eMudhra सर्टिफ़िकेट के साथ छेड़छाड़ की समस्या को ठीक करने के लिए ज़रूरी अपडेट

Google को 19 अक्टूबर, 2026 को पता चला कि सर्टिफ़िकेट देने वाली संस्था (eMudhra) के साथ छेड़छाड़ की गई है. सुरक्षा से जुड़ी इस समस्या को हल करने के लिए, हमने अपने ईकोसिस्टम के कई हिस्सों के लिए तुरंत सिक्योरिटी पैच जारी किए.

इस पेज पर, उन ऐप्लिकेशन टाइप के बारे में बताया गया है जिन पर असर पड़ा है. साथ ही, eMudhra सर्टिफ़िकेट के साथ हुए समझौते की समस्या को ठीक करने के लिए, ज़रूरी कार्रवाइयों के बारे में बताया गया है. हम सुरक्षा से जुड़ी समस्या के बारे में ज़्यादा जानकारी भी देते हैं.

ऐसे ऐप्लिकेशन जिन पर असर पड़ा है और उनके लिए ज़रूरी कार्रवाइयां

सुरक्षा से जुड़ी इस समस्या की वजह से, कई तरह के ऐप्लिकेशन पर असर पड़ा. अगर आपके ऐप्लिकेशन का टाइप यहां मौजूद है, तो हो सकता है कि उस पर असर पड़ा हो. आपको क्या करना चाहिए, यह जानने के लिए लागू होने वाले सेक्शन को देखें.

कम्यूनिटी की मदद से काम करने वाले अन्य प्लैटफ़ॉर्म पर भी असर पड़ता है. उदाहरण के लिए, Apple प्लैटफ़ॉर्म को टारगेट करने वाले React Native ऐप्लिकेशन और Firestore का इस्तेमाल करने वाले ऐप्लिकेशन.

Flutter ऐप्लिकेशन

Flutter ऐप्लिकेशन पर कई तरह से असर पड़ा. आपको कौनसी कार्रवाइयां करनी होंगी, यह समझने के लिए लागू होने वाले सेक्शन को देखें.

Android, Windows या Linux को टारगेट करने वाले Flutter ऐप्लिकेशन

ब्राउज़र और ऑपरेटिंग सिस्टम, इंटरमीडिएट सर्टिफ़िकेट की ब्लॉकलिस्ट को आपातकालीन स्थिति में लागू करते हैं. हालांकि, Android, Windows, और Linux पर dart:io, टीएलएस सर्टिफ़िकेट चेन की पुष्टि करने के लिए, अपने कंपाइल किए गए BoringSSL इंजन का इस्तेमाल करता है. साथ ही, यह ओएस के इंटरमीडिएट सर्टिफ़िकेट की ब्लॉकलिस्ट को नहीं पढ़ता. इस सुरक्षा सलाह के बारे में ज़्यादा जानें.

अगर आपके पास Android, Windows या Linux को टारगेट करने वाले Flutter या Dart ऐप्लिकेशन हैं, तो ये कार्रवाइयां करें:

  1. Dart और Flutter के इन वर्शन पर अपग्रेड करें:

    • Dart 3.13.7 या इसके बाद का वर्शन
    • Flutter 3.47.8 या इसके बाद का वर्शन (Dart 3.13.7 या इसके बाद के वर्शन के साथ)

  2. अपने ऐप्लिकेशन को फिर से बनाएं.

  3. अपने ऐप्लिकेशन या बाइनरी को फिर से डिप्लॉय करें. अपने Android, Windows, और Linux ऐप्लिकेशन या बाइनरी को फिर से डिप्लॉय करें, ताकि उनमें सुरक्षा से जुड़े अपडेट शामिल हो सकें.

Apple या Windows प्लैटफ़ॉर्म को टारगेट करने वाले Flutter ऐप्लिकेशन और Cloud Firestore का इस्तेमाल करने वाले ऐप्लिकेशन

अगर आपके पास Apple प्लैटफ़ॉर्म (उदाहरण के लिए, iOS) को टारगेट करने वाला Flutter ऐप्लिकेशन है और आपका ऐप्लिकेशन Cloud Firestore का इस्तेमाल करता है, तो ये कार्रवाइयां करें:

  1. अपने ऐप्लिकेशन के लिए सही प्लगिन वर्शन तय करें. अपने मौजूदा प्लगिन वर्शन के आधार पर, ऐसा प्लगिन वर्शन चुनें जो आपके ऐप्लिकेशन के लिए सही हो.

    FlutterFire प्लग इन (flutterfire) — iOS, macOS या Windows

    प्लगिन के ऐसे वर्शन जिन पर असर पड़ा है सुरक्षा से जुड़ी समस्या को ठीक करने वाले प्लग इन के वर्शन
    cloud_firestore 7.0.0 और इससे पहले के वर्शन
    (6.10.1 और 6.10.2 को छोड़कर)
    • पहला विकल्प: cloud_firestore 7.1.0 (FlutterFire BoM 5.1.0 या इसके बाद का वर्शन)
    • दूसरा विकल्प:
      • iOS और macOS: cloud_firestore 6.10.1 (FlutterFire BoM 4.20.1)
      • Windows: cloud_firestore 6.10.2 (FlutterFire BoM 4.20.2)

  2. अपना ऐप्लिकेशन अपडेट करें. cloud_firestore प्लग इन को अपने पसंदीदा वर्शन पर अपडेट करने के लिए, flutter pub upgrade चलाएं.

  3. अपना ऐप्लिकेशन फिर से बनाएं.

  4. अपने ऐप्लिकेशन को फिर से पब्लिश करें. अपने ऐप्लिकेशन को फिर से पब्लिश करें, जिसमें एसडीके का अपडेट किया गया वर्शन मौजूद हो. उदाहरण के लिए, Apple ऐप स्टोर या अपने डेस्कटॉप डिस्ट्रिब्यूशन चैनलों पर.

ऐप्लिकेशन को फिर से पब्लिश करने के बाद, आपको असली उपयोगकर्ताओं को अपने ऐप्लिकेशन के नए वर्शन पर अपडेट करने के लिए बढ़ावा देना होगा. ऐसा इसलिए, क्योंकि टीएलएस रूट सर्टिफ़िकेट बंडल को ऐप्लिकेशन बाइनरी में कंपाइल किया जाता है. इसलिए, ऑपरेटिंग सिस्टम के अपडेट या सर्वर साइड में किए गए बदलावों से, पहले से इंस्टॉल किए गए ऐप्लिकेशन बिल्ड को ठीक नहीं किया जा सकता.


Cloud Firestore का इस्तेमाल करने वाले Apple प्लैटफ़ॉर्म के ऐप्लिकेशन (नेटिव)

अगर आपके पास Apple प्लैटफ़ॉर्म के लिए नेटिव ऐप्लिकेशन (उदाहरण के लिए, iOS) है और आपका ऐप्लिकेशन Cloud Firestore का इस्तेमाल करता है, तो ये कार्रवाइयां करें:

  1. अपने ऐप्लिकेशन के लिए सही एसडीके वर्शन तय करें. अपने मौजूदा एसडीके वर्शन के आधार पर, ऐसा एसडीके वर्शन चुनें जो आपके ऐप्लिकेशन के लिए सही हो.

    Apple प्लैटफ़ॉर्म (खास तौर पर, FirebaseFirestore) के लिए Firebase SDK

    SDK टूल के वे वर्शन जिन पर असर पड़ा है एसडीके टूल के ऐसे वर्शन जिनमें सुरक्षा से जुड़ी समस्या को ठीक किया गया है
    13.1.0 और इससे पहले के वर्शन
    (12.19.3 को छोड़कर)
    • पहला विकल्प: 13.1.1 या उसके बाद
    • दूसरा विकल्प: 12.19.3

  2. अपना ऐप्लिकेशन अपडेट करें. ऐप्लिकेशन उपलब्ध कराने के लिए इस्तेमाल किए जाने वाले चैनल के हिसाब से, इन निर्देशों का पालन करें:

    • एसपीएम: Xcode या Package.swift में, firebase-ios-sdk पैकेज डिपेंडेंसी वर्शन को अपडेट करें.

    • Zip डिस्ट्रिब्यूशन: GitHub रिलीज़ से, अपनी पसंद के वर्शन के लिए Firebase.zip डाउनलोड करें. इसके बाद, अपने प्रोजेक्ट में मौजूद .xcframework बंडल को बदलें.

    • Carthage: अपनी Cartfile को अपडेट करें, ताकि अपनी पसंद के वर्शन को टारगेट किया जा सके. साथ ही, Carthage की मदद से डिपेंडेंसी अपडेट करें.

  3. अपने ऐप्लिकेशन को फिर से पब्लिश करें. अपने ऐप्लिकेशन को फिर से पब्लिश करें, जिसमें एसडीके का अपडेट किया गया वर्शन मौजूद हो. उदाहरण के लिए, Apple ऐप स्टोर या डेस्कटॉप डिस्ट्रिब्यूशन चैनलों पर.

ऐप्लिकेशन को फिर से पब्लिश करने के बाद, आपको असली उपयोगकर्ताओं को ऐप्लिकेशन के नए वर्शन पर अपडेट करने के लिए बढ़ावा देना होगा. ऐसा इसलिए, क्योंकि टीएलएस रूट सर्टिफ़िकेट बंडल को ऐप्लिकेशन बाइनरी में कंपाइल किया जाता है. इसलिए, ऑपरेटिंग सिस्टम के अपडेट या सर्वर-साइड में किए गए बदलावों से, पहले से इंस्टॉल किए गए ऐप्लिकेशन बिल्ड को ठीक नहीं किया जा सकता.


Apple या डेस्कटॉप प्लैटफ़ॉर्म को टारगेट करने वाले Unity ऐप्लिकेशन और Cloud Firestore का इस्तेमाल करने वाले ऐप्लिकेशन

अगर आपके पास Apple प्लैटफ़ॉर्म (जैसे, iOS) को टारगेट करने वाला Unity ऐप्लिकेशन है और आपका ऐप्लिकेशन Cloud Firestore का इस्तेमाल करता है, तो ये कार्रवाइयां करें:

  1. अपने ऐप्लिकेशन के लिए, एसडीके का सही नया वर्शन तय करें. अपने मौजूदा एसडीके वर्शन के आधार पर, एसडीके का ऐसा वर्शन चुनें जो आपके ऐप्लिकेशन के लिए सही हो.

    Unity (firebase-unity-sdk) के लिए Firebase SDK टूल — iOS या डेस्कटॉप (Linux, macOS, Windows)

    SDK टूल के वे वर्शन जिन पर असर पड़ा है एसडीके टूल के ऐसे वर्शन जिनमें सुरक्षा से जुड़ी समस्या को ठीक किया गया है
    14.0.0 और इससे पहले के वर्शन
    (13.17.1 को छोड़कर)
    • पहला विकल्प: 14.1.0 या उसके बाद
    • दूसरा विकल्प: 13.17.1

  2. अपना ऐप्लिकेशन अपडेट करें. GitHub के रिलीज़ पेज से, अपनी पसंद के वर्शन के लिए Firebase Unity SDK डाउनलोड करें.

  3. अपने ऐप्लिकेशन को लिंक करें और फिर से बनाएं. अपने iOS और डेस्कटॉप ऐप्लिकेशन को लिंक करें और फिर से बनाएं.

  4. अपने ऐप्लिकेशन को फिर से पब्लिश करें. अपने ऐप्लिकेशन को फिर से पब्लिश करें, जिसमें एसडीके का अपडेट किया गया वर्शन हो. उदाहरण के लिए, Apple ऐप स्टोर या डेस्कटॉप डिस्ट्रिब्यूशन चैनलों पर.

ऐप्लिकेशन को फिर से पब्लिश करने के बाद, आपको असली उपयोगकर्ताओं को अपने ऐप्लिकेशन के नए वर्शन पर अपडेट करने के लिए बढ़ावा देना होगा. ऐसा इसलिए, क्योंकि टीएलएस रूट सर्टिफ़िकेट बंडल को ऐप्लिकेशन बाइनरी में कंपाइल किया जाता है. इसलिए, ऑपरेटिंग सिस्टम के अपडेट या सर्वर साइड में किए गए बदलावों से, पहले से इंस्टॉल किए गए ऐप्लिकेशन बिल्ड को ठीक नहीं किया जा सकता.


Apple या डेस्कटॉप प्लैटफ़ॉर्म को टारगेट करने वाले C++ ऐप्लिकेशन और Cloud Firestore का इस्तेमाल करने वाले ऐप्लिकेशन

अगर आपके पास Apple प्लैटफ़ॉर्म (जैसे, iOS) को टारगेट करने वाला C++ ऐप्लिकेशन है और आपका ऐप्लिकेशन Cloud Firestore का इस्तेमाल करता है, तो ये कार्रवाइयां करें:

  1. अपने ऐप्लिकेशन के लिए, एसडीके का सही नया वर्शन तय करें. एसडीके के मौजूदा वर्शन के आधार पर, एसडीके का ऐसा वर्शन चुनें जो आपके ऐप्लिकेशन के लिए सही हो.

    C++ (firebase_cpp_sdk) के लिए Firebase SDK टूल — iOS या डेस्कटॉप (Linux, macOS, Windows)

    SDK टूल के वे वर्शन जिन पर असर पड़ा है एसडीके टूल के ऐसे वर्शन जिनमें सुरक्षा से जुड़ी समस्या को ठीक किया गया है
    14.0.0 और इससे पहले के वर्शन
    (13.13.1 को छोड़कर)
    • पहला विकल्प: 14.1.0 या उसके बाद
    • दूसरा विकल्प: 13.13.1

  2. अपना ऐप्लिकेशन अपडेट करें. GitHub के रिलीज़ पेज से, अपनी पसंद के वर्शन के लिए Firebase C++ SDK डाउनलोड करें.

  3. अपने ऐप्लिकेशन को लिंक करें और फिर से बनाएं. अपने iOS और डेस्कटॉप ऐप्लिकेशन को लिंक करें और फिर से बनाएं.

  4. अपने ऐप्लिकेशन को फिर से पब्लिश करें. अपने ऐप्लिकेशन को फिर से पब्लिश करें, जिसमें एसडीके का अपडेट किया गया वर्शन मौजूद हो. उदाहरण के लिए, Apple ऐप स्टोर या डेस्कटॉप डिस्ट्रिब्यूशन चैनलों पर.

ऐप्लिकेशन को फिर से पब्लिश करने के बाद, आपको असली उपयोगकर्ताओं को अपने ऐप्लिकेशन के नए वर्शन पर अपडेट करने के लिए बढ़ावा देना होगा. ऐसा इसलिए, क्योंकि टीएलएस रूट सर्टिफ़िकेट बंडल को ऐप्लिकेशन बाइनरी में कंपाइल किया जाता है. इसलिए, ऑपरेटिंग सिस्टम के अपडेट या सर्वर साइड में किए गए बदलावों से, पहले से इंस्टॉल किए गए ऐप्लिकेशन बिल्ड को ठीक नहीं किया जा सकता.


Firebase App Distribution Gradle प्लगिन का इस्तेमाल करने वाले Android ऐप्लिकेशन (नेटिव)

अगर आपके पास कोई नेटिव Android ऐप्लिकेशन है, जो Firebase App Distribution Gradle प्लग इन का इस्तेमाल करता है, तो ये कार्रवाइयां करें:

  1. अपने ऐप्लिकेशन के लिए, प्लगिन का सही नया वर्शन तय करें. प्लगिन के वर्शन 5.3.1 या इसके बाद के वर्शन का इस्तेमाल किया जा सकता है.

  2. अपनी Gradle फ़ाइल अपडेट करें. अपनी रूट-लेवल (प्रोजेक्ट-लेवल) Gradle फ़ाइल (<project>/build.gradle.kts या <project>/build.gradle) में, App Distribution Gradle प्लगिन को 5.3.1 या इसके बाद के वर्शन पर अपडेट करें:

    Kotlin 

    plugins {
    // ...
    // Update the version in the dependency for the App Distribution Gradle plugin.
    // Make sure the version is 5.3.1 or higher.
    id("com.google.firebase.appdistribution") version "5.3.1" apply false
}

    Groovy 

    plugins {
    // ...
    // Update the version in the dependency for the App Distribution Gradle plugin.
    // Make sure the version is 5.3.1 or higher.
    id 'com.google.firebase.appdistribution' version '5.3.1' apply false
}

    buildscript (लेगसी) 

    buildscript {
    dependencies {
        // ...
        // Update the version in the dependency for the App Distribution Gradle plugin.
        // Make sure the version is 5.3.1 or higher.
        classpath 'com.google.firebase:firebase-appdistribution-gradle:5.3.1'
    }
}

  3. अपने सीआई/सीडी वर्कफ़्लो को साफ़ करें और उनकी पुष्टि करें. पक्का करें कि ./gradlew appDistributionUpload<Variant> जैसे टास्क को पूरा करते समय, आपकी ऑटोमेटेड बिल्ड और डिप्लॉयमेंट पाइपलाइन (जैसे, GitHub Actions, GitLab CI या Jenkins), प्लग इन के अपडेट किए गए वर्शन को पुल करें.


मामले की पूरी जानकारी

Google को 19 अक्टूबर, 2026 को पता चला कि तीसरे पक्ष की सर्टिफ़िकेट देने वाली संस्था (eMudhra) ने इंटरमीडिएट सर्टिफ़िकेट अथॉरिटी (सीए) के कई सर्टिफ़िकेट जारी किए थे. इन सर्टिफ़िकेट के निजी पासकोड हैक हो गए थे. इसके बाद, इन्हें रद्द कर दिया गया था. ज़्यादा जानकारी के लिए, Google Security ब्लॉग पोस्ट देखें.

ऑपरेटिंग सिस्टम और वेब ब्राउज़र ने सिस्टम के ट्रस्ट स्टोर में मौजूद इन इंटरमीडिएट सर्टिफ़िकेट पर भरोसा न करने के लिए अपडेट जारी किए हैं. हालांकि, जिन प्रॉडक्ट पर असर पड़ा है वे बाइनरी में कंपाइल किए गए एम्बेड किए गए रूट सर्टिफ़िकेट बंडल का इस्तेमाल करके, ट्रांसपोर्ट लेयर सिक्योरिटी (टीएलएस) कनेक्शन की पुष्टि करते हैं.

हमलावर, हैक की गई सर्टिफ़िकेट देने वाली संस्था की कुंजियों का इस्तेमाल करके, असली जैसे दिखने वाले एचटीटीपीएस सर्टिफ़िकेट बना सकते हैं. इससे, जिन ऐप्लिकेशन पर असर पड़ा है वे रद्द किए गए सर्टिफ़िकेट का पता नहीं लगा पाएंगे और नकली क्रेडेंशियल पर भरोसा करना जारी रखेंगे. इस वजह से, नेटवर्क पर मौजूद हमलावर, मैन-इन-द-मिडल अटैक करके, असली बैकएंड सर्वर के नाम पर धोखाधड़ी कर सकते हैं. इनमें Firestore और एचटीटीपीएस एंडपॉइंट शामिल हैं. इन एंडपॉइंट से, वे Flutter/Dart ऐप्लिकेशन या App Distribution Gradle प्लग इन संपर्क करते हैं जिन पर असर पड़ा है. इससे हमलावर, उपयोगकर्ता के संवेदनशील डेटा को चुपके से इंटरसेप्ट कर सकते हैं, चुरा सकते हैं या उसमें छेड़छाड़ कर सकते हैं.

क्लाइंट कनेक्शन को इस असुरक्षित सर्टिफ़िकेट अथॉरिटी से बचाने के लिए, हमने इस समस्या को कम किया है. इसके लिए, हमने उन रूट सर्टिफ़िकेट को हटा दिया है जो असुरक्षित eMudhra इंटरमीडिएट से जुड़े हैं:

  • Apple, Flutter, Unity, और C++ के लिए Cloud Firestore SDK टूल

    Cloud Firestore के बैकएंड पर कोई असर नहीं पड़ा. साथ ही, Cloud Firestore प्रॉडक्ट के किसी अन्य हिस्से पर भी कोई असर नहीं पड़ा.

  • Flutter SDK और Cloud Firestore के लिए FlutterFire प्लगिन

  • Firebase App Distribution Gradle प्लगिन

    App Distribution के बैकएंड पर कोई असर नहीं पड़ा. साथ ही, App Distribution प्रॉडक्ट के किसी अन्य हिस्से पर भी कोई असर नहीं पड़ा.