19 октября 2026 года примерно в 17:00 UTC компании Cloudflare стало известно о компрометации закрытых ключей, связанных с восемью промежуточными сертификатами eMudhra. Эти сертификаты пользовались широким доверием со стороны браузеров, операционных систем, а также внутри самой Cloudflare. Поскольку сами ключи являются слабыми, злоумышленник может создать поддельный сертификат для любого домена и использовать его для выдачи себя за серверы с целью перехвата или изменения трафика. Это серьёзный инцидент безопасности с последствиями для всего Интернета. Для справки — здесь приведена ссылка на дополнительные сведения о том, как работают SSL-сертификаты и почему они настолько критичны для функционирования Интернета.
Мы незамедлительно поставили в приоритет устранение уязвимости в критически важных сервисах Cloudflare, чтобы защитить наших клиентов ещё до публичного раскрытия информации об уязвимости. Наш аудит безопасности не выявил активной эксплуатации этой проблемы в сервисах Cloudflare.
Мы выпустили обновления для клиентов Cloudflare One, также известных как WARP или приложение 1.1.1.1, и для Cloudflare Tunnel, также известного как cloudflared. Мы также развернули меры защиты во всех наших продуктах CDN, Developer и Zero Trust. Если вы используете Cloudflare Zero Trust с Gateway и актуальным клиентом (см. ниже), вы защищены автоматически.
Наши действия
Мы в первую очередь обновили сервисы, использующие публичные сертификаты для аутентификации удалённых конечных точек, включая прокси, подключающиеся к источникам, и приложения, обращающиеся к внешним API. Параллельно мы обновили общие хранилища доверия, базовые образы и другие общие компоненты, обеспечив единый путь защиты для сервисов, наследующих доверие к сертификатам из этих источников. Эти обновления мы сопроводили перезагрузками, перезапусками и развёртыванием образов, необходимыми для их активации. Приложения со встроенными или собственными хранилищами доверия прошли отдельную оценку и обновление. Эта работа касается аутентификации на основе сертификатов, а не слабости алгоритмов шифрования TLS.
Команды Cloudflare в настоящее время работают над дальнейшим устранением последствий. Мы продвигаемся вперёд, но предстоит ещё много работы. Некоторым клиентам потребуется принять меры в отношении программного обеспечения или конфигураций доверия, которые они эксплуатируют, особенно на своих исходных серверах. Рекомендуемые действия кратко изложены ниже.
Что следует сделать клиентам
Рекомендации для разработчиков
Разработчикам следует смотреть глубже уровня SDK.
Клиент API может передавать проверку сертификатов библиотеке HTTP, среде выполнения языка, операционной системе или пользовательской конфигурации доверия. Обновление только SDK может не изменить базовую политику.
После установки патча вы можете заметить ошибки сертификатов в своих панелях мониторинга. Важно не устранять эти ошибки путём отключения проверки. Это лишило бы систему защиты аутентификации, которую данные обновления призваны восстановить.
Инцидент затрагивает множество программных стеков, использующих WebPKI для аутентификации. Деннис Джексон из Mozilla собрал список часто используемых пакетов, для которых выпущены патчи. Мы рекомендуем читателям обновиться как можно скорее. (Учтите, что некоторые из них могут быть косвенными зависимостями вашего программного стека, поэтому проверьте дерево зависимостей.) Примените соответствующие обновления зависимостей, пересоберите затронутые образы и убедитесь, требуется ли приложениям перезагрузка, перезапуск или повторное развёртывание.
Тестовый сайт Денниса Джексона предлагает проверки для браузеров, инструкции по тестированию вне браузера и информацию об обновлениях пакетов. Результаты относятся к проверяемому пути верификации, а не ко всем приложениям на устройстве. Проверяйте через фактический путь TLS приложения. Успешный тест в браузере не доказывает, что фоновый сервис защищён. Равно как и тест через curl, если приложение использует другой верификатор.
Хронология
Хронология событий на данный момент приведена ниже.
Дата и время
Событие
19 октября, примерно 17:00 UTC
Cloudflare узнаёт о компрометации и начинает оценку.
20 октября, 02:00 UTC
Опубликованы обновления безопасности Cloudflare One Client и приложения WARP для всех платформ.
20 октября, 09:15 UTC
Опубликовано обновление безопасности Cloudflare Tunnel (cloudflared).
20 октября, 19:20 UTC
Меры защиты CDN и серверной части Zero Trust полностью развёрнуты.
Взгляд в будущее
Последствия этого инцидента ощущаются по-разному. Разработчики браузеров смогли устранить проблему одним нажатием кнопки. Разумеется, у них есть всего одно приложение для обновления вместо сотен, но у них есть один ловкий приём: большинство браузеров используют механизмы быстрого отзыва (например, Chrome CRLSets). В Cloudflare мы также применяем подобный механизм для некоторых наших продуктов. Чтобы внедрить его в большее число систем Cloudflare и в отрасль в целом, мы с воодушевлением относимся к таким проектам, как upki, которые понимают, что хранилище доверия не может быть статичным списком корневых сертификационных центров — оно должно быстро обновляться информацией об отзыве и ключах прозрачности сертификатов.