Una autoridad de certificación intermedia comprometida pone en jaque la confianza TLS
CVE-2026-111943: Compromised Intermediate Certificate Authority
El NVD registra la CVE-2026-111943, una vulnerabilidad crítica en la que una autoridad de certificación intermedia quedó comprometida. El fallo expone el riesgo de la cadena de confianza TLS: si una CA intermedia cae en manos de atacantes, estos pueden emitir certificados válidos para cualquier dominio y suplantar servicios sin que el usuario lo note.
Una autoridad de certificación intermedia comprometida permite emitir certificados válidos para cualquier dominio, lo que socava toda la cadena de confianza TLS.
- keks24
¡A los usuarios de Gentoo Linux se les recomienda actualizar el paquete "app-misc/ca-certificates" a la versión "20260816.3.125" o superior!:
# emerge --sync
# emerge --ask --oneshot --verbose ">=app-misc/ca-certificates-20260816.3.125"
Para comprobarlo con "curl":
$ curl --url="https://dv-g3b-emudhra.we-have-a-problem.com/"
$ curl --url="https://dv-g3b-aaa-emudhra.we-have-a-problem.com/"
Deberían devolver:
curl: (60) SSL certificate OpenSSL verify result: unable to get local issuer certificate (20)
More details here: https://curl.se/docs/sslcerts.html
curl failed to verify the legitimacy of the server and therefore could not
establish a secure connection to it. To learn more about this situation and
how to fix it, please visit the webpage mentioned above.
---
* GLSA 202610-01: https://security.gentoo.org/glsa/202610-01
- pelzatessa
Vale la pena señalar que la gente de RedHat todavía no ha recibido las actualizaciones adecuadas, solo un workaround que desactiva dos certificados raíz de Comodo que se usaron para firmar los certificados de emudhra.
https://access.redhat.com/security/vulnerabilities/RHSB-2026... - "Ongoing"
- vanschelven
Los usuarios de Python puede que necesiten tomar sus propias medidas por separado; véase esta discusión:
https://discuss.python.org/t/information-for-python-users-re...
- freakynit
Bypass del inicio de sesión con OTP 1FA de eMudhra: https://mastodon.catgirl.cloud/@49016/117475921584308861
- asqueella
¿Esto parece tratarse de que ‘go’ bloquea de forma proactiva los certificados de emudhra aunque el almacén de confianza del sistema esté desactualizado? https://pkg.go.dev/vuln/GO-2026-6809
- darkwater
Esto es una noticia para NIST, pero en general es algo viejo, siendo el desastre de eMudhra. ¿O me estoy perdiendo algo?
- galadran
- imeron
A mí no me carga, ¿están en PHP? :D