Pembaruan untuk perangkat lunak pelanggan
Cloudflare mengumumkan pembaruan keamanan untuk Cloudflare One Client, aplikasi WARP/1.1.1.1, serta Cloudflare Tunnel dalam penjelasan yang diterbitkan 20 Oktober 2026. Perusahaan mengatakan langkah itu diambil setelah mengetahui pada 19 Oktober sekitar pukul 17.00 UTC bahwa kunci privat delapan sertifikat perantara eMudhra telah terkompromi. Keterangan mengenai kompromi ini merupakan pernyataan Cloudflare; laporan ini tidak menetapkan secara independen cakupan penyalahgunaannya. [1]
Mitigasi bukan berarti seluruh pekerjaan selesai
Menurut kronologi perusahaan, pembaruan klien mulai diterbitkan pada 20 Oktober pukul 02.00 UTC, disusul pembaruan Tunnel pukul 09.15 UTC. Cloudflare menyatakan mitigasi CDN dan Zero Trust sisi server selesai diterapkan pukul 19.20 UTC pada hari yang sama. Namun, perusahaan menegaskan masih ada pekerjaan remediasi dan sebagian pelanggan harus menangani perangkat lunak atau konfigurasi kepercayaan sertifikat yang mereka kelola sendiri. [1]
Periksa klien, container, dan sertifikat khusus
Untuk Cloudflare Tunnel, perusahaan meminta pengguna meningkatkan cloudflared ke versi 2026.10.2 serta memperbarui dan menerapkan ulang image pada instalasi berbasis container. Pelanggan dengan autentikasi TLS timbal balik diminta memeriksa trust store atau CA yang diunggah untuk memverifikasi sertifikat klien. Pengguna sertifikat origin khusus dan layanan Containers juga diminta memeriksa konfigurasi serta dependensi terkait. [1]
Jangan menonaktifkan pemeriksaan sertifikat
Cloudflare mengingatkan pengembang bahwa memperbarui SDK saja belum tentu mengubah pemeriksaan sertifikat, karena proses itu dapat ditangani pustaka HTTP, runtime, sistem operasi, atau konfigurasi khusus. Perusahaan meminta pengguna tidak mengatasi galat sertifikat dengan menonaktifkan verifikasi. Cloudflare mengatakan tinjauan keamanannya belum menemukan eksploitasi aktif pada layanannya; pernyataan itu tidak membuktikan tidak adanya eksploitasi di luar cakupan pemeriksaan perusahaan. [1]