Команды клиентов Ethereum Teku и Besu выпустили обновления, которые удаляют из Docker-образов доверие к четырём корневым сертификатам из списка OpenJDK. Teku 26.10.3 вышел 27 октября, Besu 26.10.2 — 26 октября. Поводом стали слабые ключи восьми промежуточных центров eMudhra: их можно было восстановить из открытых сертификатов и использовать для подделки HTTPS-сертификатов.

По разбору команды Teku, опасны только конфигурации, в которых клиент обращается к другому сервису по HTTPS. Обычный узел Teku в основной сети без таких адресов не затронут; одноранговые протоколы libp2p и discv5 тоже не используют центры сертификации. Для атаки нужно перехватывать трафик между узлом и удалённым сервисом. О подтверждённой эксплуатации разработчикам неизвестно.

Самый серьёзный сценарий связан с внешним сервисом подписи валидатора. Перехват соединения мог позволить подменить запросы для необратимого выхода валидатора, перенаправить вознаграждение через регистрацию строителя блока или получить конфликтующие подписи, если у самого сервиса отключена защита от слэшинга. Подмена удалённого beacon-узла могла заставить валидатор предложить блок с чужим получателем комиссии либо сорвать или исказить аттестации. Взаимная TLS-аутентификация, локальная сеть и закрепление доверенного сертификата заметно сокращают этот риск.

Новые версии исправляют именно Docker-образы. Пользователям архивов Teku и Besu в tar/zip нужно отдельно обновить или проверить установленную Java: исправление Java на хосте не меняет среду внутри контейнера. Java 26 уже не поддерживается, поэтому команда Teku рекомендует перейти на Java 25. Это не уязвимость консенсуса Ethereum и не взлом самой сети, а ошибка инфраструктуры доверия вокруг отдельных соединений узла.