Исследователь под псевдонимом Wayne обнаружил серьёзную уязвимость в системе проверки подлинности сайтов. Он сообщил, что восемь приватных ключей компании eMudhra, выдающей цифровые сертификаты, оказались настолько слабыми, что легко поддавались взлому.
Чтобы продемонстрировать проблему, исследователь подписал своё предупреждение этими восемью ключами следующим сообщением: "У нас здесь проблема – Wayne".
После обнаружения проблемы разработчики популярных браузеров и программного обеспечения начали выпускать срочные патчи. Mozilla получила уведомление вечером 17 октября и заблокировала опасные сертификаты примерно спустя три часа. Google Chrome сделал это в тот же день, Apple — 19 октября, а Microsoft — 20 октября. Сама компания eMudhra отозвала проблемные сертификаты.
Как выяснилось позже, вместо сложных случайных чисел длиной 384 бита, которыми должны защищаться приватные ключи сертификатов, eMudhra использовала очень маленькие числа вроде 4, 56 и 237. Исследователь Troy Hunt смог восстановить все восемь ключей менее чем за секунду, поскольку они оставались публично открытыми начиная с апреля 2025 года.
По данным Mozilla, причиной инцидента стал баг в скрипте настройки ключей компании. Хотя основные браузеры сейчас защищены, остаётся угроза для другого ПО. Многие программы не проверяют статус отзыва сертификата, поэтому злоумышленники могли бы использовать поддельные сертификаты для перехвата трафика приложений, работающих с биржами и финансовыми сервисами.
На данный момент атаки с использованием этих поддельных сертификатов не зафиксированы, однако исследователи выявили уязвимости в таких инструментах, как curl, Python, Node.js, Go и Java. Исправления уже выпущены для некоторых библиотек, но некоторые системы остаются уязвимыми.