8张问题证书致飞书私聊可被监听 旧版客户端成安全盲区

2026年10月，全球互联网信任体系遭遇一次隐蔽但严峻的冲击：印度认证机构eMudhra旗下emSign签发的8张中间证书被曝私钥生成随机性严重不足，攻击者仅凭公开证书即可反向推导私钥，进而伪造服务器身份、解密HTTPS通信。该漏洞已由安全研究者通过PoC工具“Distrust”实证——在未更新的旧版桌面应用环境中，局域网内攻击者可实施中间人劫持，实时监听并篡改飞书私聊内容，包括明文消息、截图、历史对话，甚至伪造身份发送虚假指令。

风险核心在于软件供应链的滞后响应。飞书、钉钉等主流办公软件采用Electron框架构建桌面端，其内置Chromium内核若未同步更新信任库，即便操作系统或浏览器已封禁问题证书，客户端仍会继续信任已被撤销的证书链。更关键的是，系统级工具如curl、git默认不校验证书吊销列表（CRL），只要证书链形式合规即建立连接，形成“安全盲区”。例如，一台运行macOS 27.2的设备，若未手动更新/etc/ssl/cert.pem及关联组件，其飞书客户端仍可能通过旧版Chromium发起请求并遭劫持。

实际影响远超聊天记录泄露：开发者调用API时Auth Token可能被截获；财务人员登录银行系统时交易凭证透明化；远程会议屏幕共享画面亦可能被替换。风险链条清晰：漏洞源头→旧版Chromium信任残留→局域网ARP/DNS劫持→HTTPS拦截解密→内容篡改或注入恶意指令至AI助手、终端Agent等自动化工具，引发删库、窃密等连锁反应。

截至漏洞公开两周后，监测显示大量企业内网设备仍在运行2025年末发布的飞书版本（Chromium内核128.x），未包含2026年10月后的证书吊销更新。当前缓解措施包括：强制更新飞书等客户端至最新版（确认Chromium已升级）、手动更新系统证书库、避免在不可信网络处理敏感通信、对关键操作启用二次验证。此次事件本质是对软件供应链可信度的一次压力测试，警示数字信任需动态验证而非默认继承。