The JetBrains Blog ·

eMudhra 证书机构安全事件：JetBrains 产品现状与应对指南

💡 原文英文，约1200词，阅读约需5分钟。

📝

内容提要

JetBrains 正在应对证书机构 eMudhra 的安全事件：八个中间 CA 私钥因生成缺陷可被恢复，攻击者可能借此伪造受信任证书。由于 Java 运行时信任受影响证书，该事件波及多个 JetBrains 产品，包括 IDE、Toolbox、TeamCity、YouTrack 和 Hub。JetBrains 已发布部分修复更新，建议用户及时升级产品、操作系统和 Java 运行时；若无法升级，可从信任库移除两个根证书，但切勿关闭证书验证。

🔎

延伸解读

为何 Java 运行时是本次事件的关键环节

文章指出，JetBrains 多数产品（包括 IDE、TeamCity、YouTrack 等）都运行在 Java 上，其自研的 JetBrains Runtime 与其他 Java 运行时一样信任了受影响的证书。这意味着即使操作系统或浏览器已屏蔽问题证书，产品内置的信任库仍可能接受伪造证书。因此，修复不能只依赖系统更新，还需同步更新产品及其使用的 Java 运行时。

不同产品的修复状态差异明显

JetBrains 已为 IDE、Toolbox App、Rider、ReSharper、YouTrack、Hub、Datalore 等发布修复版本，但 TeamCity、Kotlin、IDE Services、MPS 等仍处于修复中。对于 TeamCity，仅更新产品本身可能不够，还需检查每个服务器节点和构建代理的 Java 运行时；Kotlin 用户则需注意 Gradle 插件默认下载的 Node.js 版本。读者应根据产品状态表采取对应措施，而非统一处理。

无法立即升级时的替代方案与风险

若无法更新产品或 Java 运行时，文章建议从信任库中移除两个根证书（emSign ECC Root CA – G3 和 AAA Certificate Services），或让产品指向不含它们的信任库副本。同时应更新操作系统的 ca-certificates 包。但文章明确警告，不得关闭证书验证或削弱验证机制作为变通方案，否则会引入更大安全风险。

❓

Q&A

eMudhra证书机构安全事件是怎么回事？

2026年10月17日，有安全研究员报告称，由于生成方式存在缺陷，八个eMudhra中间证书机构的私钥可被恢复。攻击者可能利用这些私钥伪造出看似受信任的证书，从而影响那些仍然接受受影响证书链的系统。

这个事件影响了哪些JetBrains产品？

影响多个JetBrains产品，包括IDE（如IntelliJ IDEA等）、Toolbox App、TeamCity、YouTrack、Hub、Rider、ReSharper、Qodana、Datalore、Junie CLI、Kotlin工具链、IDE Services、MPS、JetBrains Central CLI和JetBrains Context CLI等。

为什么Java运行时会受eMudhra证书问题影响？

许多JetBrains产品（包括IDE）运行在Java上，使用JetBrains Runtime（JBR）。JBR与其他Java运行时（如Oracle JDK、OpenJDK）一样，信任了受影响的eMudhra证书。因此，当这些证书被用于伪造时，Java运行时可能错误地信任恶意证书。

JetBrains发布了哪些产品的修复更新？

已发布修复的产品包括：JetBrains IDE（2025.2-2026.3的最新bugfix更新）、Toolbox App（3.8.2、3.9.1）、Rider/ReSharper（最新bugfix更新）、JetBrains Runtime（JBR 25和21的特定构建）、YouTrack（2026.2.19728等）、Hub（2026.2.52556）、Datalore（2026.4.1）、Junie CLI（26.10.27）等。部分产品如TeamCity、Kotlin、IDE Services、MPS仍在修复中。

如果无法立即更新JetBrains产品，应该采取什么临时措施？

如果无法更新产品，应更新其使用的Java运行时。若仍不可行，可从Java运行时的信任库中移除两个根证书：emSign ECC Root CA – G3和AAA Certificate Services，或将产品指向不含这些证书的信任库副本。同时更新操作系统的ca-certificates包。切勿完全禁用证书验证。

TeamCity用户需要特别注意什么？

TeamCity的修复仍在进行中。仅更新TeamCity可能不会更新Java，因此需要检查每个服务器节点和构建代理（包括TeamCity Cloud的自托管代理）上的Java运行时，必要时进行更新并重启。还需检查用户上传的证书。对于Docker，应在更新镜像发布后部署并重新创建容器，或使用提供的说明修补现有镜像。

🏷️