亲爱的 deepin 用户与社区伙伴们：

近期，公共 CA 机构 eMudhra 的 8 张中级 CA 证书被确认存在严重私钥缺陷。该缺陷源于 CA 生成密钥时的实现错误 —— 私钥可由证书本身直接还原，任何拿到它的人都能为任意域名签发"合法"的 TLS 证书和代码签名证书，而这些证书链至主流浏览器与操作系统共同信任的根证书。

本次更新仅涉及 ca-certificates 一个软件包，请尽快升级。

漏洞信息

漏洞编号： CVE-2026-111943

漏洞描述：受影响的 8 张中级证书中，6 张为 TLS 签发证书（DV / OV / EV TLS CA - G3B、G3C），链至 emSign Root TLS CA - G3；2 张为代码签名证书（EM OV CS CA - G3B、G3C），链至 emSign Root CS CA - G3。此外还存在 Sectigo 签发的、链至 AAA Certificate Services 的交叉签名副本。

危害：持有这些私钥的攻击者若处于网络中间位置，可对不检查证书吊销状态的客户端实施中间人攻击——伪造任意网站、窃取或篡改通信内容。浏览器类（Chrome、Edge、Firefox）依靠远端推送的吊销列表（CRLSet / OneCRL）已于 10 月 17 日前后完成拦截，无需升级版本即可生效；但 curl、wget、git、pip、apt 等使用系统信任库的组件无法获知吊销信息，会持续信任这些证书，必须通过本次更新修复。

漏洞等级： ⚠️⚠️⚠️ 严重（CVSS 9.1）

影响范围

所有未更新本次修复的 deepin 25 用户，建议立即更新升级。

修复进展

deepin 25：

ca-certificates 已升级至 20250419+deb13u1，沿用 Debian 安全团队的处理方式（Debian Bug #1151413）：将受影响的 emSign ECC Root CA - G3 与 Comodo AAA Services root 两条根证书移出系统信任库，一并切断上述 8 张中级证书及其交叉签名副本的信任链。

请通过 控制中心 更新，或使用终端命令升级：

sudo apt update && sudo apt dist-upgrade

本次更新无需重启系统，重启正在运行的程序即可加载更新后的信任库。

提示： 移除根证书会连带影响该根证书下其它正常签发的证书，个别站点可能出现证书校验失败，属预期行为，与 Debian、Mozilla NSS 等上游处置方式一致。

以上就是本次全部更新内容啦，再次感谢每一位 deepin 社区朋友的支持！