eMudhra şirket logosu (temsili)

Hindistan merkezli sertifika otoritesi eMudhra'nın sekiz ara sertifika otoritesine ait özel anahtarların ele geçirildiği ortaya çıktı; bu anahtarlarla herhangi bir site adına sahte HTTPS sertifikası üretilebileceği için Mozilla, Google Chrome ve Apple sertifikaları engelledi, Mozilla 20 Ekim 2026'da Firefox güncellemesi yayımladı.

Olay, 17 Ekim 2026 23:06 TSİ'de bağımsız bir araştırmacının Chrome kök programı üzerinden Mozilla'ya yaptığı bildirimle ortaya çıktı. Bildirimi yapan araştırmacı, sekiz ara sertifikaya ait özel anahtarların tamamını kontrol ettiğini kanıtladı. Bildirimin ardından Mozilla, OneCRL engelleme listesi güncellemesini 3 saatten kısa sürede tüm Firefox kullanıcılarına ulaştırdı; bu işlem kullanıcıların tarayıcıyı yeniden başlatmasını gerektirmedi. Ele geçirilen sertifikaların altısının web sitelerinde şifreli iletişimi sağlayan TLS/HTTPS protokolüne, ikisinin ise yazılımların kaynağını doğrulayan kod imzalama sertifikası olduğu (Microsoft'ta güvenilir) belirlendi.

Anahtar üretiminde matematiksel açık

Güvenlik sorununun kullanılan kriptografik şifreleme algoritmasından değil, anahtarların üretim sürecindeki hatadan kaynaklandığı anlaşıldı. 30 Nisan 2025 tarihinde üretilen bu sertifikaları inceleyen Mozilla, Bugzilla kayıtlarına göre sekiz P-384 özel anahtarının tamamının 256'dan küçük sayılardan oluştuğunu ve bu nedenle anında hesaplanabildiğini tespit etti. Mozilla mühendisleri de anahtarları raportörün yönteminden bağımsız olarak kendileri hesaplayarak doğruladı.

Sertifikalar iptal edildi, güven listelerinden çıkarıldı

eMudhra, etkilenen sekiz sertifikayı 18 Ekim'de anahtar ele geçirilmesi gerekçesiyle iptal etti. Bu ara sertifikalardan bazılarını çapraz imzalayan Sectigo da kendi çapraz imzalarını 19 Ekim'de yürürlükten kaldırdı. Firefox ve Google Chrome sertifikaları 17 Ekim'den, Apple ise 19 Ekim'den bu yana engelliyor. Mozilla ayrıca OneCRL mekanizmasını alamayan kurulumlar için 20 Ekim 2026'da Firefox 158.0.1, ESR 115.43.1 ve ESR 153.5.1 güncellemelerini yayımladı. NSS 3.131.1 güncellemesiyle de etkilenen ara sertifikaları imzalayan kök sertifika güven listesinden çıkarılıyor.

İptal listesini denetlemeyen sistemlerde risk sürüyor

Olayda asıl risk, iptal listelerini anlık kontrol etmeyen yazılımlar ve güncellenmemiş sertifika depolarında bulunuyor. oss-security duyurusuna göre bu ara sertifikalarla imzalanmış herhangi bir son kullanıcı müşteri sertifikası bulunmuyor ve genel sertifika şeffaflığı kayıtlarında şu ana kadar şüpheli bir sertifikaya rastlanmadı; ancak ele geçirilen anahtarların kötüye kullanılma ihtimali sürüyor. Benzer sahtecilik riskleri daha önce ülke alan adları üzerinden sahte sertifika üretilmesi vakasında da görülmüştü.

Türkiye açısından

Türkiye'deki tarayıcı kullanıcıları için koruma Chrome, Firefox ve Apple güncellemeleriyle otomatik olarak devreye girdi; kullanıcıların tarayıcı ve işletim sistemlerini güncel tutması yeterli görülüyor. oss-security duyurusuna göre bu ara sertifikalarla müşteri sertifikası imzalanmadığı için bu kaynaklarda Türkiye'deki web sitesi sahiplerine sertifika değiştirme gereği belirtilmiyor. Kurumsal BT ve SOME ekiplerinin ise işletim sistemi ve yazılım kütüphanelerindeki sertifika depolarını güncellemesi gerekiyor.

Sistem yöneticileri ve geliştiricilerin alması gereken önlemler şunlardır:

Kaynaklar

Kapak görseli (temsili): eMudhra logosu — eMudhra, Şirket logosu (editoryal kullanım) (1200×675 düzenlendi).