Cloudflare 發現 eMudhra 憑證被盜，需即時修補

於 2026 年 10 月 19 日大約 17:00 UTC 時，Cloudflare 知悉與八份 eMudhra 中間憑證相關聯的私鑰已被洩漏。這些憑證被瀏覽器、作業系統及 Cloudflare 本身廣泛信任。由於這些私鑰本身較弱，攻擊者可為任何網域造假憑證，並以此偽造伺服器來攔截或修改流量。這是一項嚴重的安全事件，對整個網際網路產生影響。參考此連結以瞭解 SSL 憑證如何運作以及為何對網際網路運作至關重要。

我們立即將修補 Cloudflare 內部關鍵服務排為首要，以在漏洞公開前保護客戶。安全審查未發現此問題在 Cloudflare 服務上被活躍利用。

我們已釋出 Cloudflare One Clients（亦稱 WARP 或 1.1.1.1 應用程式）以及 Cloudflare Tunnel（亦稱 cloudflared）的更新。亦已在 CDN、Developer 與 Zero Trust 產品中部署緩解措施。若您使用帶 Gateway 且使用最新版客戶端的 Cloudflare Zero Trust（見下方），則已自動受到保護。

我們的回應

我們優先更新使用公開憑證驗證遠端端點的服務，包括連線原始伺服器的代理以及呼叫外部 API 的應用程式。同步地，我們更新了共用信任儲存、基礎映像及其他共用基礎設施，為繼承其憑證信任來源的服務提供統一的緩解路徑。我們將這些更新與重新載入、重啟及映像部署相結合，以啟用它們。使用捆綁或自訂信任儲存的應用程式則獨立評估並更新。此工作針對憑證驗證，而非 TLS 加密演算法的弱點。

Cloudflare 各團隊目前正進一步修復此問題。我們已取得進展，但仍有大量工作待完成。部分客戶需要對其運營的軟體或信任設定採取行動，尤其是原始伺服器。以下列出建議行動。

客戶應採取的措施

開發者指引

對於開發者，請檢查 SDK 之下。

API 客戶端可能將憑證驗證委派給 HTTP 函式庫、語言執行環境、作業系統或自訂信任設定。僅更新 SDK 可能無法改變底層政策。

修補後，您可能會在儀錶板上看到憑證錯誤。重要的是不要透過停用驗證來解決這些錯誤。這將移除更新旨在恢復的身份驗證保護。

此事件影響許多依賴 WebPKI 進行驗證的軟體堆疊。Mozilla 的 Dennis Jackson 已眾包常用套件清單，其中已進行修補。建議讀者儘速升級。（注意其中一些可能是您軟體堆疊的間接相依項，請檢視相依樹。）套用相關相依更新、重新建置受影響映像，並確認應用程式是否需要重新載入、重啟或重新部署。

Dennis Jackson 的測試網站提供瀏覽器檢查、非瀏覽器測試說明，以及套件更新資訊。結果僅適用於正在測試的驗證路徑，而非裝置上所有應用程式。請透過應用程式實際的 TLS 路徑進行驗證。成功的瀏覽器測試並不能證明背景服務已受到保護；若應用程式使用不同的驗證器，curl 測試亦同樣無法證明。

時間表

目前為止事件的時間表如下。

日期與時間	事件
10 月 19 日，約 17:00 UTC	Cloudflare 知悉此次違規並開始進行評估。
10 月 20 日，02:00 UTC	Cloudflare One Client 與 WARP 應用程式的安全更新已跨平臺發布（iOS 上的 Cloudflare One Agent 尚待應用審核）。
10 月 20 日 09:15 UTC	Cloudflare Tunnel（cloudflared）的安全更新已發布。
10 月 20 日 19:20 UTC	CDN 與伺服器端的零信任緩解措施已全面部署。

展望

此事件的影響並非均等。瀏覽器維護者能夠透過一個開關即時修復問題。他們當然只需要更新一個應用程式，而非數百個，但他們也擁有一個絕妙的技巧：大多數瀏覽器使用快速撤銷機制（如 Chrome CRLSets）。在 Cloudflare，我們也為部分產品使用類似機制。為了將此技術推廣至 Cloudflare 及業界更多系統，我們對像 upki 這樣的專案感到興奮，因為它理解信任庫不能是靜態的根憑證授權列表，而必須能快速更新撤銷及憑證透明度金鑰等資訊。