افشای کلید ۸ گواهی eMudhra؛ به‌روزرسانی‌های امنیتی Cloudflare منتشر شد

به گزارش Cloudflare، کلید خصوصی مرتبط با هشت گواهی میانی eMudhra به‌دلیل ضعف کلیدها در معرض خطر قرار گرفته و امکان صدور گواهی جعلی برای هر دامنه را فراهم می‌کند. این شرکت برای محصولات خود راهکارهای کاهشی و نسخه‌های اصلاح‌شده منتشر کرده و از کاربران WARP، برنامه 1.1.1.1 و Cloudflare Tunnel خواسته است نرم‌افزارهایشان را به‌روز کنند.

این رخداد در حدود ساعت ۱۷:۰۰ به وقت UTC روز ۱۹ اکتبر ۲۰۲۶ شناسایی شد. گواهی‌های میانی آسیب‌دیده در مرورگرها، سیستم‌عامل‌ها و زیرساخت‌های این شرکت مورد اعتماد بوده‌اند؛ در نتیجه مهاجم می‌تواند با ساخت گواهی جعلی، خود را به‌جای سرور مقصد معرفی کند و ترافیک را رهگیری یا تغییر دهد. بااین‌حال، بررسی امنیتی انجام‌شده تاکنون بهره‌برداری فعال از این مشکل در سرویس‌های شرکت را نشان نداده است.

چه اقداماتی انجام شده است؟

اقدامات اصلاحی، سرویس‌هایی را در اولویت قرار داده که برای احراز هویت مقصدهای راه دور به گواهی‌های عمومی متکی‌اند؛ از جمله پراکسی‌های متصل به سرورهای مبدأ و برنامه‌هایی که APIهای خارجی را فراخوانی می‌کنند. مخازن اعتماد مشترک، ایمیج‌های پایه و اجزای زیرساختی نیز به‌روزرسانی شده‌اند. این رخداد به احراز هویت مبتنی بر گواهی مربوط است و نشانه‌ای از ضعف در الگوریتم‌های رمزنگاری TLS نیست.

راهکارهای کاهشی در CDN، محصولات توسعه‌دهندگان و Zero Trust اعمال شده‌اند. به‌روزرسانی Cloudflare One Client و WARP برای پلتفرم‌های مختلف و نسخه 2026.10.2 ابزار cloudflared نیز عرضه شده است. کاربران Zero Trust که Gateway و کلاینت به‌روز دارند، به‌صورت خودکار تحت پوشش محافظت قرار می‌گیرند.

کاربران و مدیران زیرساخت چه کنند؟

مدیران باید WARP، برنامه 1.1.1.1 و cloudflared را به نسخه‌های اصلاح‌شده ارتقا دهند؛ در استقرارهای کانتینری نیز ایمیج اصلاح‌شده باید دوباره مستقر شود. سازمان‌هایی که از احراز هویت متقابل TLS استفاده می‌کنند، لازم است مخزن اعتماد و CAهای بارگذاری‌شده برای بررسی گواهی کلاینت را بازبینی کنند. پیکربندی سرور مبدأ، گواهی‌های سفارشی و وابستگی‌های موجود در ایمیج‌های کانتینری نیز باید کنترل شوند.

پس از اصلاح ممکن است خطاهای گواهی ظاهر شوند، اما غیرفعال‌کردن اعتبارسنجی راه‌حل امنی نیست. همچنین موفقیت آزمون در مرورگر یا curl الزاماً به معنای ایمن‌بودن همه برنامه‌های دستگاه نیست، زیرا هر نرم‌افزار ممکن است مسیر اعتبارسنجی و مخزن اعتماد متفاوتی داشته باشد.

در جمع‌بندی، اقدام فوری برای تیم‌های IT شناسایی مسیر واقعی اعتبارسنجی TLS در هر برنامه، نصب نسخه‌های اصلاحی و راه‌اندازی یا استقرار مجدد سرویس‌های وابسته است. این بررسی به‌ویژه برای سرورهای مبدأ، کانتینرها و برنامه‌های دارای مخزن اعتماد اختصاصی اهمیت دارد.