ZONE.CI 全球网

Node.js于2026年10月21日发布安全更新，修复10个漏洞，含Brotli解码器远程代码执行及TLS主机名校验绕过等高危问题，并移除对已泄露eMudhra证书的信任。受影响版本涉及22.x、24.x和26.x发行线，建议相关团队尽快升级至22.23.4、24.22.1或26.12.1版本，同时更新内置依赖项以规避风险。

印度CA机构eMudhra（emSign品牌）因八张中间证书私钥过于简单（从1开始试最多255次即可破解）发生严重安全事件，涉及HTTPS证书和代码签名证书。Chrome、Firefox、Apple、Microsoft等主流浏览器迅速响应封禁，eMudhra于10月18日吊销证书。对普通用户影响有限，但开发者和运维人员需及时更新运行时信任库，防止中间人攻击风险。

eMudhra八张中间CA证书因P-384私钥强度严重不足面临被伪造风险，主流浏览器已通过SPKI哈希或OneCRL阻断，但VPN、旧运行时及独立证书库软件未必同步。事件尚无在野利用证据，但需按可被伪造处理。建议运维按信任来源分组更新，盘点证书消费者，用日志验证阻断效果，普通用户及时更新并警惕证书错误。

eMudhra事件中8个中间CA的P-384私钥对应整数均小于256，可通过少量枚举恢复，存在严重证书信任风险。Yakit新增eMudhra证书测试功能，支持生成相关CA签发的服务器证书，可在MITM中启用验证客户端证书信任情况。建议及时封禁相关CA或要求证书透明度。

印度eMudhra公司因操作失误生成8张含极低熵密钥的中间证书，密钥仅含3至8位熵，可被轻易破解。Cloudflare于2026年10月19日发现私钥泄露，主流浏览器已切断信任。目前无证据表明被利用，eMudhra承认人为失误并排查中。建议用户更新浏览器和系统。

CVE-2026-91403影响OracleJavaSE及GraalVM的JSSE组件，CVSS9.1，网络可达无需认证，可导致数据机密性和完整性受损。修复通过取消对eMudhra相关中间CA证书的信任实现。建议优先盘点公网可达的受影响Java系统，按官方公告安装补丁，对无法立即升级的系统实施网络访问限制并持续监测。

印度证书颁发机构eMudhra的8张中间证书私钥泄露，影响全球HTTPS安全，引发浏览器紧急封锁，eMudhra股价大跌并退出全球SSL/TLS证书业务。事件源于密钥生成过程中的脚本错误，导致私钥强度极低，可轻易破解。

印度证书机构emudhra的8张中间证书私钥因生成环节缺陷被外部研究者秒破，密钥随机性仅一个字节，影响Chrome、Mozilla等信任链，涉及TLS和代码签名证书。Mozilla紧急移除对根证书信任，事件暴露密钥生成流程严重漏洞，需加强HSM使用与审计。

印度证书机构emudhra的8张中间证书私钥因生成环节缺陷被外部研究者秒破，密钥随机性仅一个字节，影响Chrome、Mozilla等信任链，涉及TLS和代码签名证书。Mozilla紧急移除对根证书信任，事件暴露密钥生成流程严重漏洞，需加强HSM使用与审计。