Pki

บริษัท Microsoft ออกอัปเดต Windows นอกรอบเมื่อ 26 ตุลาคม 2569 ถอดใบรับรองที่เกี่ยวกับ eMudhra 7 ใบออกจากรายการที่ Windows เชื่อถือ และใช้กับ Edge ตามมาเมื่อ 27 ตุลาคม มาตรการนี้ต่อจากการบล็อก CA ตัวกลาง 8 ใบที่กุญแจส่วนตัวถูกกู้ได้เพราะสร้างกุญแจแบบอ่อน ใน 8 ใบมี 6 ใบสำหรับ TLS ที่ปลอมเว็บไซต์ได้ และ 2 ใบสำหรับ code signing ที่ทำให้มัลแวร์ดูน่าเชื่อถือ Microsoft ยังไม่พบหลักฐานว่ามีการใช้กุญแจโจมตีลูกค้า ผู้ดูแลควรให้อัปเดต trust list ถึงทุกเครื่อง และย้ายใบรับรองที่ต่อสายกับ 7 ใบนี้

บริษัท eMudhra CA จากอินเดียประกาศถอนตัวจากธุรกิจใบรับรอง SSL/TLS ทั่วโลก 5 วันหลังนักวิจัยแจ้งว่ากู้กุญแจส่วนตัวของ CA ตัวกลาง 8 ใบได้ กุญแจทั้ง 8 มีค่าต่ำกว่า 256 จึงคำนวณได้แทบทันที Chrome จะเลิกเชื่อถือราก emSign ECC Root CA - G3 ราว 27 ตุลาคม ใบรับรองราว 30,800 ใบใต้รากนี้ 99.9% ออกผ่าน InCommon ของมหาวิทยาลัยสหรัฐฯ Chrome ยังตั้งคำถาม 12 ข้อเรื่องความโปร่งใส และยังพิจารณาสถานะราก G1

GoDaddy เพิกถอนใบรับรอง SSL/TLS 404,607 ใบ หลังบุคคลภายนอกพบว่าใบรับรองในเชน GoDaddy และ Starfield มีข้อมูล policy OID และ CPS URI ไม่ตรงกับ CP/CPS ที่ประกาศไว้ ตาม Baseline Requirements ต้องเพิกถอนภายใน 5 วัน แต่เมื่อถึงเส้นตาย 18 ตุลาคม เพิกถอนได้เพียง 170,566 ใบ จึงเกิดเหตุไม่สอดคล้องครั้งที่สอง ใบรับรองส่วนใหญ่เป็นแบบ DV และเหตุนี้ไม่ใช่การขโมยกุญแจส่วนตัว ลูกค้าที่ยังไม่ติดตั้งใบใหม่อาจเจอคำเตือนในเบราว์เซอร์หรือเข้าเว็บไม่ได้

Mozilla และ Chrome Root Program ยืนยันเมื่อ 20 ตุลาคม 2569 ว่ากุญแจส่วนตัวของใบรับรอง CA ตัวกลาง 8 ใบของบริษัท eMudhra จากอินเดียหลุดออกไป ผู้ถือกุญแจออกใบรับรอง TLS ที่เบราว์เซอร์ยอมรับได้ทุกเว็บไซต์ Chrome และ Firefox บล็อกได้ภายในไม่กี่ชั่วโมงหลังนักวิจัยแจ้งเมื่อ 17 ตุลาคม และยังไม่พบใบรับรองที่ออกจากกุญแจเหล่านี้ใน Certificate Transparency Go ออกแพตช์ฉุกเฉิน CVE-2026-111943 ส่วน certifi, webpki-roots และ NSS ตัดราก emSign ECC Root CA - G3 ออก ซอฟต์แวร์ที่ไม่ตรวจการเพิกถอนต้องอัปเดตเอง

Let’s Encrypt จะออกใบรับรอง TLS อายุ 64 วันเป็นค่าเริ่มต้นตั้งแต่ 10 กุมภาพันธ์ 2570 แทน 90 วันเดิม เพื่อเตรียมเปลี่ยนเป็น 45 วันในปี 2571 ตามเกณฑ์ CA/Browser Forum ใบรับรอง 90 วันใบสุดท้ายจะหมดอายุ 11 พฤษภาคม 2570 และเริ่มทดสอบใบ 64 วันในระบบ staging แล้ว ระบบที่ใช้ ACME client รองรับ ARI จะต่ออายุตามจังหวะใหม่เอง ส่วนระบบที่ตั้งวันต่ออายุตายตัวควรปรับเป็นราวสองในสามของอายุใบรับรอง

Google เปิดเผยว่าผู้โจมตียึดระบบโดเมนระดับบนสุดประจำประเทศ 3 แห่ง ได้แก่ .gh (กานา) .sl (เซียร์ราลีโอน) และ .as (อเมริกันซามัว) แล้วแก้ DNS เพื่อขอใบรับรอง HTTPS ให้โดเมน Google ระบบของ Google ไม่ได้ถูกเจาะ แต่ทุกโดเมนใต้ 3 ccTLD นี้ตกอยู่ในความเสี่ยง บันทึก Certificate Transparency พบใบรับรองอย่างน้อย 12 ใบสำหรับ 7 โดเมนของ Google และ YouTube ออกระหว่าง 22-27 กันยายน 2569 Chrome บล็อกใบรับรองผ่าน CRLSets และ CA เพิกถอนครบแล้ว Google ระบุว่ามีแบรนด์ระดับโลกอื่นโดนด้วยแต่ไม่เปิดชื่อ

บริษัท Cloudflare กำลังสร้าง certificate authority แบบ post-quantum ด้วยเทคนิค Merkle Tree Certificates (MTC) เพื่อทำการยืนยันตัวตนเว็บยุคควอนตัมให้ใช้งานได้จริงโดยไม่ถ่วง TLS ด้วยลายเซ็นขนาดใหญ่ บริษัทประเมินว่าลายเซ็น post-quantum อาจเพิ่มพื้นที่เก็บ Certificate Transparency ถึง 40 เท่า MTC จึงฝัง transparency ไว้ในขั้นออกใบรับรองผ่าน Merkle tree แบบ append-only การทดลองกับผู้ใช้ Chrome Beta พบว่าเร็วขึ้น 9% ตั้งเป้าเข้าสู่ root store ของ Chrome ต้นปี 2027 และออก MTC มาตรฐานได้ฟรี

บริษัท AppViewX ผู้พัฒนาแพลตฟอร์มปกป้องตัวตนของเครื่องจักรและ AI agent เปิดตัวโครงการพันธมิตรทั่วโลกครั้งแรก มุ่งสนับสนุนคู่ค้าด้วย Partner Portal หลักสูตรอบรมก่อนการขาย และกรอบการทำงานร่วมกันที่โปร่งใส ต่อยอดจากผลิตภัณฑ์ Agent Identity Security ที่เพิ่งเปิดตัวไปก่อนหน้านี้ สะท้อนความต้องการโซลูชันด้านความปลอดภัยตัวตนของเครื่องจักรและ AI agent ที่เพิ่มขึ้นในยุค AI และควอนตัม

บริษัท AppViewX เปิดตัวผลิตภัณฑ์ Agent Identity Security สำหรับค้นหา กำกับดูแล รักษาความปลอดภัย และตรวจสอบ AI agent ทั่วทั้งองค์กร รองรับมาตรฐาน NIST AI RMF และ EU AI Act โดยสร้างบนรากฐาน PKI และ machine identity ที่พร้อมสำหรับยุค post-quantum

Anthropic เปิดเผยการวิเคราะห์นาน 1 ปีที่จับคู่ปฏิบัติการไซเบอร์ที่ใช้ AI กับ MITRE ATT&CK framework พบการเพิ่มขึ้นของการใช้ LLM สำหรับ lateral movement และ credential dumping นอกจากนี้ยังมี Grandoreiro banking trojan โจมตีธนาคารในโปรตุเกสและละตินอเมริกา Let’s Encrypt เตรียม Merkle Tree Certificates รองรับ post-quantum และ CISA เตือนระบบ ATG ที่เชื่อมต่ออินเทอร์เน็ตกำลังถูกโจมตีจริง