印度憑證機構 eMudhra 的八張中繼憑證私鑰被證實可遭還原，瀏覽器廠商已啟動封鎖。香港網站及企業除了更新瀏覽器，也應檢查伺服器的憑證信任鏈與系統信任庫，避免假冒網站及服務中斷風險。
八張中繼憑證失守，六張涉及 HTTPS
Mozilla 官方事件紀錄確認，八張受影響中繼憑證中，六張用於 TLS，另外兩張用於程式碼簽署。Mozilla 能獨立還原相關私鑰，顯示金鑰產生程序存在嚴重問題。取得這些金鑰的攻擊者，可能向仍信任該憑證鏈的用戶端冒充網站。
根據 Mozilla 10 月 20 日公告，團隊於 10 月 17 日 20:06 UTC 收到通報，並於當日 22:59 UTC 完成向標準設定的 Firefox 用戶分發 OneCRL 封鎖更新。若攻擊者同時能攔截連線，偽造憑證可帶來讀取或修改流量的風險。
根憑證撤信任，現有網站亦須檢查
Google 官方公告指出，Chrome 已封鎖受影響金鑰，並預計於 10 月 27 日美國太平洋時間上午向所有使用 Chrome Root Store 的裝置推出 emSign ECC Root CA – G3 根憑證移除。使用該根憑證鏈的網站須立即取得及安裝來自其他受信任憑證階層的新 TLS 憑證，以免連線失效；預覽版本可能較早受到影響。
eMudhra 10 月 21 日聲明稱，弱金鑰涉及 2025 年 4 月產生的一組特定中繼憑證，根 CA 私鑰及其他中繼 CA 不受該問題影響，調查仍在進行。中繼金鑰失守與根憑證被撤信任是兩個層次，企業須按實際憑證鏈判斷影響，不能單憑品牌名稱推斷所有憑證均失效。
香港企業現在可做的三件事
Red Hat 官方安全通報提醒，系統信任庫未更新前，部分 TLS 應用仍可能信任偽造憑證，相關部署應在更新推出後盡快安裝。瀏覽器收到封鎖，不代表伺服器及應用程式已同步完成修補。
- 更新用戶端及信任庫：安裝瀏覽器、作業系統及軟件供應商提供的安全更新，亦檢查容器、應用執行環境及自訂信任庫。
- 盤點對外服務憑證：請主機或憑證供應商確認網站、API 及其他服務是否連至 emSign ECC Root CA – G3，安排替換並測試完整憑證鏈。
- 保留驗證與回復安排：替換後測試付款、登入及系統串接；遇到憑證警告，應查明原因，切勿以停用 TLS 驗證恢復服務。
資料核實日期：2026 年 10 月 21 日。以上處理建議為本網站依官方公告整理；撤信任時程及供應商更新以最新公告為準。