Ubuntu rimuove la CA emSign compromessa: aggiornare ca-certificates su tutte le release
USN-8944-1 rimuove la root emSign ECC G3 dopo il furto di chiavi di 8 CA intermedie eMudhra e aggiorna il bundle Mozilla alla versione 2.90.
Redazione UptimeMag · 21 ottobre 2026 · 2 minuti di lettura
Ubuntu ha pubblicato il 20 ottobre 2026 l'avviso USN-8944-1, che aggiorna il pacchetto ca-certificates su tutte le release supportate: 22.04 LTS, 24.04 LTS, 26.04 LTS e 26.10. Riguarda chiunque gestisca server Ubuntu che validano certificati TLS, cioè praticamente ogni macchina che fa chiamate HTTPS in uscita o verifica client certificate.
Cosa cambia
L'aggiornamento rimuove la CA "emSign ECC Root CA - G3" dal bundle di certificati fidati. Il motivo, riportato nell'avviso Ubuntu, è che le CA intermedie collegate a quella root sono state compromesse. In più, su 22.04 LTS, 24.04 LTS e 26.04 LTS il pacchetto conteneva certificati non più aggiornati: la nuova versione allinea il bundle alla release 2.90 di Mozilla.
Il contesto dietro la rimozione è più ampio di quanto dica il solo avviso Ubuntu. Un ricercatore ha segnalato la compromissione il 17 ottobre 2026 e Mozilla e il Chrome Root Program l'hanno confermata il 20 ottobre: le sei certificazioni TLS compromesse erano state emesse da emSign Root TLS CA - G3 e si concatenano a emSign ECC Root CA - G3, una root presente negli store di Chrome e Apple e, fino al 20 ottobre, anche in quello di Mozilla. In totale erano otto le CA intermedie con chiave privata compromessa, sei per TLS e due per il code signing. Il rischio concreto per chi non aggiorna: un attaccante in possesso di una delle chiavi compromesse può emettere certificati validi per qualsiasi hostname, e se è anche sul percorso di rete può intercettare o modificare il traffico TLS dei client che si fidano del bundle contenente quella root.
Non riguarda solo Ubuntu: anche il linguaggio Go ha dovuto intervenire, bloccando le stesse otto chiavi nelle versioni 1.27.3 e 1.26.10 (CVE-2026-111943). Chi ha servizi compilati in Go deve ricompilarli, l'aggiornamento del toolchain da solo non basta.
Come aggiornare
Le versioni corrette del pacchetto sono le seguenti:
| Release | Nome in codice | Versione pacchetto |
|---|---|---|
| 26.10 | stonking | ca-certificates – 20260816ubuntu0.26.10.1 |
| 26.04 LTS | resolute | ca-certificates – 20260816ubuntu0.26.04.1 |
| 24.04 LTS | noble | ca-certificates – 20260816ubuntu0.24.04.1 |
| 22.04 LTS | jammy | ca-certificates – 20260816ubuntu0.22.04.1 |
Un aggiornamento standard del sistema (apt update && apt upgrade) applica le modifiche. Il riferimento Launchpad associato è il bug 2171507.
Testo redatto con il supporto dell'intelligenza artificiale e verificato dalla redazione (AI Act, art. 50).