Cloudflare Tunnel新版本已删除印度eMudhra证书信任 用于对抗冒用身份伪造服务器
内容提要
Cloudflare提醒用户将Tunnel连接器cloudflared升级至2026.10.2以上版本，以修复印度eMudhra中间证书私钥泄露带来的风险。旧版仍信任受损证书链，攻击者可伪造证书冒充服务器。容器用户需拉取新镜像重新部署，包管理器用户需升级并重启服务，仅修改控制面板无效。升级需重启，可能中断连接，建议安排维护或轮换实例。
延伸解读
证书信任链的本地化风险
文章指出，cloudflared 在连接远端服务时需要校验数字证书以确认对方身份。旧版本仍信任已泄露私钥的 eMudhra 中间证书链，这意味着攻击者可用伪造证书让 cloudflared 将假冒服务器误认为真实服务。风险根源在于连接器本地的信任库未更新，而非 Cloudflare 控制面板的设置。
升级操作因部署方式而异
根据文章，容器部署用户需拉取修复后的镜像并重新部署容器；通过系统包管理器安装的用户则需用包管理器升级并重启服务。仅修改 Cloudflare 控制面板无法替代运行实例的版本升级。用户至少应升级到 2026.10.2 版，目前最新版为 2026.10.3 版。
重启中断与轮换建议
升级要求重启服务，当前连接可能中断。文章建议单实例部署应安排维护时段；需要维持在线服务的用户，可通过多个 cloudflared 实例或 Cloudflare Load Balancer 轮换升级，以降低升级过程中的服务中断影响。
Q&A
Cloudflare Tunnel 的 cloudflared 为什么要升级到 2026.10.2 以上版本？
因为印度 eMudhra 的中间证书私钥泄露，旧版 cloudflared 仍信任受影响的证书链，攻击者可利用伪造证书冒充服务器。升级到 2026.10.2 或更高版本可以阻止 cloudflared 继续信任这些已受损且被行业吊销的中间证书。
eMudhra 证书泄露事件的具体风险是什么？
印度 eMudhra 的 8 张中间证书使用了弱密钥，容易被爆破出私钥。持有私钥的人可以伪造相关证书链，让受影响的软件（如旧版 cloudflared）把假冒服务器当成真实服务器，从而冒充服务端身份。
容器部署的 Cloudflare Tunnel 用户应该如何升级？
容器部署用户需要拉取修复后的最新镜像，并重新部署容器。仅更新 Cloudflare 控制面板设置无效，必须升级运行实例的版本。
通过系统包管理器安装的 cloudflared 怎么升级？
通过系统包管理器安装的用户应继续使用系统包管理器升级到最新版（至少 2026.10.2，目前最新为 2026.10.3），然后重启服务。
升级 cloudflared 会导致连接中断吗？如何避免服务中断？
升级需要重启服务，当前连接可能会中断。单实例部署应安排维护时段；需要保持在线服务的用户，可以通过多个 cloudflared 实例或 Cloudflare Load Balancer 轮换升级来避免中断。
只修改 Cloudflare 控制面板的设置能修复这个证书信任问题吗？
不能。只更新 Cloudflare 控制面板设置无法替代运行实例的版本升级，必须将 cloudflared 程序本身升级到 2026.10.2 或更高版本。
