印度证书机构 eMudhra 的8张中间证书私钥被曝严重缺陷，其中一个私钥值竟然是整数4。四大浏览器紧急吊销，但微信内置浏览器6天后仍可连接问题证书——修复速度的分化，暴露了互联网基础设施的结构性软肋。
8
张受影响的中间CA证书
255
次穷举即可猜出私钥
<1秒
笔记本暴力破解耗时
一个数字"4"如何击穿HTTPS信任链
1
正常私钥：384位随机熵
P-384椭圆曲线私钥应有2³⁸⁴种组合，穷举破解理论上需几千亿年。
2
eMudhra实际只用了1字节熵
前383位全部填0，最后1字节才有实际随机数——最多只有256种可能。8个私钥的值分别是4、56、66、115、155、156、230、237。
3
攻击者可伪造任意网站证书
掌握私钥即可以eMudhra身份为任意域名签发浏览器无条件信任的证书，冒充银行、邮箱、API服务。
4
四大根证书体系全部受波及
这8张中间证书链接Mozilla、Microsoft、Apple、Chrome四大体系，等于撬开了全球HTTPS信任地基。
印度 emudhra 中间证书私钥存在严重缺陷: chrome、firefox 迅速阻断, go、python、rust 均需更新
IT之家
苹果连夜完成 vs 微信6天后仍未动
闪速 <3小时
Mozilla Firefox
通过OneCRL推送吊销名单，10月17日收报告、22:59 UTC完成全量更新，无需用户手动操作。
同日完成
Google Chrome
CRLSet封锁公钥哈希，无需重启或用户更新；交叉签名证书同步受保护。
连夜
Apple Safari
10月19日系统级撤销全部证书，次日恢复三个。通过系统证书库推送，绕过App更新。
6天后仍未修
微信内置浏览器
X5/xweb内核证书独立打包，必须随App版本更新。10月22日仍可连接问题证书。
为什么有些设备修起来"按年算"
主流浏览器（系统级）
数小时
远程推送吊销名单，用户无感知
微信等App内置证书
数天～数周
需厂商主动发版，依赖用户更新App
服务器 / Linux CA包
数月（需运维介入）
依赖运维人员主动更新ca-certificates包
物联网 / 无OTA设备
按年计，甚至永远
固件内置证书，无刷机渠道只能物理替换
安全大逃杀: https 证书、php、node.js 三连爆
看谁都像专家
印度人是真不靠谱啊! 又出事了, 三天之内炸了两颗雷!
韩氏直言
我的设备到底有没有风险？
已修复 · 低风险
已更新系统的Chrome / Safari / Firefox用户
浏览器已完成吊销，中间人攻击场景基本关闭。
需警惕
通过旧版微信App访问网站的用户
内置浏览器仍信任问题证书，高危场景：公共WiFi下浏览敏感网站。
高风险
未更新系统的老设备
证书撤销依赖系统推送，停止安全更新的设备长期暴露。
几乎无法修复
嵌入旧证书的物联网设备
摄像头、路由器等无OTA能力设备，修复周期以年计。
攻击前提
攻击者必须处于网络链路上游节点（如公共WiFi、ISP层），才能实施中间人攻击，普通家庭网络下触发概率较低。
同一周：互联网基础设施三连暴雷
HTTPS证书
eMudhra私钥事故
8张中间证书私钥为个位数整数，链接四大根证书体系，全球浏览器紧急吊销。
PHP漏洞 · CVSS 9.2
PHP2Shell：藏了14年的RCE漏洞
CVE-2026-109618/109619，无需登录即可执行任意代码。全球约70%网站使用PHP，芬兰、法国政府网站被迫临时下线。日本首相高市早苗公开发文要求站长紧急打补丁。
Node.js
最高严重级别安全更新
与PHP漏洞同期披露，同样含远程代码执行漏洞，开发者需尽快升级。
"想象一下：你有一个用 Go + PHP + Node.js + Nginx 的网站，在 Linux 上运行，通过 HTTPS 提供服务，使用由 eMudhra 签发的证书……"
来源：看谁都像专家
七成网站一夜裸奔！补丁还没发，攻击代码先满天飞 php爆出史上最严重漏洞之一
壮球热品
互联网的最大危机！php被曝致命漏洞，多国紧急下线政府网站
蓝莓球爱看科技
普通用户怎么做
✓
更新系统与主流浏览器
Chrome、Firefox、Safari已完成吊销，保持系统最新即可大幅降低风险。
!
更新微信App，公共WiFi下谨慎操作
微信内置浏览器证书需随App更新。在公共网络下登录敏感账户时，优先使用系统浏览器。
D
开发者：检查服务器是否依赖eMudhra证书
主动更新服务器的ca-certificates包，检查TLS证书链是否受影响，排查物联网设备固件。
事件进展
10月23日
事件发酵，微信仍未修复
差评报道：事件过去6天，微信客户端内置浏览器依然可连接问题证书。eMudhra股价触发20%跌停。
10月22日
PHP漏洞触发多国网站停服
PHP2Shell（CVSS 9.2）补丁提前发布，日本首相发文要求打补丁，《碧蓝幻想》等游戏、pixiv等网站紧急停服。
10月21日
Chrome、苹果、微软相继吊销
苹果10月19日、微软10月20日完成吊销；Node.js发布最高严重级别安全更新；事件公开发酵。
10月20日
Mozilla公告，Firefox 3小时内完成更新
Dennis Jackson发布调查进展，OneCRL推送完成，全量Firefox用户无感知完成防护。
10月17日
Wayne披露私钥泄露，Chrome当日核实
研究员Wayne向各大根证书运营团队报告，用私钥签名"我们有个问题"验证真实性；Chrome当天完成核实并部署CRLSet封锁。