Sekiz eMudhra sertifikasının güvenliği ihlal edildi; tarayıcılara, CDN'lere ve istemcilere yamalar zorunlu oldu

Ne oldu

19 Ekim 2026'da yaklaşık 17:00 UTC'de Cloudflare, sertifika otoritesi eMudhra tarafından verilen sekiz ara sertifikanın arkasındaki private key'lerin ele geçirildiğini öğrendi. Cloudflare blog'una göre bu ara sertifikalar tarayıcılar, işletim sistemleri ve Cloudflare'ın kendi ürünleri tarafından yaygın şekilde güveniliyordu; bu da tek bir CA sorununu internet genelinde bir güven kırılmasına dönüştürüyor.

Cloudflare, anahtarların zayıf olduğunu, bu yüzden elinde tutan bir saldırganın herhangi bir domain için sertifika sahteleyebileceğini ve bunu sunucuları taklit etmek, aktarımdaki trafiği dinlemek veya değiştirmek için kullanabileceğini söylüyor. Şirket kapsamı konusunda dikkatli: Bu, sertifika tabanlı kimlik doğrulamada bir kırılma; TLS'nin temelindeki şifreleme algoritmalarında bir zayıflık değil.

Cloudflare'ın yanıtı

Cloudflare, en kritik hizmetlerini kamuoyuna açıklamadan önce yamaladığını söylüyor; önce, bir bağlantının diğer ucunu garanti altına almak için herkese açık sertifikalara güvenen hizmetlere başladı — müşteri origin'lerine geri bağlanan proxy'ler ve harici API'leri çağıran uygulamalar gibi. Paylaşılan trust store'lar, base image'lar ve diğer ortak temeller güncellenerek bunlardan miras alan hizmetlere tek bir iyileştirme yolu sunuldu; bunları etkinleştirmek için gereken restart, reload ve image deployment'larıyla birlikte. Gömülü veya özel trust store'u olan uygulamalar ise ayrıca değerlendirildi ve güncellendi. Şirketin incelemesi, hizmetlerine karşı aktif istismar kanıtı bulamadı.

Zaman çizelgesi sıkışıktı. Cloudflare One istemcisi (WARP) ve 1.1.1.1 uygulaması için güncellemeler 20 Ekim'de 02:00 UTC'de yayına girdi — bir iOS build'i hâlâ uygulama incelemesini bekliyor — ve cloudflared düzeltmesi 09:15 UTC'de geldi. Aynı gün 19:20 UTC itibarıyla CDN ve sunucu tarafı Zero Trust ürünlerindeki iyileştirmeler tamamen dağıtılmıştı.

Hedeflenmesi gereken yamalı sürümler: Cloudflare One istemcisi Android'de v2.5.6 ve iOS'ta v1.12.16, 1.1.1.1 uygulaması Android'de v6.38.10 ve iOS'ta v6.31.7, masaüstü build'leri Windows, macOS ve Linux'ta 2026.8.2115.0 ve cloudflared 2026.10.2; container dağıtımları ise düzeltilmiş image'dan yeniden oluşturulmalı.

Operatörler ve geliştiriciler ne yapmalı

Cloudflare'ın müşteri rehberi birkaç yapılandırma yüzeyini kapsıyor. Özel TLS istemci kimlik doğrulaması kullanan ekipler, mutual-TLS trust store'larını ve istemci sertifikalarını doğrulamak için yüklenen CA'ları gözden geçirmeli. Full (strict) şifreleme kullanan müşteriler özel origin sertifikalarını ve sunucu yapılandırmalarını kontrol etmeli; Automatic SSL/TLS, artık güvenilmeyen sertifikalara bel bağlayan hesapları işaretlemek üzere güncelleniyor. Sandboxes dahil container kullanıcıları, etkilenen trust store'lar için image'larını ve bağımlılıklarını denetlemeli ya da giden trafiğin Cloudflare yönetimindeki altyapıda doğrulanması için HTTPS egress interception'ı etkinleştirmeli.

Geliştiriciler için Cloudflare, sertifika doğrulamasının çoğu zaman SDK'nın kontrol etmediği bir katmanda gerçekleştiğini vurguluyor — bir HTTP kütüphanesi, dil runtime'ı, işletim sistemi veya özel yapılandırma içinde — bu yüzden yalnızca SDK'yı güncellemek etkin politikayı değiştirmeyebilir. Yamalama, panolarda sertifika hatalarını ortaya çıkarabilir ve şirket, bu hataları doğrulamayı kapatarak ortadan kaldırmaya karşı açıkça uyarıyor; çünkü bu, güncellemelerin geri kazandırmaya çalıştığı korumayı ortadan kaldırıyor.

Mozilla'dan Dennis Jackson, düzeltmeleri içeren yaygın paketlerin listesini topluluk yardımıyla derledi; yanında tarayıcı kontrolleri ve tarayıcı dışı test talimatları sunan bir test sitesi de var. Cloudflare, test sonuçlarının yalnızca kullanılan doğrulama yolu için geçerli olduğu konusunda uyarıyor: temiz bir tarayıcı testi arka plan servisi hakkında hiçbir şey söylemez ve uygulamanız doğrulamayı başka bir doğrulayıcı üzerinden yapıyorsa temiz bir curl kontrolü de pek bir şey kanıtlamaz. Etkilenen paketler bağımlılık ağacının derinliklerinde olabileceğinden Cloudflare, ilgili güncellemeleri uygulamayı, image'ları yeniden oluşturmayı ve reload, restart veya yeniden dağıtım gerekip gerekmediğini teyit etmeyi öneriyor.

Neden önemli

Ele geçirilmiş bir ara sertifika, web PKI için neredeyse en kötü senaryodur: rakibin sahibi olmadığı domain'ler için güvenilir kimlik bilgileri basmasına izin verir ve HTTPS'in dayandığı kimlik doğrulama katmanını etkisiz bırakır. Toparlanma çabası ise eşitsiz. Tarayıcı üreticileri tehdidi neredeyse anında etkisiz hale getirebildi: tek bir uygulamayı güncelleyip Chrome'un CRLSets gibi hızlı iptal mekanizmalarına yaslanarak. Diğer herkes — CDN operatörleri, sunucu yazılımları, SDK bakımcıları, container image'ları ve donmuş bir trust store taşıyan her şey — uzun yoldan yamalamak zorunda.

Cloudflare, olayın trust store'ların statik kök listelerinden çok, iptal ve certificate-transparency bilgisiyle hızla güncellenebilen verilere benzemesi gerektiği görüşünü desteklediğini söylüyor ve bu yönde bir adım olarak upki projesine işaret ediyor. Bu tür bir mekanizma yaygınlaşana kadar pratik çıkarım basit: origin sunucuları, mutual-TLS kurulumları veya özel trust store'lar çalıştırıyorsanız, yukarıdaki yükseltmeler acildir.