Pada 30 Oktober 2026 Cloudflare mempublikasikan follow-up tentang insiden sertifikat eMudhra: delapan kunci intermediate sangat lemah, termasuk nilai 4, 56, 66, 115, 155, 156, 230, dan 237. Dalam posting Cloudflare, tim menjelaskan private key bisa dipulihkan siapa pun dari sertifikat publik. Klien yang belum patch masih menerima rantai palsu, berbeda dari insiden CA klasik di mana akses kunci vendor lebih terbatas.
Namun artikel ini fokus pada telemetry dan progres patching yang Cloudflare ukur, bukan daftar panjang produk yang perlu update. Kerangka patch stack web multi-produk tetap tersedia di artikel terpisah di situs ini.
Skala insiden sertifikat eMudhra dan respons Cloudflare
Cloudflare mencatat eMudhra mengumumkan keluar dari bisnis public CA dan menyebut kesalahan script key generation. Script itu belum dipublikasikan saat posting lanjutan. Sistem prioritas tinggi Cloudflare sudah men-patch stack kritikal. Setelah pemberitahuan awal 19 Oktober 2026, proxy origin-facing Pingora menolak kunci rentan dalam hitungan jam. Logging handshake lemah pada Pingora selesai rollout 21 Oktober.
Kontras dengan DigiNotar atau insiden CA terbatas lain: skala kunci lemah eMudhra memungkinkan pembuatan sertifikat palsu tanpa meretas HSM vendor. Jadi urgensi patching trust store di OS, runtime, browser, dan bot internal naik.
Handshake lemah pada rantai sertifikat eMudhra
Setelah logging aktif sekitar seminggu, Cloudflare melaporkan sekitar 22.000 attempted handshake dengan kunci eMudhra lemah. Sementara dua pertiga attempt menuju situs uji seperti domain contoh dalam panduan developer, sisanya ke origin yang memasang sertifikat buatan sendiri memakai intermediate lemah. Akhirnya Pingora menolak handshake yang memverifikasi sertifikat setelah patch aktif.
Sekitar 160 handshake menonjol karena Subject Alternative Name (SAN) menamai domain organisasi lain. Nama itu tidak cocok dengan Server Name Indication (SNI) permintaan. Meskipun Cloudflare menilai pola itu lebih mirip sertifikat default server daripada upaya intercept path Cloudflare, verifikasi hostname tetap gagal dan sertifikat sama muncul dari banyak lokasi edge.
Cloudflare belum melihat bukti kunci lemah memakai intercept koneksi keluar Cloudflare. Namun sertifikat palsu muncul kurang dari sejam setelah laporan publik Mozilla. Contoh timestamp: 20 Oktober 18:19 UTC. Interpretasi redaksi: attempted handshake dengan kunci lemah tidak setara dengan MITM berhasil terhadap traffic Cloudflare atau pengguna Indonesia secara massal.
Probe visitor dan batas metodologi
Untuk memperkirakan klien yang masih mempercayai kunci lemah, Cloudflare memakai halaman challenge dengan probe JavaScript ke endpoint uji. Volume sekitar 50 juta probe dalam seminggu. Lantaran traffic challenge sengaja skewed, sampel banyak bot, hanya klien JS, dan Android WebView lag patching. Graf blog memperkirakan 30–40 persen masih accept.
Ternyata lonjakan Chrome 150–154 macOS pada 29 Oktober sebagian reclasifikasi bot, bukan patching nyata. Angka probe tidak representatif seluruh internet. Agar angka tidak disalahartikan, jangan baca probe sebagai persentase populasi global tanpa caveat itu. Tren patching browser modern relatif baik, sementara bot dan browser lama datar setelah akhir pekan awal.
Selanjutnya tutorial record CAA dan Certificate Transparency membahas peran Certificate Transparency dan kebijakan CA lebih luas. Konteks patch stack GitLab, Java, Rust, dan OpenSSL termasuk insiden eMudhra ada di artikel patch keamanan stack web.
Langkah admin dan developer
Cloudflare menyerukan patch trust store mengikuti panduan crowdsourced yang mereka referensikan. Apabila Anda memakai WARP atau Tunnel, baca posting mitigasi produk yang relevan. Bot dan scraper internal juga perlu update karena probe menunjukkan software lama masih accept rantai terkompromi.
Patch trust store dan IDE JetBrains
Developer workstation yang memakai IDE JetBrains membutuhkan update produk JetBrains, bukan hanya OS. Kemudian ingat runtime IDE memakai trust store sendiri. Artikel update JetBrains pasca insiden eMudhra menguraikan versi minimum PhpStorm, Toolbox, jetbrainsd, dan status JCEF, dengan outbound ke advisory JetBrains 30 Oktober 2026.
Cloudflare juga menyinggung proyek seperti upki untuk trust store yang vendor bisa perbarui cepat saat revocation dan CT berubah. Walau itu arah infrastruktur jangka panjang, patch OS dan runtime tetap tindakan langsung hari ini.
Bot internal dan produk edge
Sebelum rollout berikutnya, admin zona Cloudflare yang memakai produk edge sebaiknya membaca posting mitigasi awal 19 Oktober 2026 di seri blog yang sama. Prioritas naik bila deployment memakai WARP, Tunnel, atau origin fetch custom. Artikel konfigurasi Cloudflare WAF tetap relevan untuk hardening situs, meski insiden sertifikat eMudhra bukan celah di panel Cloudflare itu sendiri.
Tim yang mengelola bot crawl internal perlu memperlakukan patch trust store sama seriusnya dengan browser staf. Lantaran graf probe menunjukkan acceptance tinggi pada user-agent bot lama, tanpa update bot bisa menerima rantai TLS palsu saat menguji staging atau competitor monitoring.
Audit terbuka, metodologi, dan konteks lokal
Setidaknya audit eMudhra, peran cross-signer, dan alasan CRL awal memakai tanda tangan kunci lemah masih terbuka menurut Cloudflare. Redaksi tidak menyimpulkan kesalahan auditor tertentu tanpa dokumen investigasi independen.
Berikut catatan metodologi: Cloudflare mencatat perubahan probe antara 23 dan 27 Oktober 2026 UTC. Daftar itu meliputi rollback sementara platform challenge karena isu tidak terkait, penambahan cross-sign G3, dan penaikan fraksi halaman challenge dari 1 persen ke 10 persen pada zona non-paying. Membaca graf tanpa konteks timeline itu mudah salah menilai kecepatan patching publik.
Sertifikat palsu dengan masa berlaku lebih dari dua tahun muncul dalam sample Cloudflare. Masa itu lebih panjang dari batas issuance CA publik normal. Tetapi itu indikator forge eksperimental atau konfigurasi server default, bukan bukti otomatis bahwa pengguna akhir Indonesia sudah kena MITM massal.
WordPress 7.1.4 mengganti root bawaan terkait pencabutan eMudhra di sisi CMS, terpisah dari patch trust store desktop. Keduanya perlu masuk checklist organisasi yang menjalankan situs produksi sekaligus pipeline deploy dari laptop developer.
Bagi pembaca Indonesia, lonjakan acceptance di ASN besar pada graf Cloudflare mencerminkan campuran probe challenge, bukan statistik nasional. Tetap patch runtime lokal dan pantau advisory vendor software yang Anda pakai, termasuk stack PHP atau Node yang tercantum dalam artikel patch keamanan stack web.
Akhirnya Cloudflare menutup posting dengan ajakan industri mempercepat mekanisme revocation dan pembaruan trust store dinamis. Tim operasional tetap bergantung pada patch vendor OS, browser, runtime Java, dan toolchain IDE yang mereka kontrol langsung.
