Cloudflare 向全体用户发送紧急邮件，敦促尽快更新 Cloudflare One

Cloudflare 近日向用户发送紧急安全通知，敦促尽快在所有平台上部署最新版稳定版 Cloudflare One Client，以应对印度数字证书机构 eMudhra 的证书安全事件。

Cloudflare 表示，此次事件涉及八个中间证书的私钥遭到泄露，相关证书曾被浏览器、操作系统及 Cloudflare 等广泛信任，可能对互联网安全造成广泛影响。

根据 Cloudflare 于 10 月 20 日发布的官方博客，Cloudflare 于 10 月 19 日发现，与 eMudhra 八个中间证书相关的私钥遭到泄露。由于这些密钥存在严重的安全缺陷，攻击者可能利用它们为任意域名伪造证书，冒充合法服务器，进而拦截或篡改传输中的网络流量。

此次事件的关键问题在于证书私钥强度不足。安全研究人员发现，部分私钥极其容易被推算，其中一个私钥甚至仅为数字“4”。这意味着，攻击者可能绕过正常的证书信任机制，伪装成受信任的网站或服务，威胁依赖数字证书进行身份验证的网络通信安全。

针对此次事件，Cloudflare 表示，已优先修复关键服务，并针对 Cloudflare One Client（也称 WARP）、1.1.1.1 应用及 Cloudflare Tunnel（cloudflared）发布安全更新，同时对 CDN、开发者服务及 Zero Trust 产品部署了相应缓解措施。Cloudflare 特别强调，其安全审查目前尚未发现此次问题已被用于攻击 Cloudflare 自身服务的证据。

Cloudflare 在发给用户的邮件中指出，由于 Cloudflare One Client 的配置管理和隧道管理依赖第三方证书的完整性，此次更新至关重要。公司敦促用户立即将所有平台上的客户端升级至最新稳定版本，以降低潜在安全风险。

邮件原文

To ensure the security of your account, please immediately deploy the latest stable release of Cloudflare One Client on all platforms. This is a critical update because Cloudflare One Client configuration and tunnel management relies on the integrity of third party certificates that are now known to be compromised, as described in our October 20 blog post.

We have not observed any exploitation against Cloudflare related to this incident, and the Cloudflare One Client has been patched on all platforms.