GoDaddy 撤銷 40 萬張網站證書未趕及 5 日限期

用 GoDaddy 證書的網站，有 40 多萬張證書要被撤銷，未換新證書的網站，訪客或會看到瀏覽器安全警告。 GoDaddy 的證書出了錯。它提交 Mozilla 的事故報告指，旗下 GoDaddy 及 Starfield 簽發的 404,607 張 TLS 證書，內容與它自己公開的證書政策文件不符，按業界規則須在 5 日內撤銷。證書本身沒有技術問題，也並非黑客入侵。 GoDaddy 未趕及香港時間 10 月 19 日早上的限期，當時只撤銷了 170,566 張，現正以電郵、短訊及電話聯絡客戶換證書。

Moby Dick2026年10月22日 23:14 HKT閱讀 2 分鐘

GoDaddy 要撤銷 404,607 張網站證書

據 GoDaddy 香港時間 10 月 16 日在 Mozilla 漏洞追蹤系統 Bugzilla 提交的初步事故報告，網站代管及域名商 GoDaddy 接獲第三方通報後，確認旗下 GoDaddy 及 Starfield 兩個證書體系簽發的 404,607 張 TLS 證書，與它公開的證書政策文件不符，須全數撤銷。TLS 證書即網站用來證明身分、為瀏覽器連線加密的數碼證書；撤銷後瀏覽器不再信任該證書，網站若未及時換上新證書，訪客可能看到安全警告。

報告指，問題出在證書內的「證書政策」資料，包括證書機構自訂的政策識別碼（OID）及指向政策文件的連結，與 GoDaddy 在證書政策及作業規範（CP/CPS）中記載的格式不一致。德國科技媒體 heise 指，證書本身沒有技術問題，錯誤其實在 CP/CPS 文件，但按規則，按舊版文件簽發的證書都要撤銷。證書監察網站 TLS Radar 亦指，事件並非黑客入侵，也沒有私密金鑰外洩。

九成多受影響證書屬 Starfield 的 DV 證書

GoDaddy 按簽發證書的中繼證書機構列出受影響數目，其中 Starfield 是 GoDaddy 旗下的證書機構，DV 證書即只驗證域名擁有權的基本證書：

證書體系	受影響證書
Starfield R1 DV	208,896
Starfield G2 DV	187,159
GoDaddy R1 OV	4,041
Starfield G2 OV	2,134
GoDaddy R1 EV	1,141
Starfield R1 OV	928
Starfield G2 EV	199
Starfield R1 EV	109
合共	404,607

GoDaddy 表示，確認通報後已暫停簽發證書，修正並重新發布 CP/CPS，再恢復簽發；其後自行檢查時再發現更多不符之處，包括已停止簽發的 Starfield G2 體系。

未能在 5 日限期內撤銷完畢

業界的《基線要求》（Baseline Requirements）規定，證書機構得悉證書不符合自身 CP/CPS 後，必須在 5 日內撤銷。GoDaddy 香港時間 10 月 17 日開立第二份事故報告，承認無法在限期（香港時間 10 月 19 日早上 7 時 45 分）前完成。

GoDaddy 撤銷進度圖 — 按 GoDaddy 10 月 19 日更新繪製：限期前撤銷 170,566 張，至當日下午 1 時 29 分（香港時間）再撤銷 56,856 張，仍有 177,185 張未撤銷

據 GoDaddy 其後的進度更新，限期前只撤銷了 170,566 張，至香港時間 10 月 19 日下午 1 時 29 分累計撤銷 227,422 張。GoDaddy 表示正以電郵、短訊及電話聯絡客戶，優先處理持有大量證書的客戶，以及政府、金融和醫療服務機構。heise 引述 GoDaddy 指，旗下歐洲代管商 Host Europe 及 DomainFactory 的客戶已獲發新證書，可行的已自動替換。據網絡安全媒體 Cybersecurity News 報道，GoDaddy 更新的客戶通知稱，有問題的證書已於 10 月 21 日撤銷，仍在使用舊證書的網站或會出現瀏覽器警告。

來源

GoDaddy: Delayed Certificate Revocation（Mozilla Bugzilla 2083191）（原始文件）
GoDaddy widerruft Hunderttausende Zertifikate aufgrund formaler Fehler（heise online）
GoDaddy Is Revoking 404,607 Certificates Because They Don't Match Its Own Rulebook（TLS Radar）

前調查員離職後仍用 Flock 系統追蹤妻子車牌

警員離職交還了警章，卻沒交出全美車牌攝影機網絡的帳戶，還用來搜尋妻子的車。佐治亞州調查員 Andrae Wright 2021 年離開警長辦公室後，Flock 車牌辨識系統的帳戶一直未被停用。佐治亞州調查局指，他今年 6 月至 7 月以非執法目的登入逾 60 次；《華盛頓郵報》看過的紀錄顯示，他多次搜尋印有妻子中間名的車牌位置。他 7 月被捕，被控跟蹤等四項罪名。《華郵》統計最少 11 宗未獲授權登入 Flock 的個案，Flock 今年 8 月才強制使用多重認證。

微軟：中國國家背景黑客派 AI 代理，借 ConnectWise 攻擊逾 2250 個租戶

公司的 Microsoft 365 被中國國家背景黑客的 AI 代理盯上，入口是一家備份服務商。微軟指黑客組織 Storm-0940 先攻破 ConnectWise 供 IT 服務商使用的雲端備份服務，再用開源 AI 滲透測試框架 ARTEX，以每分鐘 2,900 次的速度，嘗試登入逾 2,250 個機構的 Microsoft 365 環境。部分攻擊由鎖定目標至取得雲端特權存取，用時不足 3 小時，但微軟指成功登入不代表資料已被盜。ConnectWise 已暫停服務，現正分階段恢復。

檀香山警方擬設實時調查中心，連接無人機與車牌辨識器

在瓦胡島上街或駕車，日後可能同時被警方的無人機、車牌辨識器和實時鏡頭看見，全部接上同一個中心。據檀香山警察局 10 月中公布的 5 年策略計劃，新設的「實時調查中心」將整合各項監控科技，巡邏警員亦可取用更多車牌數據；須經人手核實的 AI 輔助撰寫報告流程，則預計 2028 年 6 月前推行。計劃對無人機私隱疑慮的回應，是建立一套「公眾溝通系統」。社區組織召集人 Liam Chinn 批評，不應先建立監控設施，之後才決定如何管控。警方接受公眾意見至 10 月 29 日。