🛡 MALWARE 🛡

GoDaddy revoca 404,607 certificados SSL tras errores de política

⏰24 de octubre de 2026🛡CyberObservatorio

Idioma

◢ MALWARE ◣

GoDaddy revoca 404,607 certificados SSL tras errores de política

⟫ 23/10/2026 ⟫ Deeba Ahmed

Fuente: HackRead

El 21 de octubre de 2026, GoDaddy, uno de los principales emisores de certificados de seguridad en línea, revocó un total de 404,607 certificados SSL (Secure Sockets Layer) y TLS (Transport Layer Security) tras descubrir errores significativos en el proceso de emisión. Los certificados afectados fueron emitidos bajo las marcas GoDaddy y Starfield, lo que genera un impacto considerable en múltiples sitios web y servicios que dependen de estos certificados para garantizar la seguridad de las comunicaciones en línea.

El problema salió a la luz cuando un tercero detectó que los certificados no cumplían con la Política de Certificación y la Declaración de Prácticas de Certificación (CP/CPS) publicadas por Starfield. Las discrepancias identificadas estaban relacionadas con los identificadores de objeto de política de certificados (OIDs) y los calificadores de URI de la CPS. Estos elementos son críticos para determinar las políticas asociadas a un certificado y apuntan a las prácticas documentadas de la autoridad certificadora, asegurando así la confianza en la infraestructura de clave pública.

Como respuesta inmediata, GoDaddy suspendió la emisión de nuevos certificados mientras llevaba a cabo una investigación interna, revisando y corrigiendo su documentación publicada. Al mismo tiempo, se identificaron discrepancias similares en la jerarquía más antigua de Starfield G2, que ya no emitía nuevos certificados, según el informe de incidentes de Mozilla.

La mayoría de los certificados afectados eran de validación de dominio (DV), siendo 208,896 de la categoría Starfield R1 DV y 187,159 de Starfield G2 DV. Además, 8,552 certificados de validación organizativa (OV) y de validación extendida (EV) también se vieron afectados dentro de las jerarquías de certificados mencionadas.

De acuerdo con los requisitos básicos de TLS establecidos por el CA/Browser Forum, los certificados afectados debían ser revocados en un plazo de 24 horas y obligatoriamente en un máximo de cinco días, salvo excepciones. Sin embargo, GoDaddy comenzó a contactar a los clientes afectados el 14 de octubre pero no cumplió con su plazo del 18 de octubre a las 23:45 UTC, momento en el que solo se habían revocado 170,566 certificados. La cifra total alcanzó los 227,422 a las 05:29 UTC del 19 de octubre, según el informe de revocación tardía de Mozilla. Finalmente, la compañía confirmó que la revocación de todos los certificados afectados se realizó el 21 de octubre.

En su aviso a los clientes, GoDaddy advirtió que los sitios web afectados podrían mostrar advertencias de seguridad o volverse inaccesibles hasta que se instalara un certificado de reemplazo. La plataforma de gestión de certificados de GoDaddy identifica aquellos que requieren acción, incluyendo los casos en que un nuevo certificado está disponible pero el sitio web sigue utilizando el certificado revocado. Además, GoDaddy ofrece una herramienta de verificación de estado SSL para ayudar a los usuarios a comprobar el estado actual de sus certificados.

El problema se extendió incluso a los sitios web del gobierno de Gibraltar. El 22 de octubre, el gobierno confirmó que algunos de sus sitios estaban utilizando certificados afectados, informando que su equipo de TI estaba trabajando para reemplazarlos. A los visitantes se les advirtió que no ignoraran las advertencias de seguridad del navegador ni ingresaran información personal o de pago en las páginas afectadas.

Un portavoz del Gobierno de Gibraltar señaló: “Un error por parte de GoDaddy, una de las empresas que emite certificados de seguridad para sitios web a nivel mundial, ha afectado a algunos sitios del Gobierno de Su Majestad de Gibraltar. Los visitantes de estos sitios pueden ver una advertencia de seguridad en su navegador o pueden no poder abrir el sitio, hasta que se instale un certificado de reemplazo”.

Es esencial que los propietarios de sitios web revisen sus cuentas de GoDaddy para identificar certificados que requieran reemplazo. Además, deben comprobar que el nuevo certificado se haya instalado correctamente en el servidor, ya que simplemente descargarlo no garantiza su instalación automática. Si el servidor continúa presentando el certificado revocado, los visitantes pueden seguir encontrando advertencias de seguridad o errores de conexión.

Este incidente se produce poco después de otro caso de seguridad relacionado con certificados, reportado por Hackread.com en mayo, cuando atacantes obtuvieron certificados de firma de código de DigiCert y los utilizaron para firmar malware. A diferencia de ese caso, las divulgaciones relacionadas con el incidente de GoDaddy se centran en discrepancias en la política de certificados y no sugieren un robo de clave privada o un compromiso de la encriptación TLS.

Chris Hickman, Director de Seguridad de Keyfactor, compartió sus observaciones sobre el incidente de GoDaddy y la importancia de una gestión adecuada de certificados. “La razón por la que GoDaddy tuvo que revocar más de 400,000 certificados es que existía un desajuste entre la forma en que se emitieron los certificados y la documentación que los respalda, su Política de Certificación y Declaración de Prácticas de Certificación, o CP/CPS. Esto les obliga a revocar los certificados y reemitirlos de acuerdo con el CA Browser Forum, que supervisa las directrices que rigen los certificados públicos como los emitidos por GoDaddy. Por lo tanto, este es en realidad un error de documentación que ha llevado a esta situación”.

Hickman también destacó la importancia de la automatización en la gestión de certificados. “De todos los certificados que necesitaban ser reemplazados, aquellos que estaban automatizados facilitaron la tarea. Sin embargo, para aquellos que no lo estaban, los propietarios de esos sistemas pueden no darse cuenta de que sus certificados han sido revocados y podrían estar sufriendo una interrupción”.

“Esto realmente aclara la necesidad de ser ágiles en la gestión de certificados y en la automatización de los mismos, así como de tener la visibilidad necesaria para entender cuándo un evento como este impacta a los certificados que te han sido emitidos. La recomendación es: si tienes certificados en tu entorno emitidos por una de las autoridades certificadoras afectadas, debes confirmar con GoDaddy si tus certificados están afectados y, si han sido revocados, obtener el nuevo certificado para los sistemas afectados”.

◢ MALWARE ◣

GoDaddy Revokes 404,607 SSL Certificates After Policy Errors

⟫ 23/10/2026 ⟫ Deeba Ahmed

Source: HackRead

GoDaddy revoked 404,607SSL(Secure Sockets Layer) andTLS(Transport Layer Security) certificates on October 21, 2026, after finding errors in how they had been issued. The affected certificates were issued under GoDaddy and Starfield. The issue came to light after a third party found that the certificates did not match Starfield’s published Certificate Policy and Certification Practice Statement (CP/CPS). The differences involved certificate policy object identifiers (OIDs) and CPS URI qualifiers, which identify the policies associated with a certificate and point to the authority’s documented practices. GoDaddysuspended certificate issuance while investigating, corrected its published documentation and resumed issuance. Its review also identified similar discrepancies in the older Starfield G2 hierarchy, which no longer issued new certificates, according to Mozilla’s incident report. Domain-validation (DV) certificates accounted for most of the affected population. Starfield R1 DV accounted for 208,896 certificates, while Starfield G2 DV accounted for 187,159. Another 8,552 organization-validation (OV) and extended-validation (EV) certificates were affected across the listed certificate hierarchies. The CA/Browser Forum’s TLS Baseline Requirements state that affected certificates should be revoked within 24 hours and must be revoked within five days, subject to exceptions. GoDaddy began contacting affected customers on October 14 but missed its October 18 deadline at 23:45 UTC. By then, only 170,566 certificates had been revoked. The total reached 227,422 by 05:29 UTC on October 19, according to Mozilla’s delayed-revocation report. GoDaddy’s customer guidance subsequently confirmed that the affected certificates were revoked on October 21. In itscustomer guidance notice,the company warns that websites may display security warnings or become inaccessible until a replacement certificate is installed. Its dashboard identifies certificates requiring action, including cases where a new certificate is available but the website is still using the revoked one. GoDaddy also provides an SSL Status Check tool for verifying a certificate’s current status. The problem has reached Gibraltar’s government websites. On October 22, the governmentconfirmedthat some sites were using affected certificates and its IT team was working to replace them. Visitors were told not to ignore browser security warnings or enter personal or payment details on affected pages. “An error by GoDaddy, one of the companies that issues website security certificates worldwide, has affected some HM Government of Gibraltar websites.” “Visitors to these sites may see a security warning in their browser, or may be unable to open the site, until a replacement certificate is in place,” official notification from the Government of Gibraltar noted. Website owners should check their GoDaddy accounts for certificates flagged for replacement. They also need to check the live website: downloading a replacement does not install it automatically. If the server continues presenting the revoked certificate, visitors may still encounter security warnings or connection errors. The incident follows another certificate-related security case covered by Hackread.com in May, when attackers obtainedDigiCert code-signing certificatesand used them to sign malware. In the GoDaddy case, the published disclosures concern certificate-policy discrepancies and do not establish private-key theft or a compromise of TLS encryption. Chris Hickman, Chief Security Officer at Keyfactor, shared his comments with Hackread.com on the GoDaddy incident and the importance of certificate management. “The reason GoDaddy had to revoke more than 400,000 certificates is that there was a mismatch between the way the certificates were issued and the documentation that backs that up — their Certificate Policy and Certification Practice Statement, or CP/CPS. That requires them to revoke the certificates and reissue them as per the CA Browser Forum who oversees the guidelines that govern publicly rooted certificates like those issued by GoDaddy. So, this is actually a documentation error that led to this. “The thing I really want to point to is that, of all the certificates that needed to be replaced, those that were automated simplified the job. However, for those that were not, the owners of those systems may not even realize that their certificates have been revoked and could be suffering an outage. “This really does clarify the need to be agile with certificate management and the automation of certificates, and to have the visibility to understand when an event like this impacts certificates that have been issued to you. “The guidance is: if you have certificates in your environment issued by one of the impacted certificate authorities, you need to confirm with GoDaddy whether your certificates are affected and, if they have been revoked, obtain the new certificate for the affected systems.”

𝐗 Twitter f Facebook ☎ WhatsApp ✈ Telegram

← VOLVER A CIBERSEGURIDAD