Standardní knihovna Pythonu dostala tabulku osmi otisků veřejných klíčů, které modul ssl odmítne bez ohledu na nastavení programu i na to, čemu věří operační systém. Jsou to klíče mezilehlých autorit eMudhra, které se daly spočítat z certifikátu. Oprava má číslo CVE-2026-115557 a vyšla v pěti větvích naráz.
Soukromé klíče osmi mezilehlých certifikátů autority eMudhra byla čísla menší než 256, takže je mohl spočítat kdokoli. Chrome, Firefox, Apple i Microsoft je zablokovali, Google navíc vyřazuje celý kořen emSign ECC Root CA - G3. Programy mimo prohlížeče potřebují aktualizované úložiště certifikátů.
Od 28. do 30. srpna 2026 mířil provoz na aktualizační server firmy Softaculous k cizímu stroji. Útočník ohlásil do světových směrovacích tabulek kus adresního prostoru poskytovatele Hetzner Online, opatřil si na dotčené domény platný certifikát a části zákazníků podstrčil upravený balík aktualizace Virtualizoru. Kontrola původu tras přitom po celou dobu hlásila, že je ta trasa v pořádku.
Služba, která majiteli domény hlásí každý nový certifikát nalezený ve veřejných logech, posílala hlavně zprávy o rutinním obnovování. Cloudflare je teď odfiltruje podle otisku veřejného klíče a nechá projít jen certifikáty, které nevydal. Dohled tím po letech opouští veřejnou betu.
Organizace IETF vydala v červenci 2026 trojici dokumentů RFC 10002 až 10004, které ruší platnost popisu protokolu CMC z roku 2008 i jeho doplňku z roku 2011. Povinným otiskem je nově SHA-256 místo SHA-1 a tam, kde zprávy chrání TLS, se vyžaduje aspoň verze 1.2. Ve starších verzích dvou kontrolních prvků ale SHA-1 zůstal, a u jednoho z nich je pro autority dál povinný.
