事件概况

10 月 29 日，印度证书颁发机构 eMudhra 的加密安全漏洞波及以太坊客户端 Teku 与 Besu。其旗下 8 个中间证书颁发机构私钥因随机性不足可能被推算，攻击者可伪造证书，诱骗未修复软件信任恶意服务。

修复版本

  • Teku：发布 26.10.3 版本

  • Besu：发布 26.10.2 版本


两者均在 Docker 镜像中移除对相关证书的信任。

风险提示

攻击者若实施中间人攻击，可能诱骗部分验证者将区块手续费奖励发送至攻击者地址；使用外部签名器的特定配置下风险更高。

Teku 团队称，默认配置的以太坊主网节点不受影响，无需采取行动，目前尚无漏洞遭利用报告。

直接在主机运行、未使用 Docker 的运营者，仅更新客户端不够，还需手动更新 Java 及受信任证书列表；仍在使用已停止维护的 Java 26 者需迁移至 Java 25。