Oito certificados TLS intermediários da eMudhra com chaves de 3 a 8 bits acendem alerta na internet

Os oito certificados são intermediários da autoridade certificadora indiana eMudhra Limited. O problema está nas chaves privadas: em vez de algo próximo dos 384 bits de entropia de uma chave NIST P-384, elas tinham de 3 a 8 bits. Quem recuperasse uma delas poderia assinar certificados para qualquer site, e navegadores e aplicativos aceitariam como confiáveis. Um aviso informal publicado em um domínio dedicado trazia a mensagem "We have a problem here, Wayne", assinada com a chave privada de um dos certificados, o que serviu de prova de controle.

Até a manhã de terça-feira, navegadores e alguns aplicativos e linguagens já tinham bloqueado os oito intermediários. Não há relatos de logs de Certificate Transparency mostrando uso malicioso das chaves. A exceção apontada é o Edge no Windows 10, que ainda se conectava a 12 hosts vulneráveis. A exploração exige um ataque ativo de adversário no meio (o atacante precisa atuar como proxy entre as duas pontas do TLS). Isso costuma ficar restrito a atores com muitos recursos, mas quem controla uma rede local, como em um café ou universidade, tem bem menos dificuldade. Signal, WhatsApp e Wireguard não dependem de TLS para confidencialidade e não são afetados.

Em 21 de outubro de 2026, o CEVIU noticiou "Oito certificados intermediários da eMudhra são comprometidos e acendem alerta na Internet", relatando que a Cloudflare soube em 19 de outubro de 2026 do comprometimento das chaves. Naquele momento o foco era o risco de forjar certificados. Agora o quadro avança para a resposta: os oito intermediários já foram bloqueados por navegadores e por parte dos aplicativos e linguagens, e a atenção passa para a cauda longa de atualização em distribuições Linux, IoT e trust stores embarcados.

Para quem opera VPN ou depende de TLS fora do navegador, a leitura é que a janela de risco está nos clientes que ainda não receberam o bloqueio. Vale inventariar o que carrega trust store próprio (contêineres, ferramentas de linha de comando, ecossistemas como Python) e acompanhar as atualizações das distribuições. O Certificate Transparency ajudou aqui, mas só detecta depois da emissão e exige monitoramento ativo.