CERT Polska poinformował o utracie poufności kluczy urzędów certyfikacji eMudhra (emSign). Problem może dotyczyć firmy, nawet jeśli nigdy nie kupowała ich certyfikatów: wystarczy, że ufa im używane oprogramowanie.
Co oznacza ten incydent
Błąd generowania kluczy pozwolił odtworzyć je z publicznych certyfikatów. Mogą służyć do wystawiania fałszywych certyfikatów TLS i podpisywania złośliwych programów. Podsłuch połączenia wymaga dodatkowo przechwycenia lub przekierowania ruchu oraz zaakceptowania fałszywego certyfikatu przez aplikację.
Według komunikatu z 22 października certyfikaty unieważniono, a główne przeglądarki otrzymały blokady. Pozostałe aplikacje mogą jednak korzystać z własnych, nieaktualnych magazynów zaufania lub nie sprawdzać unieważnień. CERT wymienia m.in. kontenery Docker, środowiska aplikacyjne, urządzenia wbudowane i komputery offline.
Co przekazać administratorowi
CERT zaleca aktualizację oprogramowania i magazynów certyfikatów, w razie potrzeby przebudowę obrazów kontenerów, oraz wymianę certyfikatów unieważnionych lub pozbawionych zaufania. Trzeba sprawdzić także łańcuchy prowadzące do Sectigo „AAA Certificate Services”. Usunięcie samego certyfikatu głównego eMudhra może nie wystarczyć. Poprawny wynik testu przeglądarki nie potwierdza bezpieczeństwa innych programów.
Jak dopilnować sprawdzenia w firmie
Zalecamy poprosić dostawcę IT o potwierdzenie, które aplikacje i urządzenia sprawdził, kiedy zaktualizował ich magazyny zaufania oraz czy po zmianach działają połączenia z używanymi usługami. W protokole prac powinny znaleźć się również systemy odłączone od Internetu i kontenery odtwarzane ze starszych obrazów.
Przed zmianą konfiguracji ustalcie sposób przywrócenia usługi w razie problemów. Nie polecajcie pracownikom omijania ostrzeżeń o certyfikatach, aby „tymczasowo” uruchomić niedziałające połączenie. Takie ostrzeżenie wymaga wyjaśnienia przez administratora.
Źródło: CERT Polska / NASK, komunikat 199/2026 z 22.10.2026. Opracowanie Domenafirmy: skrót i redakcja własnymi słowami, uzupełnione zaleceniami dla firm. Materiał CERT i jego opracowanie udostępniono na licencji CC BY-SA 4.0. Okładka: ilustracja koncepcyjna AI przygotowana dla Domenafirmy; nie jest materiałem CERT.