事件概述

2026年10月20日，eMudhra证书颁发机构（CA）的私钥被证实已经遭到入侵。Ubuntu安全团队随即对系统PKI根证书存储作出了响应，通过ca-certificates软件包发布了更新补丁。

尽管eMudhra CA本身并未被Ubuntu直接信任为根证书，但有两个其他根CA曾为其签发了交叉签名：emSign Root TLS CA – G3和Comodo AAA Certificate Services。为确保已被攻破的eMudhra CA不再被信任，这两个根证书已从Ubuntu的ca-certificates信任列表中移除。这意味着凡是最终受上述两个根证书之一信任的合法证书，也将不再被信任。这种情况虽然概率不高，但可能会导致部分因使用了已吊销证书的主机无法访问。需要说明的是，AAA Certificate Services CA此前已在Ubuntu 22.04（Jammy Jellyfish）及更新版本中从CA捆绑包中移除。

受影响的Ubuntu版本

如何确认是否受影响

你可以通过以下命令检查ca-certificates软件包的版本：

dpkg -l 'ca-certificates' | grep ^ii

证书机构被攻破的影响

未经授权的一方可以签发伪造的X.509证书；这些伪造证书将能够通过信任eMudhra CA的TLS实现（通常是TLS客户端）的验证。公钥锁定或DNS证书颁发机构授权（CAA）记录等缓解措施可以提供检测此类伪造证书的能力，但这些措施依赖于TLS应用是否使用了这些缓解手段，目前并未被广泛采用。

这可能导致TLS端点的身份被冒充，攻击者可以利用中间人手段截获并破坏TLS连接的机密性和完整性，除非采用了缓解措施，否则无论真实TLS端点使用的是哪个CA都不会受到影响。

如何应用修复

我们建议你升级所有软件包：

sudo apt update && sudo apt upgrade

如果无法进行全部升级，可以单独针对受影响的组件进行修复：

sudo apt update && sudo apt install --only-upgrade ca-certificates

unattended-upgrades功能在Ubuntu 16.04 LTS及以上版本中默认启用。该功能：

• 每24小时自动应用最新的安全更新。
• 如果你已启用此功能，上述补丁将在发布后24小时内自动应用。

Ubuntu 26.10、26.04 LTS、24.04 LTS和22.04 LTS作为标准支持的一部分接收这些修复。如果你使用的是Ubuntu 20.04 LTS或更早版本，可以通过Ubuntu Pro订阅提供的扩展安全维护（ESM）服务来应用此修复。Ubuntu Pro对于最多5台机器免费使用，社区成员可支持最多50台机器。Ubuntu Pro还提供Landscape访问权限，使你能够控制安全修复在整个环境中的部署。了解更多。

Ubuntu桌面用户的注意事项

在Ubuntu桌面上，最常见的TLS客户端是浏览器。它们通常以snap包的形式安装，并不使用由ca-certificates软件包提供的系统信任存储。Snap包默认每天刷新四次。如果你已禁用自动更新，请确保手动刷新你的snap包。

参考资料

• https://ubuntu.com/security/notices/USN-8944-1
• https://ubuntu.com/security/notices/USN-8944-2
• https://emudhra.we-have-a-problem.com/

关注微信号：智享开源 ，及时了解更新信息。

原文链接：https://ubuntu.com//blog/emudhra-ca-compromise-fixes-available