17 октября 2026 года проблему обнаружил независимый ИБ-исследователь, известный под ником Wayne, который изучал публичные данные сертификатов. В своем уведомлении об инциденте специалист сообщил, что все восемь проблемных ключей были созданы в апреле 2025 года для эллиптической кривой P-384, где приватный ключ должен случайно выбираться из пространства примерно в 2^384 возможных значений.
Однако в случае eMudhra этими секретными значениями оказались числа 4, 56, 66, 115, 155, 156, 230 и 237. То есть все ключи фактически умещались в восемь бит, и атакующему достаточно было перебрать всего 256 возможных значений.
https://emudhra.we-have-a-problem.com/
Команда PHP готовит исправления сразу для двух критических уязвимостей, обе с оценкой 9,2 из 10 по CVSS 4.0, а релиз назначен на сегодня, 21 октября, в 14:00 UTC (16:00 в Амстердаме, 17:00 в Москве):