8 eMudhra证书遭泄露

2026年10月19日约17:00（UTC），Cloudflare发现与八个eMudhra中间证书相关的私钥遭到泄露。 这些证书被浏览器、操作系统和Cloudflare广泛信任。 由于密钥本身较弱，攻击者可以创建任何域的伪造证书，用来冒充服务器以拦截或修改流量。 这是一起严重的网络安全事件，对整个互联网都有影响。 Cloudflare立即优先修复了其关键服务，以在漏洞公开之前保护客户。 安全审查尚未在Cloudflare服务上发现该问题的主动利用。

Cloudflare One客户端（也称为WARP或1.1.1.1应用）和Cloudflare Tunnel（也称为cloudflared）已发布更新。 我们还在我们CDN、开发者产品和Zero Trust产品中部署了缓解措施。 如果你使用的是Cloudflare Zero Trust Gateway和最新客户端，你将自动受到保护。 我们的应对措施优先更新了使用公共证书对远程端点进行身份验证的服务，包括连接到源的代理和调用外部API的应用程序。

同时，我们更新了共享信任存储、基础映像和其他共享基础，为那些从这些来源继承证书信任的服务提供了一种共同的缓解途径。 我们配合这些更新进行了重新加载、重启和映像部署，以激活它们。 捆绑或自定义信任存储的应用程序收到了单独的评估和更新。 这项工作解决了基于证书的身份验证问题，而不是TLS加密算法的弱点。 Cloudflare的各个团队目前正在进一步进行补救工作。 我们正在取得进展，但仍有大量工作要做。 一些客户需要对其软件或信任配置采取行动，特别是在其源服务器上。 建议的行动总结如下。

客户应该做什么开发者指南对于开发者来说，要查看SDK下方。 API客户端可能会将证书验证委托给HTTP库、语言运行时、操作系统或自定义信任配置。 仅更新SDK可能不会改变底层策略。 一旦你修补了，你可能会在你的仪表板中注意到证书错误。 重要的是不要通过禁用验证来解决这些错误。 这将移除这些更新旨在恢复的认证保护。 此事件影响了许多依赖WebPKI进行身份验证的软件堆栈。 Mozilla的Dennis Jackson已经众筹了一个已修补的常用软件包列表。 我们建议读者尽快升级。

（请注意，这些中的一些可能是你软件堆栈的间接依赖项，所以要看依赖树。 ）应用相关的依赖更新，重新构建受影响的映像，并确认应用程序是否需要重新加载、重启或重新部署。 Dennis Jackson的测试站点提供浏览器检查、非浏览器测试说明和软件包更新信息。 结果适用于正在测试的验证路径，而不是设备上的每个应用程序。 通过应用程序的实际TLS路径进行验证。 成功的浏览器测试并不能证明后台服务受到保护。 如果应用程序使用不同的验证器，那么curl测试也不行。 事件的时间线如下。

日期和时间事件2026年10月19日约17:00（UTC）Cloudflare发现泄露并开始评估。 2026年10月20日02:00（UTC）Cloudflare One客户端和WARP应用安全更新发布到各个平台。 2026年10月20日09:15Cloudflare Tunnel（cloudflared）安全更新发布。