El 22 de octubre de 2026, eMudhra dijo que ponía certificados emitidos por Sectigo a disposición de sus clientes como alternativa. La declaración llegó después de que la empresa revocara ocho certificados de autoridad certificadora intermedia cuyas claves privadas eran débiles: seis correspondían a TLS y dos a firma de código.
Qué falló en las claves
Una autoridad certificadora intermedia emite certificados que, junto con una autoridad raíz, forman una cadena de confianza. Mozilla registró que las ocho claves privadas afectadas usaban P-384, pero sus valores enteros eran inferiores a 256. La organización recuperó las claves de forma independiente y casi instantánea. La debilidad estaba en los valores generados, no en una ruptura del algoritmo P-384.
Las claves procedían de una ceremonia de generación del 30 de abril de 2025, dentro de un lote de 24 autoridades certificadoras subordinadas. eMudhra describió de forma preliminar una desviación en una prueba de envoltura y desenvoltura que habría generado un segundo par de claves débiles, usado por error para las solicitudes de firma de certificados.
Mozilla registró la revocación de los ocho intermediarios el 18 de octubre de 2026, con el motivo caCompromise.
Qué certificados y clientes resultaron afectados
eMudhra afirmó que siete de los ocho intermediarios nunca se utilizaron en producción y que el único que llegó a desplegarse no emitió certificados de entidad final, los que identifican a sitios web o usuarios. La empresa también dijo que las claves afectadas pertenecían a intermediarios, no a sus autoridades raíz.
El efecto de la desconfianza en la raíz ECC asociada tuvo un alcance distinto: eMudhra señaló que afectó al ecosistema de un cliente en Estados Unidos y que sus certificados estaban siendo sustituidos. Una captura de Transparencia de Certificados de Mozilla del 21 de octubre de 2026 contabilizó unos 30.800 precertificados sin caducar que encadenaban con emSign ECC Root CA - G3. De ellos, 30.791 procedían de dos autoridades subordinadas de Internet2/InCommon y 18 de intermediarios de eMudhra. El total corresponde a precertificados asociados a esa raíz, no a certificados emitidos por los ocho intermediarios afectados.
Por qué también importan las aplicaciones fuera del navegador
Los navegadores no son el único software que valida certificados. VPN, equipos de red, sistemas de compilación y dispositivos integrados pueden usar almacenes de confianza propios, con reglas de revocación distintas. Cisco Talos aconsejó actualizar el software que gestiona TLS y revisar el almacén de confianza y la comprobación de revocaciones que utiliza cada sistema.
Talos indicó que Go 1.27.3 y Go 1.26.10 filtran cadenas que contienen las huellas SPKI SHA-256 de los ocho intermediarios; el aviso relaciona el problema con CVE-2026-111943. El efecto práctico de una actualización depende del recorrido de validación que use cada aplicación.
Talos dijo que, hasta el 21 de octubre de 2026 a las 14:00 UTC, no había observado incidentes maliciosos en circulación relacionados con estos certificados.
