Certificate-Authority

บริษัท Microsoft ออกอัปเดต Windows นอกรอบเมื่อ 26 ตุลาคม 2569 ถอดใบรับรองที่เกี่ยวกับ eMudhra 7 ใบออกจากรายการที่ Windows เชื่อถือ และใช้กับ Edge ตามมาเมื่อ 27 ตุลาคม มาตรการนี้ต่อจากการบล็อก CA ตัวกลาง 8 ใบที่กุญแจส่วนตัวถูกกู้ได้เพราะสร้างกุญแจแบบอ่อน ใน 8 ใบมี 6 ใบสำหรับ TLS ที่ปลอมเว็บไซต์ได้ และ 2 ใบสำหรับ code signing ที่ทำให้มัลแวร์ดูน่าเชื่อถือ Microsoft ยังไม่พบหลักฐานว่ามีการใช้กุญแจโจมตีลูกค้า ผู้ดูแลควรให้อัปเดต trust list ถึงทุกเครื่อง และย้ายใบรับรองที่ต่อสายกับ 7 ใบนี้

Oracle ออก Security Alert ฉุกเฉินเมื่อ 21 ตุลาคม 2569 แก้ CVE-2026-91403 คะแนน CVSS 9.1 ใน JSSE ของ Java SE และ GraalVM ต้นเหตุคือใบรับรอง CA ตัวกลางของ eMudhra ที่ใช้กุญแจส่วนตัวอ่อน ผู้โจมตีที่อยู่กลางทางจึงปลอมใบรับรองให้โดเมนใดก็ได้และทำให้ Java เชื่อถือ อัปเดตนี้สั่งให้ Java เลิกเชื่อถือใบรับรองตัวกลางชุดนั้น ยังไม่มีรายงานการโจมตีจริง แต่โจมตีได้ง่ายโดยไม่ต้องยืนยันตัวตน

บริษัท eMudhra CA จากอินเดียประกาศถอนตัวจากธุรกิจใบรับรอง SSL/TLS ทั่วโลก 5 วันหลังนักวิจัยแจ้งว่ากู้กุญแจส่วนตัวของ CA ตัวกลาง 8 ใบได้ กุญแจทั้ง 8 มีค่าต่ำกว่า 256 จึงคำนวณได้แทบทันที Chrome จะเลิกเชื่อถือราก emSign ECC Root CA - G3 ราว 27 ตุลาคม ใบรับรองราว 30,800 ใบใต้รากนี้ 99.9% ออกผ่าน InCommon ของมหาวิทยาลัยสหรัฐฯ Chrome ยังตั้งคำถาม 12 ข้อเรื่องความโปร่งใส และยังพิจารณาสถานะราก G1

GoDaddy เพิกถอนใบรับรอง SSL/TLS 404,607 ใบ หลังบุคคลภายนอกพบว่าใบรับรองในเชน GoDaddy และ Starfield มีข้อมูล policy OID และ CPS URI ไม่ตรงกับ CP/CPS ที่ประกาศไว้ ตาม Baseline Requirements ต้องเพิกถอนภายใน 5 วัน แต่เมื่อถึงเส้นตาย 18 ตุลาคม เพิกถอนได้เพียง 170,566 ใบ จึงเกิดเหตุไม่สอดคล้องครั้งที่สอง ใบรับรองส่วนใหญ่เป็นแบบ DV และเหตุนี้ไม่ใช่การขโมยกุญแจส่วนตัว ลูกค้าที่ยังไม่ติดตั้งใบใหม่อาจเจอคำเตือนในเบราว์เซอร์หรือเข้าเว็บไม่ได้

Mozilla และ Chrome Root Program ยืนยันเมื่อ 20 ตุลาคม 2569 ว่ากุญแจส่วนตัวของใบรับรอง CA ตัวกลาง 8 ใบของบริษัท eMudhra จากอินเดียหลุดออกไป ผู้ถือกุญแจออกใบรับรอง TLS ที่เบราว์เซอร์ยอมรับได้ทุกเว็บไซต์ Chrome และ Firefox บล็อกได้ภายในไม่กี่ชั่วโมงหลังนักวิจัยแจ้งเมื่อ 17 ตุลาคม และยังไม่พบใบรับรองที่ออกจากกุญแจเหล่านี้ใน Certificate Transparency Go ออกแพตช์ฉุกเฉิน CVE-2026-111943 ส่วน certifi, webpki-roots และ NSS ตัดราก emSign ECC Root CA - G3 ออก ซอฟต์แวร์ที่ไม่ตรวจการเพิกถอนต้องอัปเดตเอง

บริษัท Cloudflare กำลังสร้าง certificate authority แบบ post-quantum ด้วยเทคนิค Merkle Tree Certificates (MTC) เพื่อทำการยืนยันตัวตนเว็บยุคควอนตัมให้ใช้งานได้จริงโดยไม่ถ่วง TLS ด้วยลายเซ็นขนาดใหญ่ บริษัทประเมินว่าลายเซ็น post-quantum อาจเพิ่มพื้นที่เก็บ Certificate Transparency ถึง 40 เท่า MTC จึงฝัง transparency ไว้ในขั้นออกใบรับรองผ่าน Merkle tree แบบ append-only การทดลองกับผู้ใช้ Chrome Beta พบว่าเร็วขึ้น 9% ตั้งเป้าเข้าสู่ root store ของ Chrome ต้นปี 2027 และออก MTC มาตรฐานได้ฟรี

AWS Certificate Manager ประกาศยกเลิกการยืนยันการควบคุมโดเมนผ่านอีเมลสำหรับใบรับรองสาธารณะอย่างถาวรภายในวันที่ 30 กันยายน 2570 เพื่อให้สอดคล้องกับมติของ CA/Browser Forum เมื่อเดือนพฤศจิกายน 2568 ที่กำหนดให้เบราว์เซอร์หลักเลิกเชื่อถือใบรับรองที่ยืนยันด้วยอีเมลตั้งแต่ 15 มีนาคม 2571 การยืนยันทางอีเมลถูกมองว่าเปราะบางมานาน ทั้งจากการเปลี่ยนเส้นทาง MX ที่ถูกยึด ลิงก์ยืนยันที่ถูกดักจับ และข้อมูลผู้ดูแลใน WHOIS ที่ล้าสมัย AWS เปิดให้เปลี่ยนวิธียืนยันในที่เดิมได้โดยไม่ต้องออกใบรับรองใหม่