Em 22 de outubro de 2026, a eMudhra anunciou que seu conselho decidiu sair voluntariamente do negócio global de certificados SSL/TLS. A empresa descreveu uma transição para os clientes, com continuidade de atendimento e certificados substitutos gratuitos fornecidos por parceiros.
O que muda para os clientes
A eMudhra disse que suas raízes G1 RSA continuarão atendendo clientes durante a transição. A empresa também afirmou que entrará em contato com os clientes afetados e providenciará certificados substitutos sem custo por meio de parceiros. Os serviços de consulta de status e revogação dos certificados devem continuar até que todos os certificados emitidos expirem ou sejam substituídos.
O anúncio apresenta uma decisão de saída e um plano de transição. Para o contexto da etapa anterior, incluindo a revogação e a alternativa da Sectigo, veja a cobertura sobre a alternativa citada pela eMudhra.
O incidente afetou seis intermediários TLS e dois de assinatura de código
Um certificado intermediário autoriza a emissão de outros certificados dentro de uma cadeia de confiança. A Mozilla identificou oito intermediários da eMudhra com chaves privadas recuperáveis: seis usados para TLS e dois para assinatura de código. TLS é o protocolo que protege conexões, como as feitas entre um navegador e um site.
A Mozilla recuperou as oito chaves em 17 de outubro de 2026. Eram chaves de curva elíptica P-384 cujos valores privados eram inferiores a 256. A eMudhra afirmou que nenhum certificado final, destinado a sites ou usuários, havia sido emitido pelas autoridades certificadoras afetadas. A Mozilla registrou que um dos intermediários TLS G3C estava ativo e foi desativado.
A explicação preliminar da eMudhra aponta para uma falha em um script durante uma cerimônia de geração de chaves. Segundo a empresa, um teste de wrap/unwrap produziu chaves fracas junto das chaves previstas, e rótulos semelhantes contribuíram para que as fracas fossem usadas em solicitações de assinatura de certificados. A eMudhra disse que sua investigação ainda buscava estabelecer a causa raiz. A empresa também afirmou que sua infraestrutura não foi comprometida e que não houve violação de dados.
Por que a eMudhra decidiu sair
A empresa afirmou que SSL/TLS representava cerca de 1% de sua receita global. Entre os motivos citados para a saída, mencionou custos e complexidade crescentes ligados a exigências de conformidade e soberania de dados, a oferta de certificados gratuitos e o escrutínio após o incidente.
A eMudhra também declarou que seus serviços de assinatura digital, eSign, PKI empresarial, assinatura eletrônica, identidade e autenticação operam em infraestrutura separada e não foram afetados pelo incidente.
