Cloudflare vá lỗi hệ thống sau khi khóa riêng tư của chứng chỉ eMudhra bị xâm phạm

Vào ngày 19 tháng 10 năm 2026, Cloudflare xác định rằng các khóa riêng tư cho tám chứng chỉ trung gian của eMudhra đã bị xâm phạm. Công ty ngay lập tức bắt đầu vá hạ tầng và phát hành các bản cập nhật cho phần mềm phía máy khách để ngăn chặn nguy cơ chặn đứng lưu lượng truy cập. Sự cố này ảnh hưởng đến các tổ chức cấp chứng chỉ (CA) được tin cậy rộng rãi và đòi hỏi người dùng của các dịch vụ Cloudflare cụ thể cũng như các ứng dụng tự chủ phải có hành động.

Chuyện gì đã xảy ra

Sự xâm phạm liên quan đến các khóa riêng tư yếu đi kèm với tám chứng chỉ trung gian do eMudhra cấp. Do các khóa này dễ bị tổn thương, kẻ tấn công có thể giả mạo chứng chỉ cho bất kỳ tên miền nào. Điều này cho phép chúng đóng giả các máy chủ hợp pháp, chặn đứng lưu lượng truy cập được mã hóa hoặc sửa đổi dữ liệu trong quá trình truyền tải. Các chứng chỉ này được các trình duyệt lớn, hệ điều hành và chính hạ tầng của Cloudflare tin cậy, khiến tác động tiềm tàng trở nên rộng lớn và nghiêm trọng.

Đội ngũ bảo mật của Cloudflare phát hiện vấn đề vào khoảng 17:00 UTC ngày 19 tháng 10. Họ ưu tiên cập nhật các dịch vụ quan trọng sử dụng chứng chỉ công khai để xác thực các điểm cuối từ xa. Bao gồm các proxy kết nối tới máy chủ nguồn và các ứng dụng gọi API bên ngoài. Công ty cũng cập nhật các kho lưu trữ tin cậy chung và hình ảnh gốc (base images) để cung cấp một lộ trình giảm thiểu chung cho các dịch vụ kế thừa niềm tin chứng chỉ từ những nguồn này. Tính đến thời điểm công bố thông tin, Cloudflare chưa ghi nhận hoạt động khai thác tích cực lỗ hổng này trên các dịch vụ của mình.

Để kích hoạt các biện pháp giảm thiểu, Cloudflare đã thực hiện nạp lại, khởi động lại và triển khai hình ảnh trên toàn bộ các sản phẩm CDN, Developer và Zero Trust. Các ứng dụng có kho lưu trữ tin cậy đóng gói sẵn hoặc tùy chỉnh cần được đánh giá và cập nhật riêng biệt. Công ty nhấn mạnh rằng biện pháp khắc phục này giải quyết các lỗi trong xác thực dựa trên chứng chỉ, chứ không phải các điểm yếu trong chính thuật toán mã hóa TLS. Công việc vẫn đang tiếp diễn để đảm bảo tất cả các hệ thống nội bộ đều được bảo vệ đầy đủ.

Chi tiết chính

• Tám khóa riêng tư của chứng chỉ trung gian eMudhra bị xâm phạm do độ yếu kém.
• Kẻ tấn công có thể giả mạo chứng chỉ cho bất kỳ tên miền nào để chặn đứng hoặc sửa đổi lưu lượng truy cập.
• Người dùng Cloudflare One Client phải nâng cấp lên v2.5.6 (Android), v1.12.16 (iOS) hoặc phiên bản desktop 2026.8.2115.0.
• Người dùng Cloudflare Tunnel (cloudflared) phải nâng cấp lên phiên bản 2026.10.2.
• Khách hàng sử dụng chế độ Full (strict) hoặc Strict cho TLS máy chủ nguồn nên xem xét lại các chứng chỉ tùy chỉnh.
• Những người duy trì trình duyệt đã sử dụng các cơ chế thu hồi nhanh như Chrome CRLSets để giảm thiểu vấn đề một cách nhanh chóng.

Bối cảnh

Chứng chỉ Secure Sockets Layer (SSL) và Transport Layer Security (TLS) là các tệp kỹ thuật số liên kết một khóa mật mã với thông tin chi tiết của một tổ chức. Chúng cho phép thiết lập kết nối mã hóa giữa máy chủ web và trình duyệt. Mô hình tin cậy dựa vào các Tổ chức cấp chứng chỉ (CA) như eMudhra để xác minh danh tính trước khi cấp chứng chỉ. Chứng chỉ trung gian nằm giữa CA gốc và chứng chỉ thực thể cuối cùng, tạo thành một chuỗi tin cậy. Nếu khóa riêng tư của chứng chỉ trung gian bị xâm phạm, tính toàn vẹn của chuỗi này sẽ bị phá vỡ. Kẻ tấn công sau đó có thể cấp các chứng chỉ trông có vẻ hợp lệ cho các tên miền mà họ không sở hữu, qua đó bỏ qua các cảnh báo bảo mật của trình duyệt.

Kho lưu trữ tin cậy là các cơ sở dữ liệu do hệ điều hành và trình duyệt duy trì, liệt kê những CA nào được tin cậy. Khi một máy chủ trình bày một chứng chỉ, máy khách sẽ kiểm tra nó so với kho lưu trữ này. Trong sự cố này, điểm yếu nằm ở việc tạo hoặc quản lý khóa bởi CA, chứ không phải trong giao thức TLS. Việc khắc phục bao gồm loại bỏ các chứng chỉ bị xâm phạm khỏi kho lưu trữ tin cậy hoặc cập nhật phần mềm để từ chối chúng. Đối với môi trường tự chủ, điều này thường có nghĩa là cập nhật thủ công các gói hệ thống hoặc phụ thuộc ứng dụng tự quản lý danh sách tin cậy của chúng.

Tại sao điều này quan trọng

Đối với các đội ngũ vận hành phần mềm riêng, sự cố này làm nổi bật sự mong manh của Hạ tầng Khóa Công khai Web (WebPKI). Khác với người dùng trình duyệt nhận được bản cập nhật tự động, các ứng dụng tự chủ có thể dựa vào kho lưu trữ tin cậy tĩnh hoặc các gói hệ thống lỗi thời. Nếu ứng dụng của bạn sử dụng một SDK ủy quyền việc xác minh cho hệ điều hành, một bản cập nhật hệ thống có thể là đủ. Tuy nhiên, nếu ứng dụng đóng gói kho lưu trữ tin cậy riêng hoặc sử dụng một thư viện HTTP cụ thể, bạn phải trực tiếp cập nhật các phụ thuộc đó. Không thực hiện điều này sẽ khiến dịch vụ của bạn dễ bị tấn công man-in-the-middle (chặn đứng).

Các nhà phát triển phải nhìn sâu hơn vào bề mặt của ngăn xếp phần mềm. Cập nhật một SDK cấp cao có thể không thay đổi chính sách xác minh chứng chỉ cơ bản nếu thư viện HTTP hoặc runtime không thay đổi. Sau khi áp dụng các bản vá, bạn có thể thấy lỗi chứng chỉ trong nhật ký hoặc bảng điều khiển. Điều quan trọng là không được tắt xác minh để im lặng các lỗi này. Làm như vậy sẽ loại bỏ lớp bảo vệ xác thực mà các bản cập nhật được thiết kế để khôi phục. Việc xác minh bản sửa lỗi yêu cầu thử nghiệm đường dẫn TLS thực tế mà ứng dụng sử dụng, chứ không chỉ là kiểm tra bằng trình duyệt.

Sự kiện này cũng nhấn mạnh nhu cầu giám sát chặt chẽ hiệu lực và độ tin cậy của chứng chỉ. Mặc dù trình duyệt có thể thu hồi niềm tin toàn cầu thông qua các cơ chế như CRLSets, nhưng các máy chủ và ứng dụng riêng lẻ thiếu sự kiểm soát tập trung này. Các đội ngũ phải chủ động quản lý cấu hình tin cậy và giám sát các bất thường. Chỉ dựa vào cài đặt mặc định của hệ thống mà không kiểm toán thường xuyên có thể để lại các lỗ hổng khi một CA bị xâm phạm. Các công cụ tự động theo dõi trạng thái chứng chỉ và thay đổi kho lưu trữ tin cậy trở nên thiết yếu để duy trì tư thế bảo mật trong môi trường tự chủ.

Bạn có thể làm gì

• Nâng cấp ngay lập tức ứng dụng Cloudflare One Client và WARP lên các phiên bản được chỉ định cho nền tảng của bạn.
• Cập nhật Cloudflare Tunnel (cloudflared) lên phiên bản 2026.10.2 và tái triển khai các hình ảnh container.
• Xem xét và cập nhật kho lưu trữ tin cậy mutual TLS nếu bạn sử dụng xác thực máy khách TLS do khách hàng cấu hình.
• Kiểm tra cấu hình máy chủ nguồn cho chế độ Full (strict) hoặc Strict và thay thế bất kỳ chứng chỉ nào không còn được tin cậy.
• Kiểm toán các phụ thuộc ứng dụng để tìm các gói đã được vá do Dennis Jackson của Mozilla liệt kê và xây dựng lại hình ảnh.
• Xác minh các bản sửa lỗi bằng cách thử nghiệm đường dẫn xác minh TLS thực tế của ứng dụng, chứ không chỉ là kết nối trình duyệt.