El 19 de octubre de 2026 Cloudflare informó que las claves privadas asociadas a ocho certificados intermedios emitidos por la entidad de certificación eMudhra fueron comprometidas. Debido a la debilidad de esas claves, un atacante con el par de claves podría emitir certificados falsos válidos para cualquier dominio, permitiendo la suplantación de servidores y la intercepción o manipulación de tráfico TLS.
Qué cambia: alcance y riesgo para sitios y servidores
El problema afecta al canal de confianza de la WebPKI —el sistema que permite a navegadores, sistemas operativos y servicios afirmar que un sitio web es quien dice ser— porque las claves de los intermedios comprometidos eran lo bastante débiles como para poder generar certificados fraudulentos que verían como válidos muchos verificadores TLS.
Esto implica riesgo de ataques de intermediario (MITM) o de servidores impersonados que podrían interceptar conexiones HTTPS. No se trata de una falla en los algoritmos de cifrado de TLS, sino de la rotura de la confianza que ofrecen esos certificados intermedios.
Respuesta de Cloudflare y mitigaciones aplicadas
Cloudflare priorizó la protección de sus servicios y clientes antes de la divulgación pública. La compañía desplegó mitigaciones en su CDN, productos para desarrolladores y en su oferta Zero Trust, y publicó actualizaciones para clientes que manejan el tráfico saliente o tunelizado.
Entre las acciones concretas, Cloudflare ha:
- Publicado actualizaciones de su cliente Cloudflare One (WARP / 1.1.1.1) y del agente de túnel (cloudflared) para las distintas plataformas.
- Actualizado almacenes de confianza compartidos, imágenes base y otros componentes comunes para que hereden la mitigación.
- Evaluado y actualizado aplicaciones con almacenes de confianza embebidos o personalizados de forma separada.
Qué deben hacer administradores y desarrolladores
Cloudflare y miembros de la comunidad recomiendan varias acciones prácticas:
- Actualizar cuanto antes los clientes y agentes afectados (WARP/1.1.1.1 y cloudflared) a las versiones publicadas por Cloudflare.
- Revisar imágenes de contenedores, dependencias y librerías que gestionen la verificación de certificados y aplicar las actualizaciones disponibles en esos paquetes. Algunas mitigaciones se distribuyen como actualizaciones de bibliotecas, tiempo de ejecución o del sistema operativo.
- Recompilar y desplegar imágenes afectadas, y reiniciar o recargar servicios según requiera cada aplicación para que adopten los cambios en los almacenes de confianza.
- No desactivar la verificación de certificados para resolver errores tras el parche: eso eliminaría la protección prevista por las mitigaciones.
- Si su infraestructura delega la verificación TLS en librerías, runtimes o en el sistema operativo, asegúrese de actualizar también esos componentes; actualizar solo un SDK puede no cambiar la política de confianza real.
Pruebas y comprobaciones
Cloudflare enlaza a recursos de la comunidad que incluyen listas de paquetes parchados y pruebas para navegadores y servicios. Es importante validar la ruta de verificación TLS real de cada aplicación —una prueba en el navegador no asegura que un servicio en segundo plano use la misma política de confianza—.
Impacto y próximos pasos
La afectación es amplia porque muchos stacks de software dependen de la WebPKI. Cloudflare indica que no ha detectado explotación activa de este fallo en sus servicios tras la mitigación inicial, pero advierte que todavía quedan tareas por delante y que algunos clientes tendrán que actuar en sus propios servidores u operaciones de confianza.
Además de aplicar parches, los responsables de infraestrucutra deben comprobar contenedores y entornos donde se use confianza embebida y considerar opciones como centralizar la validación TLS en una capa que pueda recibir actualizaciones de confianza gestionadas (por ejemplo, interceptando y validando egress HTTPS en infraestructura controlada) para facilitar respuestas rápidas ante compromisos de certificados.
Resumen: actualizar clientes y dependencias, revisar almacenes de confianza embebidos, no desactivar la verificación TLS y validar la ruta de verificación de cada aplicación.
Lee también:
- Vulnerabilidad en Siemens Software Center explotada para distribuir malware mediante DLLs maliciosas
- Explotan las fallas ‘Plex2Shell’ para instalar mineros y un proxy inverso en Linux
Fuente: Cloudflare Blog
