La revoca non basta: i client possono ancora fidarsi delle CA
Google ha ricevuto il 17 ottobre 2026 una segnalazione sulla compromissione delle chiavi private associate a otto certificati di CA subordinate e ne ha avviato la revoca. Riferisce che Google Cloud non è stato violato e che non risultano sfruttamenti contro i suoi workload.
La chiave privata di una CA permette di attestare l’identità di altri siti. Se un’applicazione continua a fidarsi di una CA compromessa, può accettare certificati che quella CA ha firmato, anche dopo che i certificati sono stati revocati altrove.
Per le applicazioni basate sulle Google Cloud SDK Libraries, il punto critico è il trust store effettivo: spesso proviene dalla dipendenza di trasporto, dal runtime o dal sistema operativo, non dall’SDK. Un aggiornamento del solo SDK può quindi lasciare la fiducia nei certificati compromessi. La stessa esposizione riguarda ogni applicazione che accetta emSign ECC Root CA - G3, emSign Root TLS CA - G3 o AAA Certificate Services.
CVE in questo aggiornamento
384 CVE
Distribuite tra VMware vCenter Server, VMware Cloud Foundation, VMware vCenter Server and VMware Cloud Foundation, sudo e altri pacchetti correlati.
22 critiche · 183 alte · 119 medie · 9 basse
28 in CISA KEV · 133 con EPSS sopra 1%
26 con codice di exploit pubblico funzionante o integrato