Splunk выясняет, входят ли сертификаты удостоверяющего центра eMudhra в хранилища доверия его продуктов. Удостоверяющий центр выпускает сертификаты для доменов и сервисов и подтверждает их подлинность, а промежуточный центр действует от имени корневого и обладает почти теми же полномочиями. Своих сертификатов eMudhra компания в продуктах и сервисах не использует; компрометации собственных сервисных сертификатов и сертификатов подписи кода она не нашла. Подтверждённо уязвимых продуктов пока нет.
Что даёт компрометация ключей eMudhra и что проверяет Splunk
Компрометацию выявили в период с 17 по 20 октября 2026 года. Исследователь показал, что закрытые ключи восьми промежуточных сертификатов eMudhra оказались слабыми. Причина - ошибка в церемонии генерации ключей, то есть в регламентированной процедуре создания ключей, в апреле 2025 года. Подобрать такой ключ полным перебором, или брутфорсом, можно за секунды. Ключ промежуточного центра позволяет выпускать сертификаты от его имени, поэтому похищенный ключ даёт возможность подменять защищённые соединения. Splunk называет случившееся критической компрометацией и отсылает к документу eMudhra Intermediate CA Compromise и публикации блога Cisco Talos.
Оценку CVSS Splunk не приводит и уровень серьёзности не указывает. По формулировке eMudhra, ключи мог получить любой желающий, а перебор занимает секунды. Для продуктов Splunk вендор описывает другие условия: нужен действующий сетевой путь и проверка цепочки сертификатов. Нужны ли учётные данные или участие пользователя, в уведомлении не сказано.
Сам по себе сертификат eMudhra в комплекте поставки ещё ничего не означает. Влияние зависит от того, загружает ли работающий код хранилище доверия и сверяет ли по нему сертификат удалённой стороны. Хранилище доверия - список центров, которым система доверяет по умолчанию. Цепочка - набор сертификатов от конечного до корневого, по которому проверяется подлинность соединения. Без такого пути сертификат остаётся неиспользуемой записью.
Все продукты в таблице уведомления значатся под проверкой, то есть вендор ещё выясняет, затронут ли продукт. В списке - Splunk Cloud Platform, Splunk Enterprise, Universal Forwarder, Enterprise Security, SOAR, Observability Cloud, а также AppDynamics и Cisco Secure Endpoint. Подтверждённых уязвимых продуктов нет ни в одной строке. Продукт, которого в таблице нет, Splunk по предварительным данным считает не затронутым. Это предварительный вывод, а не подтверждённая безопасность.
Исправленных версий нет, и обходных мер Splunk не называет. Проблема связана со сторонним удостоверяющим центром, а не с кодом продуктов. Номер исправления и итоговый статус появятся в обновлении уведомления SVD-2026-1014 от 27 октября 2026 года. Сведений об эксплуатации в реальных атаках нет: демонстрацию провёл исследователь, и это публичное раскрытие деталей, а не сообщение об атаках.
Для администраторов пока важнее наблюдение, чем действия. Итог зависит от того, найдёт ли Splunk рабочий путь до сертификата eMudhra внутри своих продуктов. До следующего обновления уведомления затронутость остаётся неясной.
Ссылки
