Oito certificados TLS comprometidos colocam a segurança da internet em alerta

Oito certificados TLS comprometidos, emitidos pela autoridade certificadora indiana eMudhra Limited, provocaram um alerta global de segurança após pesquisadores descobrirem que suas chaves privadas eram tão fracas que poderiam ser usadas por invasores para criar certificados digitais fraudulentos, reconhecidos como confiáveis por navegadores e aplicativos.

A descoberta, divulgada em 20 de outubro de 2026, levou desenvolvedores de navegadores e grandes fornecedores de software a bloquear os oito certificados intermediários.

Embora não existam evidências, até o momento, de que as chaves comprometidas tenham sido utilizadas para emitir certificados maliciosos, especialistas alertam que a eliminação completa da ameaça pode levar anos.

O incidente evidencia uma falha crítica na infraestrutura de confiança da internet: mesmo quando os protocolos de criptografia são seguros, certificados gerados de maneira inadequada podem comprometer a segurança de milhões de conexões.

Certificados TLS continham chaves privadas com pouquíssimos bits de segurança Os certificados comprometidos pertencem à eMudhra Limited, uma autoridade certificadora responsável pela emissão de credenciais digitais utilizadas para estabelecer a confiança entre sites, navegadores e outros softwares.

Os certificados intermediários afetados podem assinar novos certificados, o que potencialmente permitiria que invasores se passassem por praticamente qualquer servidor na internet.

A vulnerabilidade veio à tona após a publicação de um aviso informal de segurança no site emudhra.we-have-a-problem.com.

A mensagem, que dizia “We have a problem here – Wayne” (“Temos um problema aqui – Wayne”, em tradução livre), foi assinada digitalmente com a chave privada de um dos certificados afetados.

A demonstração comprovou que uma pessoa externa tinha acesso a uma chave privada comprometida.

Como o certificado era considerado confiável por softwares utilizados em todo o mundo, a descoberta levantou preocupações imediatas sobre a possibilidade de emissão de credenciais fraudulentas para sites e serviços legítimos.

O aspecto mais alarmante era a fragilidade das próprias chaves privadas.

Segundo especialistas em criptografia, os oito valores eram 4, 56, 66, 115, 155, 156, 230 e 237.

Para efeito de comparação, uma chave privada baseada na curva elíptica NIST P-384 deve oferecer aproximadamente 192 bits de segurança contra ataques de força bruta, sob as premissas padrão do algoritmo.

Os valores das chaves comprometidas, por outro lado, eram tão fracos que poderiam ser descobertos por meio de buscas triviais.