Em 20 de outubro de 2026, ficou demonstrado que as chaves privadas da eMudhra, uma autoridade certificadora (CA), foram comprometidas. A CA funciona como um cartório da internet: ela garante que um site é mesmo quem diz ser, por meio de um certificado digital. Se alguém tem a chave privada dessa autoridade, pode emitir certificados falsos que passariam por verdadeiros.

O Ubuntu Security Team publicou atualizações do pacote ca-certificates, que guarda a lista de autoridades em que o sistema confia. A eMudhra não é diretamente confiável no Ubuntu, mas duas outras autoridades raiz a certificaram de forma cruzada: a emSign Root TLS CA G3 e a Comodo AAA Certificate Services. As duas foram removidas da lista de confiança para que a eMudhra comprometida deixe de ser aceita. A Comodo AAA já tinha sido retirada das versões 22.04 e mais novas.

Essa remoção tem um efeito colateral: qualquer certificado legítimo emitido por essas duas raízes deixará de ser aceito, o que pode deixar alguns servidores inacessíveis. A fonte diz que isso é pouco provável. As correções já estão disponíveis para as versões 22.04, 24.04, 26.04 e 26.10 do Ubuntu, com o pacote ca-certificates atualizado. Para o Ubuntu 20.04 e versões mais antigas, a correção vem pelo Ubuntu Pro, que é gratuito para até 5 máquinas, ou 50 para membros da comunidade. A recomendação oficial é atualizar todos os pacotes com o gerenciador apt. Se isso não for possível, dá para atualizar só o ca-certificates.

O risco é de personificação de sites. Com um certificado falso, um atacante pode se passar por um serviço e interceptar a conexão, o chamado ataque man-in-the-middle, comprometendo a confidencialidade e a integridade das conexões TLS, inclusive as de sites que usam outras autoridades. Mecanismos como fixação de chave pública (public key pinning) e registros CAA detectam certificados falsos, mas dependem de o aplicativo usá-los, e são pouco adotados.

No Ubuntu Desktop, o navegador é o principal cliente TLS. Ele costuma ser instalado como pacote snap e não usa a lista do ca-certificates. Os snaps são atualizados quatro vezes por dia por padrão, mas quem desativou atualizações automáticas deve atualizá-los manualmente.