印度數位憑證業者eMudhra的憑證安全事件持續擴大。繼10月撤銷8張ECDSA中繼憑證後，業者於2026年11月7日再撤銷8張RSA中繼憑證，累計16張。事件涉及憑證機構私密金鑰的產生與移轉程序，使用相關信任鏈的網站及企業須確認憑證狀態。

 

【事件經過】

 

最初8張ECDSA中繼憑證的私密金鑰因程式處理錯誤，可能由公開資訊推算，eMudhra於10月18日將其撤銷。後續調查顯示，2025年4月30日進行金鑰產生及跨硬體安全模組（HSM）移轉作業時，自製Python程式也曾在主機記憶體處理另外8組RSA私密金鑰。

 

業者表示，RSA金鑰並未出現與ECDSA相同的密碼學強度缺陷，但無法證明當時處理方式符合憑證政策，因此仍決定撤銷相關中繼CA。Mozilla公開事件紀錄列有11月7日的撤銷作業。

 

【影響範圍】

 

新增撤銷的RSA中繼CA部分曾簽發TLS及程式碼簽章憑證；先前8張ECDSA中繼CA則未簽發終端實體憑證。eMudhra稱已完成受影響訂戶的憑證更換或移轉，目前未發現金鑰遭惡意使用的證據。

 

本案是憑證信任及金鑰管理事件，原文未提供可直接對應的CVE或CVSS分數。中繼CA撤銷不代表所有eMudhra憑證均不可信，也不能推定其根CA私密金鑰遭竊。

 

【建議措施】

 

網站管理員應檢查TLS憑證的簽發者、完整信任鏈及有效狀態，辨識是否依賴已撤銷的中繼CA。若收到憑證機構更換通知，應依指定流程申請新憑證，部署包含中繼憑證的正確鏈結，並實測主要瀏覽器與用戶端連線。

 

使用程式碼簽章憑證的組織也應確認簽署憑證來源、撤銷情形及替換計畫，避免正式發布流程受阻。憑證更新後保留部署紀錄與連線測試結果，並追蹤根憑證信任清單的變動。

 

【國內機關與企業之影響與因應】

 

原始報導未提供台灣受害單位名單。國內機關及企業應依實際使用的憑證信任鏈判定是否需要處理，不宜僅憑憑證機構名稱全面更換。

 

對跨多個網站、API或設備使用憑證的組織，建議建立憑證資產清冊、到期及撤銷監控、備援憑證機構與更換演練，將憑證治理納入日常組態管理。

 

【新聞出處】

 

原文標題：eMudhra憑證事故擴大，再有8張RSA中繼CA憑證遭撤銷

媒體名稱：iThome

發布日期：2026年11月13日

原文網址：

https://www.ithome.com.tw/news/180445

 

官方調查紀錄：Mozilla Bugzilla 2083449

https://bugzilla.mozilla.org/show_bug.cgi?id=2083449

 

廠商事件說明：eMudhra Statement on Recent Certificate Security Incident

https://emudhra.com/en/post/certificate-security-incident