Vulnerabilidad Crítica: Certificados Comprometidos de Autoridad Certificadora eMudhra Octubre 2026

Una vulnerabilidad pone en riesgo la seguridad de nuestras comunicaciones en Internet. Las llaves privadas de 8 certificados digitales de una Autoridad Certificadora llamada eMudhra han sido comprometidas. Estos forman una cadena que llega hasta certificados raíz de Mozilla, Microsoft, Google y Apple y muchos otros almacenes de confianza que dependen de ellos. Es una vulnerabilidad que afecta a todo dispositivo conectado a Internet y es imperativo aplicar actualizaciones de seguridad tan pronto como sea posible.

Al mismo tiempo existe otra vulnerabilidad aparte que afecta sitios web que utilizan el sistema PHP. Quienes administran servidores y plataformas web deben tomar acciones para corregir ambas vulnerabilidades.

¿Qué tan grave es este compromiso de la Autoridad Certificadora eMudhra?

Es un peligro crítico para todas las personas que utilizan Internet para comunicarse y acceder a plataformas digitales. Es urgente que todas las personas actualicen sus navegadores web tanto en dispositivos móviles y computadoras de escritorio. Quienes que administran servidores de Internet deben tomar acciones para proteger las comunicaciones de sus personas usuarias.

Quienes utilizan dispositivos móviles deben asegurarse de que todas las aplicaciones, especialmente los navegadores web, estén actualizadas. Para esto pueden usar las herramientas como Google Play o las “App Stores” correspondientes.

¿Por qué es tan grave el compromiso de una Autoridad Certificadora?

Todos los datos que viajan por Internet son protegidos con una tecnología llamada TLS (antes llamada SSL). Esta tecnología utiliza algoritmos matemáticos para que nuestras comunicaciones sean seguras y no puedan ser interceptadas por terceros.

Los certificados comprometidos de una autoridad certificadora permiten a atacantes informáticos generar certificados digitales falsos y romper la seguridad de nuestras comunicaciones.

Existe un riesgo especialmente grave para personas periodistas, comunicadoras, activistas, funcionarias públicas, políticas, empresarias y otras que son blancos frecuentes de ciberataques.

¿Cómo puedo probar si mis comunicaciones son vulnerables por el compromiso de la Autoridad Certificadora eMudhra?

Visite este sitio https://emudhra.we-have-a-problem.com/#check y verifique la sección “Does your client still trust the compromised intermediates?”

Si todas las columnas dicen “✅ Did not connect” su navegador web está protegido. Si aparece el texto “❌ Connected” debe aplicar actualizaciones de seguridad para su navegador y también su sistema operativo.

Considere probar en múltiples navegadores, en línea de comandos (terminal o cmd: command prompt) y en distintos dispositivos.

En servidores y sistemas con línea de comandos puede ejecutar curl o alguna otra herramienta equivalente:

 curl https://dv-g3b-emudhra.we-have-a-problem.com/
 curl https://dv-g3b-aaa-emudhra.we-have-a-problem.com/

Debe recibir un mensaje de error de validación de certificados. En caso de ver el siguiente mensaje:

 Your client successfully connected to the site. That's bad!"

debe aplicar actualizaciones u otras medidas correctivas lo antes posible para su sistema.

En ambientes donde existan aplicaciones aisladas con tecnologías de virtualización o de contenedores como Docker o LXC es importante actualizar y verificar cada contenedor, no es suficiente actualizar el servidor anfitrión.

Es importante considerar que hay que actualizar todos los Almacenes de Certificados que use cada sistema, por ejemplo, usualmente los navegadores web y el sistema operativo utilizan sistemas independientes y requieren actualizaciones por aparte.

Clientes de Impulsa IT Solutions

En Impulsa IT Solutions estamos trabajando para actualizar y proteger todos los sistemas en la nube gestionados para nuestros clientes. Clientes de Hospedaje Compartido con cPanel, Aplicaciones y Sistemas en la Nube no deben tomar ninguna acción.

Clientes con contrato de soporte activo que incluya soporte y mantenimiento de infraestructura IT recibirán actualizaciones en servidores, enrutadores y otros sistemas aplicables por parte de nuestro equipo de soporte lo antes posible. En caso de dudas o consultas por favor comunicarse con nuestro equipo por los medios habituales o usando nuestro formulario web de soporte.

Si usted no tiene una suscripción de soporte y le gustaría contratar nuestro servicios conversemos usando nuestro formulario web de ventas, usando el correo ventas@impulsait.com o cualquier de nuestros canales de contacto de ventas y con gusto le podemos cotizar nuestro trabajo.

¿Cómo funciona TLS y las Autoridades Certificadoras?

Para que TLS proteja nuestras comunicaciones en Internet existe una relación de confianza encadenada:

Nosotros → Fabricantes de Software → Autoridades Certificadoras.

• Nosotros confiamos en las organizaciones que crean y gestionan nuestros sistemas operativos y navegadores web, específicamente Mozilla, Microsoft, Google y Apple.
• Estas 4 organizaciones confían mediante un proceso auditado estricto en una lista selecta de empresas y organizaciones que pueden crear certificados digitales.
• Estas organizaciones son llamadas Autoridades Certificadoras y emiten unos archivos especiales llamados certificados digitales que servidores web y otros sistemas utilizan para proteger nuestras comunicaciones con TLS.
• Nuestros dispositivos confían en cualquier certificado digital emitido por las autoridades certificadoras que están en esa lista. En cada dispositivo y navegador web los fabricantes de software gestionan una lista llamada “Almacenes de Certificados” que deben mantener actualizada.
• La seguridad de nuestras comunicaciones dependen de confiar que estas entidades emitan certificados mediante protocolos estrictos de validación de identidad y protección absoluta de unos archivos especiales llamados llaves privadas.
• Para ganarse y mantener esta confianza, las autoridades certificadoras deben demostrar mediante auditorías imparciales el cumplimiento de estrictos estándares internacionales que involucran contar con personal experto, herramientas y tecnológicas certificados, demostrar capacidad para ejecutar sofisticados procesos que son auditados regularmente.
• Cuando esta confianza se rompe, ya sea por fraude o errores de procedimiento (como en este caso) se inicia un proceso de actualización de miles de millones de dispositivos alrededor del mundo para eliminar la autoridad comprometida de cada Almacén de Certificados, este proceso es lento y cada día de atraso pone en riesgo las comunicaciones de todos los dispositivos conectados a Internet del planeta. No es una exageración.
• La vulnerabilidad de la Autoridad Certificadora eMudhra es justamente un fallo muy grave en los procedimientos de creación y resguardo de estas llaves privadas. Uno de los errores más notable es el uso de contraseñas extremadamente cortas, como por ejemplo: “4” (el número 4) es la contraseña de una de las llaves privadas de la autoridad certificadora.

En cuento tengamos más información estaremos actualizando este artículo. Agradecemos cualquier retroalimentación y comentarios.