Фалшиви TLS сертификати и 32 пробива на Pwn2Own

Вторник, 6 октомври 2026 г., се оказа тежък ден за доверието в интернет. Екипът на Chrome за мрежова сигурност съобщи, че неизвестни атакуващи са превзели инфраструктурата на три национални домейн регистъра и чрез нея са се сдобили с напълно валидни TLS сертификати за домейни на Google и на „няколко водещи световни марки и широко използвани онлайн услуги“. В същия ден в Ирландия стартира Pwn2Own — и само за първия ден участниците демонстрираха 32 zero-day пробива.

Как се подправя сертификат, без да се пипа Google

Схемата не включва нито срив в Google, нито небрежна сертифицираща институция. Атакуващите са компрометирали инфраструктурата, обслужваща пространствата .gh (Гана), .sl (Сиера Леоне) и .as (Американска Самоа), и са променили авторитетните DNS записи за избрани домейни под тях.

Оттам нататък всичко е „по правилата“. Най-масовият начин, по който се издава HTTPS сертификат, е доменната валидация: сертифициращата институция проверява дали кандидатът контролира домейна — обикновено чрез DNS запис или файл на сървъра. Щом държите DNS-а, вие минавате проверката. Резултатът са истински, подписани от доверени CA сертификати, които всеки браузър приема без оплакване — просто в ръцете на хора, които не би трябвало да ги имат. Или както го формулира Ars Technica, доменната валидация доказва, че контролирате домейна, но не казва нищо за това дали е редно да го контролирате.

Google подчертава, че собствените ѝ системи не са компрометирани и че няма основание да смята, че издаващите институции са направили нещо нередно. Имената на засегнатите домейни и на останалите организации не са оповестени.

Какво направи Chrome

Реакцията е минала по аварийния канал: Chrome е блокирал откритите неоторизирани сертификати за имоти на Google чрез CRLSets — компактните списъци, които Google разпространява до браузъра извън обичайния цикъл на обновяване. Това е важен детайл, защото Chrome по подразбиране не прави онлайн OCSP или CRL проверки; CRLSets са точно механизмът за бързо гасене на пожари, а не пълноценна система за отзоваване.

Паралелно Google е координирала отзоваването с издаващите CA и е претърсила логовете на Certificate Transparency, за да идентифицира и блокира сертификати на други пострадали организации. Компанията обаче не гарантира, че е открила всеки издаден сертификат.

Съветите към собствениците на домейни са два и са напълно практични:

• Следете CT логовете за цялото си домейн портфолио — издаването на сертификат се вижда там почти в реално време.
• Публикувайте CAA записи, с които декларирате кои точно сертифициращи институции имат право да издават за вашите домейни.

За обикновения потребител действието е едно: уверете се, че сте на актуална версия на браузъра, защото защитата пристига именно с обновяване — Chrome се тегли оттук.

Pwn2Own Ireland: 21 опита, 32 пробива

Същия ден Zero Day Initiative отвори Pwn2Own Ireland 2026 с 21 заявки на сцената. По сметките на BleepingComputer първият ден е донесъл 32 zero-day пробива и около 388 500 долара награди (приблизително 345 000 евро).

Най-високата единична награда е за McCaulay Hudson — 50 000 долара и 5 точки за Master of Pwn срещу умната колонка Sonos Era 300, чрез запис извън границите на буфера и грешка във форматен низ.

Снимка: Zero Day Initiative

Виетнамският екип VinSOC взе две награди по 40 000 долара: първо с верига от седем бъга срещу хъба Philips Hue Bridge Pro, после с пет грешки срещу Oracle Autonomous AI Database. Още два пъти по 40 000 отидоха при Taisic Yun от Xint за LiteLLM (валидация на входа плюс инжекция на код) и при Ikotas Labs за облачния агент OpenAI Codex — с една единствена грешка от тип argument injection. AI инфраструктурата вече е пълноправна цел на състезанието, а подобни дупки в агентските протоколи не са новина.

Samsung Galaxy S26 падна три пъти — от Nguyen Thanh Dat (Viettel), Interrupt Labs и Ikotas Labs — но сблъсъците свалиха сумите до 31 250, 15 750 и 11 000 долара. Google Pixel 10 се яви за първи път на Pwn2Own и устоя: White Noise Club изчерпа времето си. Принтерът Lexmark CX532adwe беше пробит двукратно (20 000 и 10 000 долара), а медицинският апарат за кръвно Garmin Index BPM отстъпи пред Interrupt Labs за 20 000.

Не всичко мина гладко за състезателите: опитите срещу принтера Brother MFC-L8970CDW и срещу векторната база Chroma изтекоха по време, а Lexmark устоя в един от трите опита. Състезанието продължава още няколко дни, а производителите получават 90 дни да закърпят показаните уязвимости.

Защо двете новини се четат заедно

На едната страна е състезание, което плаща, за да се намерят дупките преди лошите. На другата е атака, която не е търсила дупка в кода, а в административната верига: кой държи DNS-а на един домейн. Първото се управлява с пари и срокове; второто изисква регистрите на малки държави да издържат на същия натиск като инфраструктурата на Google.

Контекстът е още по-неудобен, защото защитниците тъкмо свиват каналите си за доклади — Google спря bug bounty програмата си за отворен код заради вълна от автоматизирани доклади. Ако вие стопанисвате домейни, двете практически мерки от тази история струват един следобед: CAA записи и мониторинг на Certificate Transparency.