Cloudflare דיווחה כי המפתחות הפרטיים של שמונה תעודות ביניים של eMudhra נחשפו, אירוע שעלול לאפשר זיוף תעודה והתחזות לכל דומיין. תעודות הביניים היו מהימנות בדפדפנים, במערכות הפעלה ובשירותים רבים, ולכן האירוע משפיע על מגוון רחב של רכיבי תוכנה ולא רק על מוצר אחד.
למה פגיעה בתעודת ביניים חמורה
שרשרת האמון של WebPKI מתחילה ברשות שורש וממשיכה דרך תעודות ביניים אל תעודת האתר. כאשר המפתח הפרטי של תעודת ביניים נחשף, תוקף עלול להנפיק תעודה שנראית תקפה עבור דומיין שאינו בשליטתו. אם מערכת הלקוח עדיין נותנת אמון בתעודה שנפגעה, ניתן עקרונית להשתמש בה להתחזות, יירוט או שינוי תעבורה.
Cloudflare מדגישה שאין כאן חולשה באלגוריתם ההצפנה של TLS עצמו. הבעיה היא בשכבת האימות: מי רשאי להוכיח שהוא השרת הנכון.
מה Cloudflare עשתה
לפי החברה, היא החלה בטיפול ב-19 באוקטובר 2026 בסביבות 17:00 UTC. עד 20 באוקטובר פורסמו עדכונים ל-Cloudflare One Client, לאפליקציית WARP ול-cloudflared, והוטמעו הקלות בצד השרת בשירותי CDN, Developer ו-Zero Trust.
Cloudflare מסרה כי בבדיקה שלה לא נמצאו סימנים לניצול פעיל של האירוע בשירותיה. עם זאת, לקוחות צריכים לעדכן רכיבים מקומיים ולבדוק מאגרי אמון מותאמים אישית.
גרסאות שיש לעדכן
- Cloudflare One Client ו-WARP במחשבי Windows, macOS ו-Linux: גרסה 2026.8.2115.0.
- Cloudflare One Client באנדרואיד: 2.5.7; ב-iOS: 1.12.7.
- אפליקציית 1.1.1.1 באנדרואיד: 6.38.11; ב-iOS: 6.31.8.
- Cloudflare Tunnel / cloudflared: גרסה 2026.10.2.
- פריסות Container של cloudflared: למשוך Image מתוקן ולבצע Redeploy.
בדיקות נוספות שחשוב לבצע
- לסקור Trust Stores מותאמים אישית המשמשים mTLS או אימות תעודות לקוח.
- לבדוק Origin Certificates ותצורות שרת כאשר מופעל Full (strict) או Strict Mode.
- לעדכן Base Images ותלויות בתוך Containers ולוודא שהשירות אכן הופעל מחדש.
- לבדוק SDK, Runtime, ספריית HTTP ומערכת הפעלה — העדכון צריך להגיע לרכיב שמבצע בפועל את אימות התעודה.
- לא לבטל Certificate Verification כדי “לפתור” שגיאות לאחר העדכון.
דפדפן תקין אינו הוכחה שכל היישומים מוגנים
בדיקת אתר בדפדפן יכולה להצליח משום שהדפדפן משתמש במנגנון ביטול מהיר משלו. לעומת זאת, שירות רקע, Container או Agent עשויים להסתמך על Trust Store אחר. גם בדיקת curl אינה מוכיחה שיישום שנכתב ב-Java, Go, Python או .NET משתמש באותו נתיב אימות.
מה כדאי לתעד בארגון
צוותי IT ואבטחה צריכים להכין רשימה של Proxies, Agents, Tunnels, שירותי API ו-Containers שמבצעים TLS Outbound. לצד כל רכיב כדאי לתעד את מקור ה-Trust Store, הגרסה, מועד העדכון והאם נדרש Restart או Redeploy. כך ניתן להימנע מהנחה שעדכון מערכת ההפעלה פתר את כל נתיבי האימות.
מקור: Cloudflare, 20 באוקטובר 2026.
תמונת המחשה מקורית שנוצרה באמצעות AI עבור מערכת ITPortal ומתועדת לשימוש באתר ובערוצי הסושיאל של ITPortal.
