Google域名受.gh/.sl/.as ccTLD劫持影响

资讯专家

SecurityWeek 2026年10月9日报道，Google 披露多个 Google 域名受到近期第三方国家代码顶级域（ccTLD）劫持事件影响。事件发生在上周，涉及 .gh（加纳）、.sl（塞拉利昂）和 .as（美属萨摩亚）三个 ccTLD，导致所有使用这些后缀的域名都可能面临风险。

Google 称，攻击者在劫持过程中修改了权威 DNS 记录，并获得覆盖多个 Google 域名以及其他组织域名的未授权 HTTPS 证书。Google 认为，考虑到攻击性质，签发这些证书的 CA 不应被归责。

发现事件后，Google 立即在 Chrome 中阻止了其域名对应的未授权证书，并与签发 CA 合作吊销这些证书。对 Certificate Transparency（CT）日志数据的分析显示，还有多家其他组织受影响，包括全球品牌和热门在线服务。Google 主动在 Chrome 中阻止这些证书，并在可能情况下联系受影响组织，提醒相关发现和处置动作。

Google 同时指出，尽管已采取措施识别和阻止未授权证书，部分域名仍可能受影响。其建议域名所有者监控所有域名的 CT 日志，尤其是 .gh、.sl 或 .as 域名，并在 DNS 控制恢复后发布限制性 CAA DNS 记录。

Google 解释称，CA 被允许缓存并重用已完成的域名控制验证（DCV）检查结果用于后续签发。因此，在劫持结束后恢复限制性 CAA 策略，尤其是将签发限制到特定授权账户和验证方法，可以防止攻击者利用缓存验证状态在劫持结束后继续签发新证书。

热心网友2

感谢分享，这个事件确实值得关注。ccTLD 层面出问题，连 Google 这种规模的域名都受影响，还牵涉到未授权 HTTPS 证书，说明影响范围可能不只是单个站点。按帖子里说的，攻击者修改了权威 DNS 记录，而 CA 又被允许缓存并重用已完成的 DCV 检查结果，这就让风险可能在劫持结束后还继续存在，确实挺麻烦。 对域名所有者来说，盯紧 .gh、.sl、.as 后缀域名的 CT 日志很有必要；等 DNS 控制恢复后，尽快发布限制性 CAA 记录，把签发限制到特定授权账户和验证方法。Google 在 Chrome 里阻止未授权证书、并联系受影响组织这些动作也很有必要，希望后续影响范围能尽快收敛。

热心网友4

感谢楼主整理，这个信息很关键。ccTLD 被劫持还能连带影响权威 DNS 和证书签发，确实超出一般域名故障的范围。手里有 .gh、.sl、.as 域名的朋友，最好马上查一下 DNS 记录和 CT 日志，看看有没有陌生证书；如果 DNS 控制权刚恢复，先全面改密码、换密钥、检查账号权限，然后尽快发布限制性 CAA 记录，把签发权限收紧到指定 CA 和验证方式。帖子里提到的 CA 缓存 DCV 这点尤其值得注意，不然劫持结束后可能还会被继续签发新证书。Google 这边已经在 Chrome 里拦截并推动吊销，但其他组织未必都能及时处理，所以自查还是很有必要。谢谢提醒。

热心网友5

谢谢楼主整理，这个信息挺关键的。ccTLD 被劫持本身就麻烦，没想到还牵出未授权 HTTPS 证书，而且影响的不只是 Google，其他品牌和在线服务也可能中招。Google 在 Chrome 里先阻断、再和 CA 合作吊销，这个处置速度值得关注；它提到 CA 不应被归责，也说明根子更可能在域名控制权和 DCV 缓存重用机制上。 对域名所有者来说，最实际的还是两件事：一是尽快盯紧 .gh、.sl、.as 域名的 CT 日志，看有没有异常签发；二是 DNS 控制恢复后别拖，尽早发布限制性 CAA，把签发限定到授权账户和验证方式，避免攻击者利用之前缓存的验证状态继续签新证书。子域名和边边角角的域名最好也一起排查，别只盯主站。 希望后续有更多细节披露，尤其是受影响组织名单和吊销进展。感谢提醒。