- Son doğrulama
- 31 Eki 2026
- CVE
- CVE-2026-111943
- Durum
- Sertifikalar güvenilmez ilan edildi ve iptal ediliyor. Self-managed sistemlerde trust store güncellemesi gerekiyor.
Ne oldu?
17 Ekim 2026’da bir araştırmacı, sekiz eMudhra subordinate CA sertifikasının private key’lerinin zayıf olduğunu bildirdi. Sertifikaların bir kısmı AAA Certificate Services tarafından cross-sign edilmişti. Google’ın bülteni, key’lerin yetersiz rastgelelikle üretildiğini söylüyor. Ağ erişimi olan uzaktaki bir saldırgan private key’leri yeniden oluşturabilir, istemcilerin güvendiği TLS sertifikaları sahteleyebilir ve trafiği dinleyebilir.
Etkilenen sertifikalara artık güvenilmiyor ve iptal ediliyorlar. Google kendi altyapısının ihlal edilmediğini ve Google Cloud workload’larında sömürü belirtisi görmediğini söylüyor. Tarayıcılar ilk adımı attı, ama bir tarayıcı güncellemesi Linux sunucuya, container image’ına ya da kendi güvenilir CA listesini taşıyan bir CLI’ya ulaşmaz.
Kimlerin harekete geçmesi gerekiyor?
Google etkilenen ürünleri listeliyor ve liste uzun: Google Cloud CLI, Cloud Shell, Compute Engine, Container-Optimized OS, GKE, Vertex AI, Colab Enterprise, App Engine, Cloud Run, Cloud Run functions, Cloud SQL, AlloyDB, Firestore ve daha fazlası. Managed servislerde Google fleet güncellemesi yayıyor. İşletim sistemini, image’ı ya da CA bundle’ı sizin yönettiğiniz yerlerde sizin aksiyon almanız gerekiyor.
| Nerede | Ne yapmalı |
|---|---|
| Debian ve Ubuntu host’ları ve image’ları | ca-certificates paketini güncelleyin. Ubuntu için USN-8944-1’i izleyin. |
| RHEL ve uyumlular | Red Hat bülteni RHSB-2026-012’yi izleyin. |
| Windows | En son Windows güncellemelerini kurun. |
| GKE veya Compute Engine’de Container-Optimized OS | Node’ları güncel bir sürüme upgrade ya da restart edin, veya Google’ın cos_ca_cert_mitigation aracını uygulayın. |
| Google Cloud CLI | En son sürüme güncelleyin. |
| Kendi image’larınız | Güncel CA paketini çekmeleri için rebuild edip yeniden deploy edin. |
| Kendi bundle’ı olan runtime’lar | Güncelleyin. 21 Ekim Node.js güvenlik sürümü güncellenmiş bir root certificate store içeriyor. |
Kendiniz kontrol edin
Google’ın bülteni bir doğrulama prosedürü vermiyor, o yüzden vendor advisory’sini kullanın. Bu komutlar bir sistemin hâlâ neye güvendiğini ve hangi sürümleri çalıştırdığınızı görmenize yardım eder:
# Debian ve Ubuntu: paket sürümü ve emSign kayıtları
dpkg -l ca-certificates
ls /etc/ssl/certs | grep -i emsign
# Hangi Node.js sürümündesiniz
node -v
Ne görmeniz gerektiği işletim sistemi vendor’ınızın kararına bağlı. Tek bir dosya adına değil, onların advisory’sine uyun.
OS’in ötesine bakın
Kolay hata, sunucuları patch’leyip kendi bundle’ını taşıyan yerleri unutmak: dil runtime’ları, Java keystore’ları, sertifika bundle’layan Python paketleri, CLI araçları, build agent’ları ve rebuild edilmemiş base image’lar. Her biri için sorun: sistem store’unu mu kullanıyor, kendi store’unu mu?
Nasıl yardımcı olabiliriz?
Ortamınızda sertifika bundle’ının yaşadığı her yeri buluruz ve bir sonraki CA olayının haftalar değil saatler sürmesi için bir süreç kurarız. Aşağıdaki butondan bir görüşme ayarlayın.