Приватные ключи ряда промежуточных удостоверяющих центров eMudhra (бренд emSign) скомпрометированы и опубликованы в открытом доступе. С этими ключами злоумышленник может выпустить валидный TLS-сертификат на любой домен. Корневые программы (Mozilla, Google, Apple, Microsoft) уже заблокировали эти центры, поэтому браузеры защищены. Под риском серверное ПО, CI/CD, контейнеры и SDK, которые не проверяют отзыв сертификатов.

Чем это грозит
При перехвате сетевого трафика злоумышленник может выдать поддельный сертификат за настоящий и реализовать man-in-the-middle: перехватить токены и учётные данные, подменить ответы API или содержимое пакетов и образов. Браузерных пользователей это не затрагивает, автоматизацию и интеграции затрагивает.

Что рекомендуем сделать вам
Виртуальные машины
Обновите пакет ca-certificates в запущенных ВМ, когда ваш дистрибутив выпустит обновление. До этого вручную снимите доверие к корням emSign ECC Root CA — G3 и Comodo AAA (инструкции по дистрибутивам в приложенном файле).

Контейнеры и CI/CD
Пересоберите базовые образы после обновления ca-certificates.
Проверьте рантаймы со встроенным доверенным хранилищем: Python (certifi >= 2026.10.19), Node.js (--use-openssl-ca), Java (cacerts), Go (1.27.3 / 1.26.10).

Terraform
Обновите ca-certificates на раннерах. Для hashicorp/terraform дождитесь пересборки официального образа или соберите свой на обновлённом Alpine.

Пожалуйста, не отвечайте на это письмо — оно отправлено автоматически и не обрабатывается.
Если у вас возникнут вопросы, обращайтесь в службу поддержки через консоль.

С уважением,
Служба технической поддержки #MWS
Тел.: 8-800-250-10-01
e-mail: support@mws.ru