8 款 eMudhra 证书遭泄露，您需要了解这些信息

Cloudflare 在 2026 年 10 月 20 日披露，与 8 张 eMudhra 中间证书关联的私钥已经泄露，相关证书曾被浏览器、操作系统及 Cloudflare 自身广泛信任。云flare 已紧急更新 Cloudflare One Client（包括 WARP 和 1.1.1.1 客户端）以及 Cloudflare Tunnel 客户端 cloudflared，并在 CDN、开发者服务和 Zero Trust 产品中部署缓解措施。其安全审查尚未发现该问题在 Cloudflare 服务上被实际利用，但这并不代表其他环境不存在利用行为。

泄露带来的实际风险

问题出在中间证书的私钥及其密钥强度。攻击者可能借此签发伪造证书，冒充任意域名的合法服务器，进而拦截或篡改流量。此次事件影响的是基于 WebPKI 的证书身份认证，并非 TLS 加密算法本身出现缺陷，因此启用更强的加密套件不能解决认证链被绕过的问题。

哪些系统需要立即检查

并非只有直接运行云服务的前端才需要关注。API 客户端、后台任务、容器镜像、反向代理及访问外部服务的程序，都可能通过不同的组件验证证书。

• 检查应用实际使用的证书验证路径。它可能位于 SDK、HTTP 库、语言运行时、操作系统或自定义信任配置中，仅升级 SDK 并不一定改变底层验证策略。
• 更新相关依赖，包括间接依赖；随后重新构建镜像，并根据部署方式执行重载、重启或重新部署，使修复真正生效。
• 审查内置或自定义信任库。此类应用需要单独评估，不能假设系统或 Cloudflare 的更新会自动覆盖其配置。
• 不要通过关闭证书验证来消除更新后出现的报错，否则会移除这些更新原本要恢复的服务器身份认证保护。

验证结果不能代表整个设备安全

浏览器检测成功，只说明浏览器所使用的验证路径已经生效；使用 curl 测试成功，也只代表 curl 所调用的验证器正常。后台服务、同容器中的其他进程或依赖不同信任库的程序，仍可能处于风险之中。测试时应尽可能通过应用真实的 TLS 连接路径，并分别验证浏览器、命令行工具和后台服务。

对于使用 Cloudflare Zero Trust Gateway 且客户端保持最新版本的环境，官方资料称其已自动受到保护。浏览器维护者则可通过吊销机制快速移除对问题证书的信任。Cloudflare 后续还在推进进一步修复，并关注 upki 等项目，以提升分布式信任库快速接收吊销和证书透明度信息的能力。

资料来源：8 eMudhra certificates are compromised. Here's what you need to know（2026-10-20）。