Säkerhetsmeddelanden

Vad hände

Den 17-10-2026 visade en säkerhetsforskare att de privata nycklarna till 8 av CA:n eMudhras mellanliggande certifikat kunde räknas fram ur de publika certifikaten. 6 av dem utfärdar TLS-certifikat och 2 kodsignering. eMudhra spärrade dem 18-10 och 19-10-2026.

Mozilla har tagit bort roten emSign ECC Root CA - G3 från Firefox, och Microsoft och Apple blockerar de spärrade certifikaten. eMudhra har meddelat att de slutar med publika SSL/TLS-certifikat.

Vilka berörs

Den som har nycklarna kan skapa ett certifikat som programvara som fortfarande litar på eMudhra godtar. Appliancen före 0.4.59 litade på eMudhras rötter genom Debians certifikatlager och genom verktyg med en egen lista över CA:er.

Uppdateringar av appliancen är inte beroende av TLS: imagen är signerad av FairSSL och kontrolleras mot två publika nycklar på värden före start.

Serviceagenterna använder serverns eget certifikatlager i Windows eller Linux och installerar inga rötter. Integrationerna lägger bara certifikatets egna mellanliggande certifikat på servern.

Lösningen sslbrain utfärdar inga certifikat från eMudhra.

Vad vi gjorde

Den 24-10-2026 tog vi bort eMudhra från förtroendet i de tjänster i sslbrain Cloud (EU) som gör utgående TLS-anslutningar, och den 25-10-2026 i själva applikationen. Applikationen litade inte på de rötter som de spärrade mellanliggande certifikaten hör till.

Appliance 0.4.59 släpptes 24-10-2026 kl. 20.23 dansk tid. Den litar på en aktuell certifikatlista från Mozilla utan eMudhras rötter och de spärrade mellanliggande certifikaten, och värdsystemet i OVA- och KVM-appliancen litar inte heller längre på dem.

Vad ni ska göra

Uppdatera appliancen till 0.4.59. Med automatisk uppdatering sker det av sig självt.

Håll Windows och Linux på era servrar uppdaterade, så att de följer Microsofts och distributionens borttagning av eMudhra.

Under Certifikat i appliancen står den CA som har utfärdat varje certifikat. Ett certifikat från eMudhra ska bytas till en annan CA.

Vad hände

Den 21-10-2026 blev två sårbarheter i PHP kända, CVE-2026-109618 och CVE-2026-109619. De låter en angripare utan inloggning köra kod på en server med PHP 8.4 före 8.4.27. PHP 8.4.27 åtgärdar dem.

Vilka berörs

Både sslbrain Cloud (EU) och appliancen kör PHP. Appliancen före 0.4.56 har en sårbar PHP-version.

Serviceagenterna och integrationerna använder inte PHP. Webbplatsen sslbrain.com är statiska filer och kör inte PHP.

Vad vi gjorde

Från 21-10-2026 kl. 21.18 dansk tid körde sslbrain Cloud (EU) PHP 8.4.27.

Appliance 0.4.56 med PHP 8.4.27 var byggd och signerad samma kväll kl. 21.38.

Vad ni ska göra

Uppdatera appliancen till 0.4.56 eller senare. Med automatisk uppdatering har det skett.