eMudhra 证书事件迎来苹果方面的重要修复：macOS 27.2.1 版终于也从命令行工具里拒绝信任受影响的中间证书。 此次更新苹果为 Git、cURL 等工具移除 12 张中间证书的信任，同时从命令行证书列表里删除 5 张根证书。 这些问题证书可能会被用于发起中间人攻击，建议 macOS 用户也尽快升级到最新版。 以上为内容摘要，查看全文：

印度证书颁发机构 eMudhra/emSign 泄露 8 张证书私钥引起互联网地震，大量浏览器和框架类软件发布更新封锁问题证书。 这些证书使用有缺陷的私钥生成器导致字符不足，其中有张证书甚至只有 4 字符。 攻击者也可以通过穷举法获得私钥然后为任意网站签发证书用于中间人劫持，这也是浏览器和操作系统开发商都在发布紧急更新的原因。 查看全文：

据 CoinDesk，印度数字证书机构 eMudhra 因密钥生成过程随机性不足，导致旗下 8 个中间证书颁发机构的私钥可能被攻击者推算，进而伪造可信数字证书。该问题波及以太坊共识客户端 Teku 和执行客户端 Besu，在特定配置下，攻击者可能通过伪造服务端身份，诱导验证者将区块奖励发送至攻击者地址，甚至利用外部签名服务更改奖励接收地址。两款客户端已分别发布 v26.10.3 和 v26.10.2 安全更新，移除对相关证书的信任。Teku 强调，默认配置的以太坊主网节点不受影响，目前尚无漏洞被实际利用的报告。

据 Bitcoin News 报道，印度 eMudhra 签发的 8 份 TLS 证书被发现私钥强度极弱，攻击者可能借此冒充几乎任何网站。主要浏览器已屏蔽受影响证书，但数百万台服务器、Linux 系统和联网设备或仍需更新。一名密码学专家警告称，此次清理规模可能超过 2014 年的 Heartbleed 漏洞，目前尚未确认存在恶意利用。

本周最可笑的新闻，莫过于印度证书颁发机构 eMudhra 的私钥被破解。 不是黑客手段高超，而是它的私钥就是数字4！ 它把私钥的前面所有字节设为0，最后一个字节是4。无语了，各大浏览器不得不紧急撤销对它签发的证书的信任。 印度公司的行事风格，总是刷新你的认知。

印度阿三的不靠谱风评，真不是一天两天攒出来的。 eMudhra 这次真是离谱，证书私钥猜 255 次就能撞出来，差点把全球 HTTPS 一锅端了。 浏览器还能紧急拉黑，惨的是那些常年不更新的服务器和 IoT 设备，这坑不知道要埋多久。

你，是一个普普通通平平无奇的运维 今天中午你刚休息完，拿着一杯咖啡坐回了自己的工位上 想象一下你司架构是 nginx(CVE-2026-15176, CVE-2026-93479, CVE-2026-97205, CVE-2026-95101, CVE-2026-97629) 反向代理，后面挂着 PHP 8.1(CVE-2026-109618, CVE-2026-109619) 主站、Node.js 24.x(CVE-2026-111497, CVE-2026-105482, CVE-2026-105483, CVE-2026-106069, CVE-2026-105481, CVE-2026-106072, CVE-2026-106074) Brotli 网关、Go(CVE-2026-111943) 微服务、Rust TLS 校验层(RUSTSEC-2026-0382, CVE-2026-111943) 、Python + LiteLLM 1.107.0 AI 中台，全部跑在 Linux 内核 c6e50df8 之前，HTTPS 证书由 eMudhra 签发并通过 emSign 交叉认证，根证书库用 Go(CVE-2026-111943) crypto/x509 + Rust(RUSTSEC-2026-0382, CVE-2026-111943) webpki-roots + Python certifi，CI 昨晚刚从 PyPI(LiteLLM 1.107.0被投毒) 拉了新包 而你，是这个网站的唯一运维