Восемь TLS-сертификатов с примитивными ключами угрожают сети

Вчера, 21 октября 2026 года, браузеры экстренно заблокировали восемь промежуточных TLS-сертификатов индийского центра eMudhra Limited.

Ключи оказались примитивными.

Злоумышленники могли выпускать поддельные доверенные сертификаты для любых сайтов, перехватывая защищённый трафик по всему миру.

Пока фактов взлома нет.

Но устранение последствий затронет миллионы забытых устройств интернета вещей и старых серверов, обновление которых растянется на годы.

Инженеры по безопасности до сих пор не могут поверить в масштаб этой небрежности. Закрытый ключ на эллиптической кривой NIST P-384 должен обладать энтропией около 384 битов, что даёт астрономическое число вариантов. В случае eMudhra ключи имели простые значения: 4, 56, 66, 115, 155, 156, 230 и 237. Это шокирует. Эксперты наглядно продемонстрировали уязвимость, создав цифровую подпись для фразы «У нас тут проблема — Уэйн» с использованием этих скомпрометированных ключей.

«У нас тут проблема — Уэйн». Именно с такой цифровой подписью эксперты продемонстрировали уязвимость, используя скомпрометированные ключи eMudhra.

Быстрая реакция разработчиков — это лишь полумера. Некоторые системы и продукты попросту не получают обновлений годами. Те, кто работал с корпоративной инфраструктурой, знают: обновление дистрибутивов Linux, контейнеров Docker и встроенных систем требует колоссальных усилий. Часто такие устройства развёрнуты в удалённых локациях, доступ к ним ограничен, а документация утеряна ещё при прошлом сисадмине. Системным администраторам ещё предстоит вручную устанавливать патчи на огромное число машин, многие из которых давно выпали из поля зрения ИТ-отделов. Исключение пока составляет браузер Edge под Windows 10, где представители Microsoft пообещали прокомментировать ситуацию, когда им будет чем поделиться.

И это происходит на фоне ещё одной критической ситуации, которая держит индустрию в напряжении. Разработчики PHP выпустили экстренные патчи, закрывающие две уязвимости PHP2Shell с оценкой 9,2 балла по шкале CVSS. Проблема кроется в самом движке, позволяя удалённо выполнять произвольный код без предварительной аутентификации. Под угрозой оказались примерно 70 % сайтов в интернете, включая корпоративные порталы и государственные ресурсы на WordPress и Drupal, что вынудило власти нескольких стран Европы временно отключить свои сервисы во избежание катастрофы. В частности, пострадали сайты местных властей во Франции и национальная служба цифровой идентификации в Нидерландах.

Примечательно, как именно нашли эти дыры. Команда Wiz сообщила об использовании моделей Gemini 4 Argon и GPT-5.6 Sol для поиска и анализа ошибок. Искусственный интеллект помог превратить сложные ошибки, существовавшие в коде годами, в работающие эксплойты, что вызвало серьёзные опасения у специалистов по кибербезопасности. Теперь злоумышленникам требуется меньше времени и экспертных знаний для подготовки атак. Параллельно Microsoft в рамках октябрьских обновлений залатала 1118 уязвимостей, представив новый подход с «группами риска» для упрощения работы аналитиков. Теперь специалисты могут оценивать не каждый CVE по отдельности, а группировать их по типам анализа, например, по файловым системам или сетевому стеку, что сокращает дублирующую проверку.

Масштабы текущей проблемы многие сравнивают с устранением уязвимости Heartbleed в библиотеке OpenSSL, обнаруженной в 2014 году. Тогда на все машины пришлось устанавливать обновления, отзывать старые сертификаты и менять пароли. На устранение последствий ушли годы, и история с eMudhra рискует повторить этот сценарий, учитывая количество «забытого» оборудования в локальных сетях, которое просто не умеет обновляться по воздуху.

Что будет дальше с устаревшими системами, которые не получат патчи никогда. Вопрос открыт.

Никита Карпов

Главный редактор

Пишу о гаджетах, нейросетях и том, как технологии меняют нашу жизнь. Проверяю всё на себе, чтобы вы не тратили деньги зря.