Краткий обзор

  • Были скомпрометированы закрытые ключи восьми промежуточных сертификатов eMudhra. Сетевой злоумышленник может использовать их для выдачи себя за веб-сайты и сервисы, к которым подключаются инструменты JetBrains.
  • JetBrains IDE, Toolbox App, Gateway и ReSharper затронуты этой проблемой, так как они используют хранилище доверенных сертификатов встроенной среды выполнения JetBrains Runtime (JBR). Для IDE также затронут встроенный браузер (JCEF). Обновления операционной системы не защищают от этой проблемы.
  • Toolbox App и IDE JetBrains используют фоновую службу  jetbrainsd . У нее есть собственный встроенный список доверенных сертификатов, и она исправляется отдельно, в версии  jetbrainsd  0.9.9728.
  • На момент публикации нам не известно о случаях эксплуатации этой уязвимости против пользователей JetBrains.

Доступные исправленные версии

Проблема исправлена в следующих версиях:

  •  IntelliJ IDEA: 2026.3 RC, 2026.2.4, 2026.1.5.1, 2025.3.6.2, 2025.2.6.4.
  •  PyCharm: 2026.3 RC, 2026.2.4, 2026.1.5.1, 2025.3.6.2, 2025.2.6.3.
  •  PhpStorm: 2026.3 RC, 2026.2.4, 2026.1.5.1, 2025.3.6.2, 2025.2.6.3.
  •  RubyMine: 2026.3 RC, 2026.2.4, 2026.1.5.1, 2025.3.6.2, 2025.2.6.3.
  •  WebStorm: 2026.3 RC, 2026.2.4, 2026.1.5.1, 2025.3.6.2, 2025.2.6.3.
  •  Rider: 2026.3 EAP 9, 2026.2.4, 2026.1.5.3, 2025.3.5.3.
  •  CLion: 2026.3 RC, 2026.2.4.1, 2026.1.5.2, 2025.3.6.3, 2025.2.6.3.
  •  DataSpell: 2026.1.3.1, 2025.3.3.1, 2025.2.4.1.
  •  DataGrip: 2026.3 RC, 2026.2.6.1, 2026.1.4.1, 2025.3.6.1, 2025.2.6.1.
  •  GoLand: 2026.3 RC, 2026.2.4, 2026.1.5.1, 2025.3.5.2, 2025.2.6.3.
  •  RustRover: 2026.3 EAP 8, 2026.2.5, 2026.1.4.1, 2025.3.7.1, 2025.2.6.1.
  •  Gateway: 2026.3 RC, 2026.2.4, 2026.1.4, 2025.3.3, 2025.2.6.
  •  ReSharper: 2026.3 EAP9, 2026.2.4, 2026.1.5.3, 2025.3.5.3.
  •  Toolbox App: 3.9.1, 3.8.2.

Обновления 2025.2.6.* для всех IDE сейчас содержат только исправление для JBR. Для них будет выпущен отдельный хотфикс для проблемы с JCEF. До тех пор используйте обходное решение, чтобы отключить JCEF в вашей IDE (см. инструкции ниже).

 Версии IDE 2025.1 и более ранние, а также Toolbox App 3.7 и более ранние, не получат это исправление. Вам необходимо обновиться до исправленной версии.

Подробности

В октябре 2026 года были скомпрометированы закрытые ключи восьми промежуточных сертификатов, выпущенных центром сертификации eMudhra. Злоумышленник, способный перехватить ваш сетевой трафик, может использовать их, чтобы выдать себя за веб-сайты и сервисы.

Полные подробности инцидента.

IDE JetBrains проверяют сертификаты по хранилищу доверенных сертификатов своей встроенной среды выполнения, JetBrains Runtime (JBR), поэтому обновление операционной системы не защищает от этой проблемы. Мы интегрировали исправления Oracle для CVE-2026-91403 и CVE-2026-114820 в JBR «как есть». Обновленная среда выполнения блокирует скомпрометированные сертификаты и больше не доверяет следующим корневым сертификатам:

  • emSign ECC Root CA – G3
  • emSign Root CA – G1
  • emSign Root CA – G2
  • AAA Certificate Services

В исправленных версиях 2025.3 и более поздних встроенный браузер теперь получает обновления сертификатов Chrome, которые блокируют скомпрометированные сертификаты (CVE-2026-118696). Он загружает их с серверов обновлений Google вскоре после запуска IDE. Если ваша сеть блокирует доступ к серверам обновлений Google, встроенный браузер остается незащищенным. В этом случае отключите его, как описано ниже.

Toolbox App и IDE JetBrains также устанавливают фоновую службу  jetbrainsd . Список доверенных сертификатов встроен в саму службу, поэтому обновление JBR не исправляет ее. Мы выпустили отдельное исправление в  jetbrainsd  0.9.9728, отслеживаемое как CVE-2026-118697. Для каждого пользователя запускается только одна копия  jetbrainsd , и более новая версия всегда заменяет старую. Обновление любого приложения, которое включает jetbrainsd 0.9.9728, исправляет проблему для всех приложений JetBrains.

Что нужно сделать: обновитесь сейчас

Исправление доступно в последних версиях  IDE JetBrains, от 2025.2 до 2026.3 RC. Предстоящий релиз 2026.3 также будет его включать. Достаточно обновиться до последнего багфикс-релиза вашей текущей версии. Версии 2025.1 и более ранние не получат исправление. Если вы используете одну из них, пожалуйста, обновитесь до одной из версий, указанных выше.

Если вы используете ReSharper или другие .NET-инструменты JetBrains, обновите их до последней версии.

 Важно для пользователей Toolbox App: версии 3.7 и более ранние не получат это исправление. Если у вас версия 3.7, обновитесь до версии 3.9.1 или 3.8.2.

Если вы используете  JetBrains Gateway, обновите его до одной из следующих версий: 2026.1.4, 2025.3.3, 2025.2.6.

Если вы используете  JetBrains Runtime напрямую, обновитесь до одной из исправленных сборок: jbr25.635.79, jbr25.508.41, jbr25.329.142, jbr21.1163.125, jbr21.1038.91.

В редких случаях IDE перестанет подключаться к серверу, чей сертификат связан с одним из удаленных корневых сертификатов. Владельцу сервера потребуется заменить сертификат.

 Если вы не можете обновиться прямо сейчас

Очистите сертификаты вручную

Среда выполнения Java, поставляемая с этими IDE и Toolbox App, по-прежнему доверяет двум корневым сертификатам, связанным с eMudhra. Если вы не можете обновить IDE, предоставьте ей очищенную копию списка сертификатов и отключите встроенный браузер, у которого есть собственный список, который нельзя изменить. Это займет около пяти минут и полностью обратимо.

  1.  Скопируйте список сертификатов из папки IDE в вашу домашнюю папку:
    macOS:  <IDE>.app/Contents/jbr/Contents/Home/lib/security/cacerts 
    Windows / Linux:  <IDE>/jbr/lib/security/cacerts 
     
  2.  Удалите два затронутых корневых сертификата, используя keytool в папке jbr/bin вашей IDE:
     keytool -delete -keystore <copy> -storepass changeit -alias "comodoaaaca [jdk]" 
     keytool -delete -keystore <copy> -storepass changeit -alias "emsigneccrootcag3 [jdk]" 
     
  3. Откройте Help | Edit Custom VM Options, добавьте эту строку, затем перезапустите IDE:
     -Djavax.net.ssl.trustStore=<full path to the copy> 
     Важно: укажите полный путь, без ~, без переменных и без кавычек. Неверный путь оставит вас незащищенным без каких-либо уведомлений.
     
  4. В Settings | Tools | Server Certificates убедитесь, что опция «Accept non-trusted certificates automatically» выключена.
     
  5.  Только для Linux: обновите пакет ca-certificates.

 Чего ожидать: Если IDE показывает диалоговое окно «untrusted server certificate» для сертификата eMudhra, нажмите Reject.

Отключите JCEF в вашей IDE

Чтобы обойти проблему с JCEF в  версиях 2025.2.6.4 и более ранних, или в любой версии, если ваша сеть блокирует серверы обновлений Google:

  1. Откройте Search Everywhere -> Actions
  2. Введите «Registry»
  3. Откройте Registry
  4. Найдите ключ ‘ ide.browser.jcef.enabled ’
  5. Выключите его
  6. Перезапустите IDE

 Примечание: Отключение встроенного браузера влияет на функции, которые его используют, например, предварительный просмотр Markdown и HTML, а также вывод Jupyter notebook. Некоторые плагины также могут перестать работать корректно. После обновления до исправленной версии включите  ide.browser.jcef.enabled  обратно и перезапустите IDE.

Обновите фоновую службу  jetbrainsd 

Toolbox App и IDE JetBrains используют фоновую службу  jetbrainsd . У нее есть собственный встроенный список доверенных сертификатов, поэтому обновление JBR не исправляет ее, и описанные выше обходные пути к ней не применимы.

Исправление содержится в  jetbrainsd  0.9.9728. Вы получаете его при установке или обновлении исправленной версии Toolbox App или IDE и ее запуске. Для каждого пользователя запускается только одна копия  jetbrainsd , и самая новая версия заменяет старые. Таким образом, обновление Toolbox App исправляет  jetbrainsd  для всех ваших IDE, даже если вы не можете обновить сами IDE.

 Если вы не можете обновить Toolbox App или IDE, обновите jetbrainsd вручную:

  1.  Скачайте архив для вашей платформы и проверьте его контрольную сумму SHA-256 с помощью shasum -a 256 (macOS), sha256sum (Linux) или Get-FileHash (Windows PowerShell):
  2.  Распакуйте архив и запустите jetbrainsd один раз без аргументов. Он заменит старую версию. Для распаковки используйте  tar -xzf . В Windows 10 и более поздних версиях  tar  встроена.
    • Linux:  ./jetbrainsd/bin/jetbrainsd 
    • macOS:  ./jetbrainsd.app/Contents/MacOS/jetbrainsd 
    • Windows:  .\jetbrainsd\bin\jetbrainsd.exe 
       
  3.  Проверьте установленную версию. Она должна быть 0.9.9728 или новее:
    • Linux:  "${XDG_DATA_HOME:-$HOME/.local/share}/JetBrains/Daemon/bundles/current/jetbrainsd/bin/jetbrainsd" --version 
    • macOS:  "$HOME/Library/Application Support/JetBrains/Daemon/bundles/current/jetbrainsd.app/Contents/MacOS/jetbrainsd" --version 
    • Windows (PowerShell):  & "$env:LOCALAPPDATA\JetBrains\Daemon\bundles\current\jetbrainsd\bin\jetbrainsd.exe" --version 

 Также проверьте

Ваши JDK проектов и любые инструменты, которые приносят свою собственную среду выполнения, такие как Node.js, Python или Go, используют свои собственные хранилища доверенных сертификатов. Обновите их, как рекомендуют их поставщики.

 Поддержка

Если у вас есть какие-либо вопросы по этой проблеме или возникли трудности с обновлением, пожалуйста, свяжитесь с нашей командой поддержки.