Cloudflare ha publicado una actualización sobre la explotación y subsanación de ocho claves privadas intermedias de eMudhra que podían recuperarse a partir de certificados públicos. Las claves incluían valores como 4, 56, 66 y 115, lo que permitía a cualquiera derivar las claves de firma correspondientes y crear certificados que los clientes vulnerables podrían aceptar.
La empresa afirma que todos los sistemas de alta prioridad de Cloudflare ya han sido parcheados. Sus proxies orientados al origen de los clientes, que gestionan la mayoría de las conexiones salientes, se actualizaron pocas horas después de que se identificara el problema, el 19 de octubre de 2026. A continuación, Cloudflare utilizó una revisión de su código fuente asistida por IA para localizar otros sistemas que confiaban en las claves débiles y asignó las tareas de subsanación en función de su posible impacto.
Para vigilar posibles abusos, Cloudflare añadió registros a su servicio saliente Pingora. Durante la semana posterior al despliegue de los registros, registró unos 22.000 intentos de establecimiento de conexiones TLS relacionados con certificados firmados con las claves de eMudhra afectadas. Aproximadamente dos tercios correspondían a sitios de prueba, incluido emudhra.we-have-a-problem.com. La mayoría de los intentos restantes procedían de orígenes que parecían haber configurado certificados firmados por el intermediario débil.
Aproximadamente 160 conexiones implicaron certificados cuyos nombres alternativos del sujeto hacían referencia a dominios no relacionados con el Indicador de Nombre de Servidor solicitado. Algunos estaban asociados con dispositivos del Internet de las cosas destinados al consumidor. Cloudflare afirmó que estos certificados parecían haberse creado después de que la debilidad se hiciera pública; al menos uno tenía fecha del 20 de octubre a las 18:19 UTC, menos de una hora después de que se publicara el informe de Mozilla.
Sin embargo, la empresa afirmó que las pruebas no indican actualmente que los certificados se utilizaran para interceptar conexiones de Cloudflare. Los certificados a menudo parecían ser los certificados predeterminados de los propios servidores, utilizaban nombres que no habrían superado la verificación del nombre de host y, en varios casos, se presentaron desde múltiples ubicaciones de Cloudflare. Cloudflare tampoco informó de indicios indirectos de una campaña de interceptación dirigida.
La empresa midió por separado cuántos visitantes seguían confiando en la cadena de certificados comprometida. Utilizó dos conexiones de prueba en una parte de sus páginas de desafío: un punto final servía un certificado firmado por eMudhra y el otro actuaba inicialmente como control con un certificado firmado de forma habitual. Durante la semana siguiente, Cloudflare recopiló 50 millones de pruebas, aunque advirtió que los resultados estaban afectados por el tráfico de bots y solo incluían clientes capaces de ejecutar JavaScript.
Las mediciones indicaron que los navegadores principales actuales estaban mayoritariamente parcheados, mientras que los navegadores antiguos y los navegadores integrados seguían estando más expuestos. Cloudflare estimó que entre el 30% y el 40% del tráfico de Android WebView todavía aceptaba la cadena afectada. Más de la mitad de las pruebas procedentes de varias redes grandes continuaban aceptándola, aunque la empresa señaló que la composición del tráfico estaba fuertemente influida por bots no confirmados y que los datos debían considerarse indicativos, no concluyentes.
Cloudflare instó a los usuarios y desarrolladores a instalar las actualizaciones pertinentes, con especial atención para los desarrolladores que utilizan macOS. La empresa también remitió a los clientes a las indicaciones para productos como WARP y Tunnel. De cara al futuro, Cloudflare afirmó que quiere mecanismos más rápidos para actualizar las decisiones de confianza, incluido un uso más amplio de sistemas capaces de distribuir información de revocación y de Transparencia de Certificados sin depender de almacenes de confianza estáticos.
Fuentes: Cloudflare Blog.