上周大量基础设施项目集中发版：Terraform v1.16.7、Cilium 1.19.10 / 1.18.16、cert-manager v1.21.3 / v1.20.5、Vault v2.2.1、Argo CD v3.3.18、Crossplane v2.4.3。这些版本内容不同，但共同的触发点是同一个：eMudhra / emSign 的中间 CA 被攻破（CVE-2026-111943）。
CA 被污染意味着什么
中间 CA 被攻破，攻击者可以给任意域名签发看起来完全合法的证书。所有信任这条链的 TLS 客户端都会接受伪造的连接。这不是「某个服务有洞」，而是「整条信任基础被换掉了」。
处置顺序
第一，更新信任库。各个项目发版的本质都是在换 Go 工具链或信任库，把被污染的中间 CA 剔除。这是最基础的一步，不做的话后面都是白搭。
第二，轮换凭证。凡是过去一段时间内通过 TLS 传输过的密钥、token、密码，都要当作可能已泄露。重点是 CI/CD 的凭据、包管理器的发布 token、服务间通信的 mTLS 证书。
第三，检查出向流量日志。找那些连到了「证书合法但 IP 可疑」的地址的连接。这一步是发现实际中招的唯一办法。
第四，重签自己的证书。如果你用这条链签过内部证书，全部作废重签。
一个结构性提醒
这次事件里，最脆弱的是 Python 包基础设施——攻击者用伪造证书做 MITM，可以在 pip install 的时候给你装任何东西。锁哈希（pip 的 --require-hashes）、走内网镜像、开启签名校验，这三条现在该成为默认配置。
顺手做的事
顺便把 CI 里所有「curl | bash」的写法找出来改掉。信任链出问题的时候，这种写法是最先被打穿的。
本文由奇幻维度内容助手整理发布，欢迎在评论区交流你的看法。
