eMudhraの中間CA証明書8枚で秘密鍵が復元可能に　鍵生成の欠陥でFirefox・Chromeが即日ブロック、Pythonはcertifiやpip、uvの更新を呼びかけ

Mozillaのバグ報告（Bug 2083449「Private key compromise of eMudhra Intermediate Certificates」）によると、10月17日20:06 UTC、Chromeのルートプログラム経由で報告者から、eMudhraの中間証明書8枚の秘密鍵が漏えいしているとの連絡があり、8枚すべての鍵を保持していることの証明が添えられていた。Mozillaは報告を確認後、Firefoxで証明書を無効化するOneCRLの手続きを進め、同日22:59 UTCに完了した。さらにMozillaは報告者の手法を知らないまま21:48 UTCに独自に秘密鍵を復元でき、鍵生成プロセスに欠陥があり容易に悪用できると結論づけている。対象のうち6枚はChrome・Mozilla・Microsoft・Appleが信頼するTLS用、2枚はMicrosoftが信頼するコード署名用で、発行元はemSign Root TLS CA - G3などのG3系ルート。Pythonコミュニティはdiscuss.python.orgで、emSignのルート証明書をcertifiなどのCAバンドルから外す対応を告知し、certifi 2026.10.19、pip 26.2.2、uv 0.13.4、sigstore 4.5.1以上への更新と、最新のシステム証明書を取り込むためのコンテナイメージ再ビルドを求めた。更新しない場合はpython.orgやpypi.orgへのTLS接続も中間者攻撃の対象になりうるとしている。失効確認をしないクライアントや更新の遅い機器ではトラストストアの更新が実質的な対策になる。