CVE-2026-111943 eMudhra中级 CA 私钥泄露CVE修复

技术社区 作者：aTrust 2026-10-21 23:40:56 阅读：0

近期，公共 CA 机构 eMudhra 的 8 张中级 CA 证书被确认私钥泄露。该缺陷源于 CA 生成密钥时的实现错误 —— 私钥可由证书本身直接还原，任何拿到它的人都能为任意域名签发"合法"的 TLS 证书和代码签名证书，而这些证书链至主流浏览器与操作系统共同信任的根证书。

本次更新仅涉及 ca-certificates 一个软件包，请尽快升级。

漏洞信息

漏洞编号： CVE-2026-111943

漏洞描述：受影响的 8 张中级证书中，6 张为 TLS 签发证书（DV / OV / EV TLS CA - G3B、G3C），链至 emSign Root TLS CA - G3；2 张为代码签名证书（EM OV CS CA - G3B、G3C），链至 emSign Root CS CA - G3。此外还存在 Sectigo 签发的、链至 AAA Certificate Services 的交叉签名副本。

危害：持有这些私钥的攻击者若处于网络中间位置，可对不检查证书吊销状态的客户端实施中间人攻击——伪造任意网站、窃取或篡改通信内容。由于这些中级证书在证书透明度（CT）日志中没有任何记录，强制校验 CT 的浏览器（Chrome、Edge、Firefox、Safari）不受影响；但 curl、wget、git、pip、apt 等使用系统信任库的组件无法获知吊销信息，会持续信任这些证书，必须通过本次更新修复。

漏洞等级：  严重（CVSS 9.1）

影响范围

所有未更新本次修复的 deepin 25 用户，建议立即更新升级。

修复进展

deepin 25：

ca-certificates 已升级至 20250419+deb13u1，沿用 Debian 安全团队的处理方式（Debian Bug #1151413）：将受影响的 emSign ECC Root CA - G3 与 Comodo AAA Services root 两条根证书移出系统信任库，一并切断上述 8 张中级证书及其交叉签名副本的信任链。

请通过 控制中心 更新，或使用终端命令升级：

sudo apt update && sudo apt dist-upgrade

本次更新无需重启系统，重启正在运行的程序即可加载更新后的信任库。

提示： 移除根证书会连带影响该根证书下其它正常签发的证书，个别站点可能出现证书校验失败，属预期行为，与 Debian、Mozilla NSS 等上游处置方式一致。