Apple lanzó el pasado 9 de noviembre las actualizaciones de macOS e iOS que abordan una brecha de seguridad que involucraba certificados de eMudhra comprometidos, después de bloquearlos inicialmente en Safari, Mail y otras aplicaciones.
Mozilla informó que las claves privadas de ocho autoridades de certificación intermedia operadas por eMudhra, una empresa india de certificación digital, habían sido comprometidas.
En esencia, estos certificados se utilizan para establecer confianza en los certificados digitales que verifican las identidades del sitio web y permiten conexiones seguras.
Con acceso a las claves privadas comprometidas, los malos actores podrían crear certificados fraudulentos que parecen legítimos, lo que les permite hacerse pasar por sitios web e interceptar información confidencial del usuario.
Qué son los certificados eMudhra CA
eMudhra Limited es una autoridad de certificación india fundada en 2008. A fecha de 2026, la empresa ha emitido más de 60 millones de certificados digitales.
Se convirtió en el primer proveedor de servicios de eSign de la India en 2015 y lanzó su software de oficina sin papel emSigner el mismo año. Completó una auditoría de WebTrust y lanzó su autoridad de certificación emSign en 2018. En diciembre de 2018, Mozilla aprobó la inclusión de cuatro certificados raíz emSign, entre ellos emSign ECC Root CA – G3, en su almacén de confianza. Los navegadores se habían mostrado reacios a confiar en las autoridades indias de certificación de raíz desde que la autoridad de certificación del Centro Nacional de Informática emitió certificados no autorizados en julio de 2014. A partir de 2026, eMudhra era la única autoridad de certificación de raíces india en la que se confiaba a nivel mundial.
Noticias relacionadas
Según un informe de Frost & Sullivan encargado para su prospecto, eMudhra fue la mayor autoridad de certificación con licencia en la India en el año financiero 2021, con el 37,9 % del mercado de certificados de firma digital. Su oferta pública inicial de 413 millones de rupias en mayo de 2022 se suscribió 2,7 veces, y sus acciones cotizaron en la Bolsa Nacional de Valores de la India y en la Bolsa de Valores de Bombay el 1 de junio de 2022.
En octubre de 2026, se descubrió que las claves privadas de ocho de sus certificados intermedios eran extremadamente débiles, lo que llevó a los proveedores de navegadores a bloquear dichos certificados.
Qué ha hecho Apple
El 19 de octubre de 2026, Apple empezó a bloquear estos 12 certificados en sus dispositivos. Las actualizaciones de los datos de configuración de certificados se envían a los dispositivos automáticamente y cuando es necesario, por lo que no tienes que instalar una actualización para aplicar este cambio. Apple está realizando para este bloqueo actualizaciones adicionales que también se enviarán automáticamente. El 23 de octubre de 2026, Apple también empezó a bloquear emSign ECC Root CA – G3.
Según publica en la página de Soporte de Apple, la compañía confirma que está realizando más cambios para bloquear estos certificados en otros lugares del Mac donde el software comprueba certificados, como las herramientas de línea de comandos incluidas en macOS o las de Xcode que utilizan /etc/ssl/cert.pem. Estos cambios estarán disponibles en una futura actualización de software y no tendrás que editar ningún archivo para aplicarlos.
Otras compañías también actuaron de inmediato
Según fuentes cercanas, se prevé que la limpieza llevará mucho tiempo, ya que muchas distribuciones de Linux, dispositivos embebidos y aplicaciones incluyen sus propias copias de certificados raíz
Google Chrome y Firefox bloquearon los certificados a las pocas horas del informe. Apple siguió el 19 de octubre y Microsoft el 20 de octubre. eMudhra revocó los ocho certificados. Google dijo que ninguno de los seis intermediarios de TLS había emitido certificados registrados en los registros de transparencia de certificados, y eMudhra dijo que solo uno de los ocho se había puesto en uso y ninguno había emitido certificados a los clientes. El 20 de octubre, Mozilla eliminó el certificado raíz que los había emitido, emSign ECC Root CA – G3, de NSS, y el 21 de octubre, Google declaró que Chrome también eliminaría el certificado raíz de su Chrome Root Store en la mañana del 27 de octubre. eMudhra dijo que alrededor de 30.000 certificados de clientes bajo la raíz eliminada tendrían que ser movidos a su otra raíz.[19]Se espera que la limpieza lleve mucho tiempo, porque muchas distribuciones de Linux, dispositivos integrados y aplicaciones envían sus propias copias de certificados raíz
