印度憑證機構eMudhra有8張中繼憑證的私鑰外洩，Firefox、Chrome、Apple與微軟已在10月17日到20日陸續封鎖。Mozilla工程師Dennis Jackson在事件說明頁示警，macOS內建的curl、git、python3等命令列工具不檢查憑證撤銷，到10月20日仍會信任這批憑證串起來的根憑證。
中繼憑證負責替網站簽發HTTPS憑證。Jackson在Mozilla的開發者安全政策論壇寫道：「這些私鑰可能讓攻擊者替不屬於自己的網站簽發偽造的HTTPS憑證。」Cloudflare在官方部落格的說法是，攻擊者可以替任何網域做出偽造憑證，用來冒充伺服器。
私鑰弱到什麼程度，資安研究員Scott Helme在10月20日的文章寫道：「eMudhra其中一把憑證機構私鑰就是數字4。」另外兩把是56和115，他用筆電從公開的憑證反推，不到1秒就算出來。正常的P-384私鑰是隨機的384位元數字，這批私鑰只有1個位元組，也就是256種可能。
瀏覽器已封鎖，Mac終端機工具還沒
Mozilla在UTC時間10月17日晚上8點06分收到社群成員通報，也就是台灣時間10月18日凌晨4點06分，不到3小時就用OneCRL撤銷清單在Firefox封鎖這8張憑證，使用者不用更新或重開瀏覽器。Jackson的說明頁列出，Chrome同樣在10月17日封鎖，Apple在10月19日、微軟在10月20日跟進。這批私鑰在2025年4月產生憑證時就已經能被還原。
問題在瀏覽器以外的軟體。說明頁指出，macOS系統本身已經封鎖這批中繼憑證，但curl、git、python3、perl、ruby、openssl這些內建工具改讀/etc/ssl/cert.pem檔案，也不檢查撤銷資訊。這個檔案還沒更新，裡面仍有AAA Certificate Services與emSign ECC Root CA – G3兩張相關根憑證。
Jackson提供的暫時做法，是先備份/etc/ssl/cert.pem，再把這兩張根憑證從檔案移除。用內建python3建立的pip3與虛擬環境另有自己的舊憑證清單，說明頁建議用sitecustomize.py把PIP_CERT指到修好的系統檔案。
開發者要更新的版本
說明頁列出已修補的版本：Python的certifi要更新到2026.10.19，Go是1.27.3與1.26.10，Node.js是22.23.4、24.22.1與26.12.1，curl的憑證包更新到2026-10-20版。一般使用者要做的，是把瀏覽器和作業系統更新到最新版。
Mozilla在10月20日另外發布NSS更新，直接移除簽發這批中繼憑證的根憑證。Jackson提醒，這一步對Firefox不是必要的，但會讓還沒換新憑證鏈的部分伺服器，對非Firefox的使用者暫時連不上。
Cloudflare在台灣時間10月20日上午10點推出WARP與1.1.1.1應用程式的更新，並表示安全審查沒有發現旗下服務遭到實際利用。Cloudflare也提醒開發者：「不要用關閉憑證驗證的方式來解決這些錯誤。」
