Huit certificats TLS compromis sèment l'alerte mondiale
Original : The Internet goes on high alert after discovery of 8 compromised TLS certs
Pourquoi c'est important
La chaîne de confiance TLS mondiale repose sur ces certificats intermédiaires.
Huit certificats TLS intermédiaires d'eMudhra Limited, autorité de certification indienne, ont été compromis : leurs clés privées, trop faibles, permettaient à quiconque de signer des certificats valides pour n'importe quel site.
Mardi 20 octobre 2026, les équipes de sécurité mondiales sont passées en mode crise après la découverte de huit certificats intermédiaires appartenant à eMudhra Limited, une autorité de certification basée en Inde. Le problème : leurs clés privées présentaient des failles si graves qu'un attaquant aurait pu forger des certificats de confiance pour n'importe quel serveur sur Internet. La preuve a été publiée sur emudhra.we-have-a-problem.com, un message signé numériquement avec la clé privée d'un des certificats compromis — démontrant que la personne ayant découvert la faille avait le contrôle total de cette clé. Les éditeurs de navigateurs ainsi que des langages comme Go ont bloqué les huit certificats dans la matinée. Aucune exploitation malveillante n'a pour l'instant été détectée dans les journaux de transparence des certificats. Mais le nettoyage s'annonce colossal. Filippo Valsorda, ingénieur en cryptographie et mainteneur de Go, a déclaré à Ars Technica : « Ce sera un chantier de nettoyage massif, plus grand qu'Heartbleed. » Il cite les appareils IoT, les containers Docker, les distributions Linux en cours de mise à jour et les outils CLI embarquant leurs propres copies des racines de confiance. Heartbleed, en 2014, avait déjà nécessité des années de remédiation à l'échelle mondiale.