De privésleutels van acht intermediate certificaten van certificaatautoriteit eMudhra zijn gecompromitteerd, meldden Mozilla en Google’s Chrome Root Program op 20 oktober. Een intermediate CA ondertekent de certificaten die websites aan bezoekers tonen. Wie zo’n sleutel in handen heeft, kan in theorie een geldig certificaat uitgeven voor vrijwel elke site die een browser normaal zou vertrouwen. Hoe, wanneer en door wie de sleutels zijn gestolen, is niet bekend, en niemand kan uitsluiten dat meer partijen dan de melder ze bezitten.
Het gaat om zes TLS-certificaten, telkens in een domein-, organisatie- en extended-validation-variant (EM DV/OV/EV TLS CA - G3B en G3C), plus twee code-signing-certificaten (EM OV CS CA - G3B en G3C). De zes TLS-certificaten hangen onder emSign Root TLS CA - G3 en zijn ook kruiselings ondertekend door Sectigo, waardoor een blokkade op basis van de publieke sleutel ook die kopieën raakt.
Browsers draaien binnen uren een blokkade uit
Een onderzoeker meldde de compromittering op 17 oktober. Chrome kreeg de melding om 18:05 uur UTC en had binnen anderhalf uur, om 19:45 uur, een CRLSet-blokkade actief. Mozilla volgde met een OneCRL-update voor Firefox om 22:59 uur, krap drie uur na de eigen melding om 20:06 uur. Apple blokkeerde de certificaten op 19 oktober. Op 20 oktober trok ook Microsoft de certificaten in, bevestigden Mozilla en Google het incident publiekelijk, en verwijderde Mozilla bovendien de onderliggende root, emSign ECC Root CA - G3, uit NSS. Chrome kondigde aan dezelfde root in versie 43 van zijn eigen rootstore te schrappen. Volgens Chrome stond er vóór de blokkade geen enkel TLS-certificaat van de zes tussencertificaten geregistreerd in Certificate Transparency-logs, wat erop wijst dat ze in reguliere browsers sowieso al niet werden vertrouwd.
Go blokkeert alle acht sleutels, zonder uitzondering
Waar browsers via revocatielijsten reageren, koos het Go-team voor een rigoureuzere aanpak. Go 1.27.3 en 1.26.10, uitgebracht op 20 oktober als CVE-2026-111943, laten de ingebouwde certificaatverifier elke keten weigeren die via een van de acht sleutels loopt, inclusief de twee code-signing-certificaten die browsers juist ongemoeid lieten. Een geraakte verbinding levert simpelweg de foutmelding “x509: no valid chains built” op, zonder uitschakeloptie, ook niet voor organisaties met een eigen trust store. Programma’s blijven het oude gedrag vertonen totdat ze opnieuw zijn gebouwd tegen de nieuwe Go-versie; voor Go 1.25 en ouder verschijnt geen fix. Go-ontwikkelaar Filippo Valsorda verklaarde de harde aanpak door te wijzen op slecht onderhouden rootstores op Linux, waar revocatie via lijsten vaak niet werkt.
Firefox kreeg voor de eigen OneCRL-blokkade een apart CVE-nummer, CVE-2026-113470. Ook NSS (versie 3.131.1), certifi (2026.10.19) en Rust’s webpki-roots (1.0.10) verwijderden de onderliggende root uit hun bundel; fixes voor Node.js en Composer’s ca-bundle waren op 20 oktober nog in de maak.
eMudhra zelf heeft geen publieke verklaring afgelegd en de eigen trust-services-pagina vermeldde het incident niet. Omdat Certificate Transparency alleen gelogde certificaten dekt, valt niet volledig uit te sluiten dat de sleutels al eerder zijn misbruikt.
Voor Nederlandse organisaties die zelf Go-software bouwen of beheren is het advies simpel: upgrade naar Go 1.27.3 of 1.26.10 en bouw services opnieuw, want zonder rebuild verandert er niets. Loopt een certificaat van uw organisatie via een van de acht eMudhra-tussencertificaten, vraag dan tijdig een nieuw certificaat aan bij een andere CA, anders raken herbouwde Go-clients de verbinding kwijt. Firefox- en Chrome-gebruikers hoeven zelf niets te doen zolang automatische updates aanstaan.
Update 22 oktober: Het bestuur van eMudhra heeft besloten volledig te stoppen met de wereldwijde SSL/TLS-certificatentak, vijf dagen na de ontdekking van de zwakke sleutels. Het bedrijf noemt de activiteit goed voor zo’n 1 procent van de omzet en wijst op de kosten van compliance en datasoevereiniteit, plus “aandacht die niet in verhouding staat tot de plek van SSL/TLS binnen ons bedrijf.” Een exacte einddatum ontbreekt. Zo’n 30.000 certificaten moeten alsnog worden overgezet; eMudhra zegt getroffen klanten gratis certificaten van partners te geven en Amerikaanse klanten certificaten uit een onafhankelijke, los van eMudhra opererende CA-hiërarchie aan te bieden. Chrome liet weten dat eMudhra’s eigen uitleg over het incident “serieuze vragen oproept” over transparantie, onder meer omdat een eerder, soortgelijk incident uit 2025 niet volledig was gemeld. Organisaties met een eMudhra-certificaat doen er goed aan nu actief een vervangend certificaat bij een andere CA aan te vragen in plaats van op een automatische vernieuwing te wachten, want standaard ACME-clients vernieuwen buiten het gebruikelijke venster niet altijd vanzelf.
Update 27 oktober: Microsoft heeft noodupdates buiten de reguliere patchronde om uitgebracht (KB5134133 voor Windows 11 24H2/25H2/26H2, KB5134125 voor Windows 10 21H2/22H2) om het vertrouwen in zeven eMudhra-gerelateerde rootcertificaten alsnog actief te verwijderen. Die stap is nodig voor systemen die Microsofts automatische certificaatvertrouwenslijst niet bereiken, bijvoorbeeld omdat ze geen internettoegang hebben of de automatische updates daarvoor hebben uitgeschakeld. Beheerders van dat soort afgeschermde systemen moeten de update dus zelf handmatig installeren en nagaan welke eigen certificaten via de verwijderde roots lopen.
Bron: The Hacker News
Wat betekent dit voor jouw bedrijf?
Bouwt of beheert uw organisatie software in Go? Update naar Go 1.27.3 of 1.26.10 en bouw services opnieuw, want zonder rebuild blijft het oude gedrag bestaan. Loopt een certificaat van uw organisatie via een van de acht eMudhra-tussencertificaten, vraag dan op tijd een vervangend certificaat aan bij een andere CA.
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.