8 Sertifikat CA eMudhra Bocor, Semua Browser Blokir
Judul asli: EMudhra Intermediate CA Compromise
Mengapa Ini Penting
Kompromi CA root menyentuh kepercayaan dasar internet — TLS tidak lagi menjamin identitas.
Kunci privat 8 sertifikat intermediate CA milik eMudhra bocor. Mozilla, Chrome, Apple, dan Microsoft memblokir sertifikat tersebut sejak 17–20 Oktober 2026.
Peneliti keamanan bernama Wayne menemukan bahwa kunci privat delapan sertifikat intermediate CA dari otoritas sertifikat India, eMudhra, telah bocor ke tangan pihak yang tidak berwenang. Untuk membuktikan kompromi ini, Wayne menandatangani pesan khusus menggunakan masing-masing kunci privat tersebut, lalu melaporkan temuan itu kepada tim Root Program pada 17 Oktober 2026.
Sertifikat-sertifikat yang bocor tersebut berantai ke root certificate yang dipercaya oleh Mozilla, Microsoft, Apple, dan Chrome — artinya penyerang yang memiliki kunci privat tersebut secara teoritis dapat menyamar sebagai situs web atau layanan mana pun.
Firefox dan Chrome memblokir sertifikat ini sejak 17 Oktober, perangkat Apple sejak 19 Oktober, dan Microsoft sejak 20 Oktober. Pemblokiran dilakukan melalui mekanisme distribusi informasi pencabutan seperti OneCRL, CRLite, dan CRLSets. eMudhra sendiri juga telah mencabut sertifikat intermediate yang terdampak.
Masalahnya, banyak klien lain tidak mengonsumsi informasi pencabutan dan membutuhkan pembaruan perangkat lunak. Beberapa paket yang sudah diperbarui antara lain Go (versi 1.27.3/1.26.10), Python certifi (2026.10.19), Ubuntu ca-certificates, Electron, dan NSS 3.131.1. Node.js dan Composer masih dalam status pending.