Teku y Besu publican parches de emergencia por una vulnerabilidad de certificados
Los clientes de Ethereum Teku y Besu lanzaron actualizaciones de emergencia para corregir una vulnerabilidad ligada a certificados de eMudhra que, en ciertas configuraciones, podía permitir que un atacante intentara redirigir recompensas de validadores. Teku confirmó la publicación de la versión 26.10.3 para resolver el problema, mientras que Besu distribuyó la versión 26.10.2 con un ajuste similar.
De acuerdo con las descripciones publicadas junto a los parches, el problema estaba relacionado con claves comprometidas de la autoridad certificadora eMudhra y con la forma en que algunos entornos manejaban la confianza en esos certificados. La corrección se centró en eliminar esa confianza en las imágenes de Docker afectadas, donde podían ejecutarse nodos y servicios vinculados a validadores de Ethereum.
Qué indicaron los equipos de los clientes
Teku señaló en su comunicación pública que la actualización estaba dirigida específicamente a la CVE-2026-111943, asociada a los certificados comprometidos de eMudhra. El equipo recomendó a los operadores aplicar la versión corregida y revisar sus entornos de Java, ya que el comportamiento por defecto de esa plataforma también formaba parte del contexto técnico del fallo.
La información disponible apunta a que el riesgo no afectaba por igual a todas las configuraciones. En particular, las instalaciones principales de Teku con parámetros por defecto no habrían estado expuestas de la misma forma, mientras que ciertos despliegues con Docker y servicios externos sí requerían atención inmediata.
Un riesgo acotado a determinadas configuraciones
La vulnerabilidad se vinculó con escenarios en los que un servicio externo utilizado por validadores podía ser suplantado mediante certificados falsos. En ese caso, un atacante podría intentar interceptar comunicaciones y afectar el destino de las recompensas o de las firmas asociadas al flujo de validación.
Los desarrolladores no han reportado explotación confirmada del fallo en los materiales revisados. Aun así, la combinación de certificados comprometidos y ajustes de confianza en ciertos despliegues llevó a los mantenedores a tratar el asunto como una incidencia que exigía respuesta inmediata.
Besu también actualizó su software para retirar la confianza en los certificados afectados dentro de sus imágenes de despliegue. Con ello, los operadores que ejecutan nodos o infraestructura vinculada a Ethereum quedan ante la necesidad de comprobar qué versión usan y si su entorno depende de componentes expuestos a ese canal de riesgo.
