事件：证书机构 eMudhra 的 8 根中间 CA 私钥被证实外泄，安全研究者用私钥签发消息演示、甚至展示了伪造的任意域名 TLS 证书。Mozilla 10 月 17 日接报后 3 小时内完成 Firefox 拦截，10 月 20 日全平台处置收尾。1. 浏览器无感，运行时要动手。Firefox、Chrome 用户被 OneCRL/CRLSet 静默保护；但 Go 官方以 URGENT 轨道发布 1.27.3 与 1.26.10，在标准库验证器里硬编码 8 个密钥哈希过滤——只在用新版重新编译后才生效，已发布的二进制必须重建重发。Python 的 certifi（2026.10.19）、Rust 的 webpki-roots（1.0.10）同步更新；Go 1.25 及更早版本不获修复。2. 自带的信任库最容易漏。应用内打包的 ca-bundle、自维护的 OpenSSL 信任库不随操作...