Huit certificats intermédiaires de l’autorité de certification indienne eMudhra ont été révoqués le 19 octobre 2026 : leurs clés privées étaient si faibles qu’on pouvait les retrouver en quelques essais. Apple, Google et Mozilla les ont bloqués. Sur Mac, les navigateurs sont protégés, mais certains outils du système, comme curl, ne vérifient pas la révocation.
- 8 certificats intermédiaires eMudhra, créés le 30 avril 2025, révoqués le 19 octobre 2026.
- Chaque clé privée était un nombre inférieur à 256 : environ 256 essais suffisaient pour la retrouver.
- Mozilla et Chrome ont bloqué ces certificats le 17 octobre, Apple a ajouté des protections le 19.
- Aucune exploitation constatée à ce jour, selon eMudhra et les chercheurs.
Les points :
Que s’est-il passé chez eMudhra ? #
Quand vous ouvrez un site en HTTPS, votre Mac vérifie une chaîne de certificats : celui du site, signé par un certificat intermédiaire, lui-même signé par un certificat racine auquel le système fait confiance. Celui qui possède la clé privée d’un intermédiaire peut fabriquer des certificats que les navigateurs accepteront sans broncher.
À lire Le Mac bondit de 24 % chez Apple : ce que disent les résultats de fin d’exercice
C’est précisément ce verrou qui a cédé. Selon BleepingComputer, les huit intermédiaires reposaient sur des clés P-384 générées en avril 2025, dont la valeur était inférieure à 256. Un chercheur a publié l’une d’elles, celle de « EM OV TLS CA – G3C » : elle valait 4.
Dans sa déclaration mise à jour le 21 octobre, eMudhra indique que ces intermédiaires ont été créés le 30 avril 2025 lors d’une cérémonie de génération de clés. Une étape défaillante aurait produit un second jeu de clés faibles à côté des clés solides, et ce sont les clés faibles qui ont été publiées. Le défaut est passé inaperçu pendant environ 18 mois, à travers deux cycles d’audit.
Qui a bloqué quoi, et quand ? #
Mozilla dit avoir reçu le signalement le 17 octobre 2026. Le jour même, Firefox a bloqué les certificats via OneCRL, sa liste de révocation, et Google Chrome a bloqué les six intermédiaires autorisés pour le web, selon BleepingComputer.
Apple a ajouté des protections le 19 octobre, le jour où eMudhra a révoqué les huit certificats et cessé d’émettre sous sa racine G3. Les articles publiés ne précisent pas par quel canal Apple est passé. Le lendemain, Mozilla a publié Firefox 158.0.1 pour les configurations qui n’avaient pas reçu la première mise à jour.
À lire MacBook Pro OLED tactile ou Mini-LED : ce que paient vraiment les 400 euros d’écart
Les navigateurs ont aussi retiré leur confiance à la racine ECC concernée. eMudhra présente ce retrait comme une précaution et affirme qu’aucune autre racine ni aucun autre intermédiaire n’a été généré avec le procédé fautif.
Pourquoi le Mac est cité en particulier #
Le cas du Mac a été soulevé par Dennis Jackson, ingénieur en cryptographie chez Mozilla. D’après BleepingComputer, il signale que le /usr/bin/curl intégré à macOS pourrait continuer à faire confiance aux certificats compromis, parce que son magasin de certificats ne vérifie pas les informations de révocation.
Comme le résume AppSystem, le blocage dans les navigateurs limite directement le risque de tomber sur un faux site. En revanche, la révocation n’a pas forcément le même effet partout : les scripts et outils qui s’appuient sur les mécanismes du système doivent en tenir compte.
Pour un utilisateur de Safari, Chrome ou Firefox, le risque pratique est donc faible. Ceux qui lancent des scripts de téléchargement ou d’automatisation dans le Terminal sont plus concernés : ces outils ne profitent pas forcément des listes de blocage des navigateurs.
Faut-il s’inquiéter ? #
Pas à ce stade. eMudhra affirme qu’aucun certificat client n’a été émis par ces intermédiaires. Sept n’ont jamais servi en production, et celui qui était déployé n’avait rien émis. L’entreprise dit n’avoir aucune preuve que les clés faibles aient été retrouvées ou exploitées avant la divulgation.
Le bon réflexe reste simple : mettre à jour votre navigateur dès qu’une version est proposée, et installer les mises à jour de macOS quand Apple les publie. Si vous utilisez un gestionnaire de paquets ou des outils comme Go ou Node.js, surveillez leurs mises à jour : plusieurs projets ont publié ou préparent des correctifs.
L’incident rappelle aussi une limite connue : la sécurité du web repose sur un nombre limité d’autorités de certification, et une seule erreur dans une cérémonie de clés peut passer deux audits sans être vue.
Questions fréquentes #
Safari est-il protégé ?
Apple a ajouté des protections le 19 octobre selon BleepingComputer. Les navigateurs sont le cas le mieux couvert de l’incident.
À lire iPhone Ultra : le grand mystère qui peut faire basculer votre décision d’upgrade en 2026
Mes sites habituels utilisent-ils eMudhra ?
Très probablement pas. eMudhra indique que la plupart des certificats TLS dépendent d’autres hiérarchies, et que la racine retirée concerne un seul écosystème client aux États-Unis.
Un pirate a-t-il utilisé ces clés ?
Aucune exploitation n’a été constatée à ce jour, selon eMudhra et BleepingComputer.
