TLS中間証明書8件の秘密鍵漏洩で世界が緊張
原題: The Internet goes on high alert after discovery of 8 compromised TLS certs
なぜ重要か
中間CA証明書の鍵漏洩はインターネット全体の信頼基盤を揺るがし、IoT・組み込み機器を含む長期的な修復コストが業界全体に波及する。
2026年10月20日、インドの認証局eMudhra Limitedが発行した8件のTLS中間証明書の秘密鍵が極めて脆弱であることが判明した。発見者は当該鍵でデジタル署名した非公式の警告を公開し、世界中のセキュリティ担当者が対応に追われている。主要ブラウザや一部のアプリ・プログラミング言語は同日中に8件すべての証明書をブロックした。
問題が表面化したのは火曜日の午前中。「emudhra.we-have-a-problem.com」に掲載された非公式アドバイザリに「We have a problem here – Wayne」というメッセージが投稿され、eMudhraの証明書秘密鍵を使って電子署名されていた。これは報告者が当該鍵を実際に制御していることの証明であり、同じ鍵を使えば世界中の何百万ものサーバーが信頼する不正証明書を発行できることを意味する。
eMudhra Limitedはインドに拠点を置く認証局で、今回の8件はいずれも中間証明書。中間証明書は、任意のインターネットサーバー向けにブラウザやアプリが信頼する証明書を発行できる強力な権限を持つ。証明書透明性ログを確認した限りでは、漏洩した鍵が悪用された形跡はまだ報告されていない。
ただし、脅威が去ったわけではない。Linuxディストリビューション、Dockerコンテナ、IoTデバイス、独自のルート証明書を同梱する各種CLIツールなど、アップデートが難しい環境が膨大に残るためだ。Go言語の暗号化メンテナーであるFilippo Valsordaは「Heartbleedより大規模な後処理になる。IoTデバイス、Dockerコンテナ、放置されたLinuxマシン、独自ルートを同梱した管理されていないCLIツールなど非常に長い後始末が続く。Linuxディストリビューションもまだ更新を展開中で、システム管理者は多数のマシンへの適用が必要だ」とArsTechnicaに語った。
2014年に発覚したOpenSSLの脆弱性Heartbleedは大規模悪用を招き、TLS保護された通信の復号や秘密鍵・セッションクッキー・パスワードの窃取が相次いだ。復旧には数年を要した。Valsordaは「今回は関与する文脈・人・環境の多様性がさらに増しており、状況はさらに深刻だ」と述べた。漏洩した鍵の脆弱性の深刻さは、現場のエンジニアの想像を超えるレベルとされている。