Eine Zwischenenzertifizierungsstelle wurde kompromittiert, woraufhin die National Vulnerability Database die Schwachstelle CVE-2026-111943 zugewiesen hat. Der Verstoß ermöglicht es Angreifern, gültige SSL/TLS-Zertifikate für beliebige Domains auszustellen und dabei Browsertrustwarnungen sowie Zertifikat-Pinning auf Systemen zu umgehen, die die betroffene CA nicht widerrufen.

Diese Art von Sicherheitslücke stellt eine grundlegende Bedrohung für die öffentliche Schlüsselinfrastruktur dar. Jede Anwendung oder jeder Dienst, der Zertifikate über die kompromittierte Kette validiert, wird anfällig für transparente Interception und Credential-Diebstahl. Organisationen müssen Systeme identifizieren, die auf die betroffene CA angewiesen sind, Zertifikatswiderrufslistenaktualisierungen implementieren und erwägen, Misstrauensflaggen in Browsern und Anwendungen zu preloaden.

Das Ausmaß und der Zeitplan für Abhilfemaßnahmen wurden in verfügbaren Zusammenfassungen nicht öffentlich bekannt gemacht. Betreiber von TLS-abschließender Infrastruktur sollten jedoch Priorität darauf legen, ihre Zertifikatsketten zu prüfen und sich an CA-Kommunikationskanäle wenden, um Anleitung zu erhalten.