los usuarios de Firefox (20 de octubre de 2026)
- Scott Helme: las claves de eMudhra, descifradas en milisegundos (20 de octubre de 2026)
- Mozilla Bugzilla: caso del compromiso de los certificados de eMudhra (abierto el 18 de octubre de 2026)
- Google: protección de Chrome y Android ante los certificados de eMudhra (octubre de 2026)
- eMudhra: salida del negocio global de certificados SSL/TLS (22 de octubre de 2026)
Fuente: Cisco Talos
