БЕЗОПАСНОСТЬ

Компрометация сертификатов eMudhra и плееры на DSOS

Компрометация eMudhra: какие версии DSOS доверяют корню emSign ECC Root CA - G3, что меняет DSOS 5.0.1 и что будет с лентами и веб-страницами после обновления.

20 октября 2026 года команды безопасности Google и Mozilla сообщили о компрометации промежуточных центров сертификации eMudhra: их закрытые ключи созданы с недостаточной случайностью, поэтому их можно восстановить. DSOS до версии 5.0.0 включительно доверяет корневому сертификату emSign ECC Root CA - G3, которым подписаны такие центры. DSOS 5.0.1 от 29 октября 2026 года удаляет этот корень.

20 октября 2026 года: сообщение Google и Mozilla

DSOS до 5.0.0 включительно доверяет корню emSign ECC Root CA - G3

DSOS 5.0.1 от 29 октября удаляет этот корень

9 дней от сообщения Google и Mozilla до DSOS 5.0.1

Что произошло

Закрытые ключи ряда промежуточных центров сертификации eMudhra созданы с недостаточной случайностью и поддаются восстановлению. С таким ключом можно выпустить поддельный TLS-сертификат. Ему поверит любая система, в хранилище которой остается соответствующий корневой сертификат eMudhra.

Производители операционных систем и браузеров согласованно удаляют из доверенных хранилищ корневой сертификат, которым подписаны эти центры. Вместе с поддельными сертификатами перестают проходить проверку законные сайты и сервисы на сертификатах этой иерархии. eMudhra переводит таких клиентов на другие иерархии.

Какие продукты затронуты

Данные со страницы SpinetiX об инциденте, статус на 29 октября 2026 года: Active.

Продукт	Состояние	Что делать
DSOS до 5.0.0 включительно	В хранилище доверенных сертификатов есть корень emSign ECC Root CA - G3	Обновить до DSOS 5.0.1
DSOS 5.0.1	Корень удален, пакет ca-certificates обновлен до версии 20260816	Проверить HTTPS-источники контента
Elementi	Собственного списка центров сертификации нет, используется хранилище Windows	Устанавливать обновления Windows
Облако SpinetiX	Работает на AWS. На 26 октября AWS обновил часть сервисов, обновление остальных продолжалось. Платформу конвертации видео SpinetiX обновила 29 октября	Действий от клиента страница SpinetiX не называет

Чем это опасно для плеера

Плеер проверяет HTTPS-серверы по встроенной базе корневых сертификатов. По ней он определяет подлинность серверов, к которым обращается сам: лент данных, веб-страниц, CMS. Плеер на DSOS 5.0.0 и старше примет поддельный сертификат, выпущенный через скомпрометированный центр. Чтобы подменить контент, злоумышленнику нужно еще перехватить трафик между плеером и сервером.

Страница SpinetiX не сообщает о поддельных сертификатах, примененных против плееров. Инцидент касается списка доверенных центров, а не служб плеера, поэтому сам по себе не открывает доступ к Control Center. Этим он отличается от PHP2Shell.

Что меняет DSOS 5.0.1

ca-certificates — версия 20260223 заменена на 20260816, удален корень emSign ECC Root CA - G3.
apache2 — обновлен с 2.4.68 до 2.4.69, включая исправления CVE, которые могли затрагивать DSOS.
Слой Web Page — отключены проверки Local Network Access, включенные в DSOS 4.10.0: они вызывали проблемы совместимости.
Сбой плеера — исправлен сбой при загрузке слоев Web Page с secure context, которые обращаются к локальной сети.
Recovery Console — обновлена до версии 2.33.0.

Релиз вышел 29 октября 2026 года в 11:40 UTC (14:40 по Москве), полный список изменений — в заметках к DSOS.

Лента или веб-страница на сертификате eMudhra после обновления

После удаления корня плеер на DSOS 5.0.1 не сможет проверить сертификат, цепочка которого ведет к emSign ECC Root CA - G3. Соединение не установится, а в player.log появится ошибка «Server certificate verification failed: issuer is not trusted». Лента данных перестанет обновляться, веб-страница в слое Web Page не откроется. Если такой сертификат стоит на сервере CMS, плеер потеряет связь с CMS.

Так уже было в 2021 году, когда истек корневой сертификат Let's Encrypt: SpinetiX описала потерю доступа к лентам данных и прекращение показа веб-страниц на части плееров. Что останется на экране, зависит от сборки проекта, поэтому проверять нужно на пилотном плеере.

Исправляется это на стороне сервера: его владелец перевыпускает сертификат в другой иерархии. DSTOOLS и SpinetiX чужие сертификаты не перевыпускают, срок зависит от владельца сервера.

Добавлять этот корень вручную в Trusted Certificates нельзя: вернется доверие, которое DSOS 5.0.1 убирает. Полную проверку HTTPS в Control Center SpinetiX рекомендует не отключать в рабочей среде, а для веб-контента сертификат проверяется всегда.

Порядок проверки

Выписать все HTTPS-адреса из проектов: ленты данных, веб-страницы, API, сервер CMS.
Проверить цепочку каждого адреса командой openssl s_client -connect адрес:443 -servername адрес -showcerts, адрес указывается без https://. Строк с emSign ECC Root CA - G3 быть не должно. Сам корень сервер обычно не отправляет, его имя стоит в строке i: последнего сертификата. Если в цепочке есть другое имя со словом emSign, к какому корню она ведет, сообщает владелец сервера.
Если цепочка ведет к этому корню, запросить у владельца сервера сертификат другой иерархии.
Обновить пилотную группу до DSOS 5.0.1, проверить показ и player.log.
Обновить остальной парк.

EMP-III и iBX440

Оба плеера работают на DSOS, поэтому состояние определяет версия прошивки: до 5.0.0 включительно корень в хранилище есть, в 5.0.1 его нет.

iBX440 назван в заметках к DSOS 5.0.1 поименно: релиз относится к HMP400/W, iBX410/W, iBX440, HMP350, HMP300, DiVA и сторонним плеерам на DSOS.

EMP-III (iQnetiX) входит в «сторонние плееры на DSOS». По имени в заметках к релизу модель не названа.

Версию DSOS показывает Control Center. Обновление запускается в Operations → Firmware Update → Check Now, прошивки бесплатны. Если плеер не видит сервер обновлений, в поле адреса указывается зеркало https://spinetix-downloads.dstools.ru/dsos/updates/: на 31 октября 2026 года на нем есть DSOS 5.0.1. Без интернета прошивка ставится с USB-накопителя, порядок описан в FAQ поддержки.

С DSOS 4.x обновление на 5.0.1 также закрывает PHP2Shell. Это смена основной версии: сначала обновляется пилотная группа.

123CMS

Плееры под управлением 123CMS проверяют сертификат сервера средствами DSOS. Прошивку 123CMS не обновляет: DSOS 5.0.1 ставится через Control Center. Облачная 123CMS на 123cms.dstools.ru и сервер обновлений spinetix-downloads.dstools.ru используют сертификаты Let's Encrypt (проверено 31 октября 2026 года).

Веб-страницы и потоки из контента 123CMS плеер открывает сам. HTTPS-адреса таких материалов проверяются в том же порядке. При установке 123CMS на сервере заказчика сертификат по умолчанию выпускает центр сертификации самой установки, к eMudhra он не относится. Если заказчик поставил свой сертификат, его цепочка проверяется так же.

Что спросить у поставщика

Есть ли emSign ECC Root CA - G3 в хранилище доверенных сертификатов плеера и в какой версии прошивки он удален?
Поставляет ли производитель плеера обновления этого хранилища отдельно от операционной системы и кто отвечает за их установку?
Какие серверы продукта используют сертификаты eMudhra и переведены ли они на другую иерархию?
Что покажет экран, если сертификат ленты или веб-страницы не пройдет проверку?

Источники

Что случилось с сертификатами eMudhra?

Скомпрометированы ключи ряда промежуточных центров сертификации eMudhra: они созданы с недостаточной случайностью и поддаются восстановлению. Об этом 20 октября 2026 года сообщили команды безопасности Google и Mozilla. С таким ключом можно выпустить поддельный TLS-сертификат, поэтому производители ОС и браузеров удаляют соответствующий корневой сертификат из доверенных хранилищ.

Затронуты ли плееры SpinetiX компрометацией eMudhra?

Да, если на них DSOS до версии 5.0.0 включительно: в хранилище таких прошивок есть корень emSign ECC Root CA - G3. DSOS 5.0.1 от 29 октября 2026 года этот корень удаляет. Плеер на старой версии примет поддельный сертификат от скомпрометированного центра, но для подмены контента нужно еще перехватить его трафик. Обновление бесплатное: Control Center, Operations, Firmware Update, Check Now.

Затронуты ли EMP-III и iBX440 и какую прошивку ставить?

Затронуты версии DSOS до 5.0.0 включительно, ставить нужно 5.0.1. iBX440 назван в заметках к DSOS 5.0.1 поименно. EMP-III входит в «сторонние плееры на DSOS», по имени в заметках не указан, поэтому версию нужно проверить на самом плеере в Control Center. На 31 октября 2026 года DSOS 5.0.1 есть на зеркале обновлений DSTOOLS spinetix-downloads.dstools.ru.

Что будет с лентой или веб-страницей на сертификате eMudhra после обновления до DSOS 5.0.1?

Соединение перестанет устанавливаться, если цепочка сертификата ведет к emSign ECC Root CA - G3. Лента данных не будет обновляться, веб-страница в слое Web Page не откроется, в player.log появится ошибка «issuer is not trusted». Исправляет это владелец сервера: перевыпускает сертификат в другой иерархии. Возвращать корень вручную через Trusted Certificates нельзя, а что останется на экране, зависит от сборки проекта.

Как проверить, ведет ли сертификат сервера к emSign ECC Root CA - G3?

Командой openssl s_client -connect адрес:443 -servername адрес -showcerts: строк с этим именем в выводе быть не должно. Сам корень сервер обычно не отправляет, его имя стоит в строке i: последнего сертификата. Если сервер отдал только свой сертификат, имени корня в выводе нет: тогда любое имя со словом emSign означает вопрос к владельцу сервера. Адрес указывается без https://, OpenSSL есть в Linux и macOS, в Windows он ставится отдельно. Проверять нужно все HTTPS-адреса из проектов: ленты данных, веб-страницы, API и сервер CMS. Затем пилотную группу плееров обновляют до DSOS 5.0.1 и смотрят показ и player.log.

Затрагивает ли компрометация eMudhra программу Elementi?

Только через Windows: Elementi использует хранилище сертификатов Windows и собственного списка центров сертификации не ведет. На компьютере должны стоять актуальные обновления, в том числе обновления хранилища доверенных сертификатов. Отдельного обновления Elementi страница SpinetiX не требует.

Нужно ли что-то менять в 123CMS из-за eMudhra?

В настройках облачной 123CMS менять ничего не нужно: на 31 октября 2026 года 123cms.dstools.ru использует сертификат Let's Encrypt, его цепочка не ведет к emSign ECC Root CA - G3. Прошивку 123CMS не обновляет, DSOS 5.0.1 ставится отдельно, через Control Center. Веб-страницы и потоки по HTTPS плеер открывает сам: адрес на сертификате этого корня после обновления перестанет открываться, поэтому такие адреса в контенте нужно проверить. При установке на сервере заказчика свой сертификат проверяет заказчик.