2026年10月20日，8个 eMudhra 中间 CA 证书的私钥（包括它们的 Sectigo 交叉签名）被披露泄露。持有私钥的攻击者能够为任意域名签发 TLS 证书，进而实施中间人攻击、冒充受信任网站并截获加密通信。

该事件属于第三方 CA 信任问题，非 OpenAtom openEuler（简称：“openEuler”或“开源欧拉”）代码漏洞，也不表示系统已遭受攻击。系统信任库中的相关根证书能够为涉事中间CA建立信任链，因此仍需处理证书信任风险。openEuler 社区已于2026年10月22日已完成了 openEuler 在维版本 ca-certificates 的修复和发布，请用户尽快升级修复。

eMudhra 部分中间 CA 在密钥生成阶段存在熵源缺陷，使得攻击者能够仅凭公开证书中的公钥信息反向恢复对应私钥。受影响中间证书被交叉签名至以下根 CA：

• Comodo AAA Services root

• emSign ECC Root CA - G3

ca-certificates 是 Linux 发行版向系统信任存储分发 Mozilla 根证书集合的核心包。浏览器厂商已在数小时内通过 OneCRL 完成拦截，但大量不读取浏览器 OneCRL、仅依赖系统 /etc/ssl/certs 或等价信任存储的组件（curl、git、Python certifi、Node.js 默认 CA、部分 Go 部署、OpenSSL 客户端等）无法自动拦截，必须在 ca-certificates 层面显式移除两条受牵连的根证书才能阻断攻击链。

此外需要说明的是，升级宿主机修复 ca-certificates不会自动更新容器镜像、Python certifi、Node.js 内置 CA、应用自带 Java keystore 及其他独立维护的信任库。需要用户单独排查确认处置方法与修复版本，并更新实际提供服务的环境。

1、排查软件包版本是否在 openEuler 受影响软件包范围：rpm -q ca-certificates

trust list --filter=ca-anchors 2>/dev/null | grep -i "emSign ECC Root CA - G3\|Comodo AAA Services"

如果匹配到 “emSign ECC Root CA - G3” 或 “Comodo AAA Services root” ，说明信任存储尚未完成移除，该系统上所有使用此信任存储的 TLS 客户端均暴露于伪造证书风险。

1、升级 openEuler 社区已发布的修复 ca-certificates 版本，需使用 root 权限操作：

官方源在线升级：dnf update ca-certificates -y

或手动离线升级(下载需要更新ca-certificates)：

dnf localinstall ca-certificates*.rpm -y

2、更新完成使用 【排查方法 】章节的两个方法逐个验证是否已经修复问题

在无法更新修复补丁的情况下可尝试采取以下规避措施：

sudo mkdir -p /etc/pki/ca-trust/source/blocklist# 导出并移入 blocklistsudo trust extract --filter=certificates \--filter="pkcs11:object=emSign%20ECC%20Root%20CA%20-%20G3;type=cert" \--format=pem-bundle /etc/pki/ca-trust/source/blocklist/emSign_ECC_Root_CA_-_G3.pemsudo trust extract --filter=certificates \--filter="pkcs11:object=Comodo%20AAA%20Services%20root;type=cert" \--format=pem-bundle /etc/pki/ca-trust/source/blocklist/Comodo_AAA_Services_root.pemsudo update-ca-trust

执行命令过程中无任何输出，执行完后请按照【排查方法】章节，验证是否规避成功。