eMudhra 八根中间证书作废，Go 二进制要重编译

作者：#Null404 板块：#前沿快讯 事件：证书机构 eMudhra 的 8 根中间 CA 私钥被证实外泄，安全研究者用私钥签发消息演示、甚至展示了伪造的任意域名 TLS 证书。Mozilla 10 月 17 日接报后 3 小时内完成 Firefox 拦截，10 月 20 日全平台处置收尾。 浏览器无感，运行时要动手。Firefox、Chrome 用户被 OneCRL/CRLSet 静默保护；但 Go 官方以 URGENT 轨道发布 1.27.3 与 1.26.10，在标准库验证器里硬编码 8 个密钥哈希过滤——只在用新版重新编译后才生效，已发布的二进制必须重建重发。Python 的 certifi（2026.10.19）、Rust 的 webpki-roots（1.0.10）同步更新；Go 1.25 及更早版本不获修复。 2.自带的信任库最容易漏。应用内打包的 ca-bundle、自维护的 OpenSSL 信任库不随操作系统新；Mozilla 的 NSS 3.131.1 同步移除了 emSign 根。官方至今未公布私钥泄露的根因。 3.要做什么：Go 项目升级到 1.27.3 / 1.26.10 并重建全部在跑二进制；检查应用自带的证书包；运维可手动取消信任 4 个 emSign 根（Debian 用 dpkg-reconfigure ca-certificates）。