Let's Encrypt suspendió temporalmente la emisión de certificados el 8 de mayo de 2026 debido a un problema crítico relacionado con un certificado firmado cruzado entre sus infraestructuras de raíz Generación X y Generación Y. El incidente provocó el cierre total de los entornos de producción y prueba, aunque los servicios fueron restablecidos en pocas horas.

Let’s Encrypt suspendió temporalmente toda la emisión de certificados el 8 de mayo de 2026, después de que sus ingenieros identificaran un problema crítico relacionado con un certificado firmado cruzadamente que vinculaba la raíz de Generación X de la organización con su próxima infraestructura de raíz de Generación Y.

El incidente provocó un cierre completo de la emisión tanto en los entornos de producción como de prueba antes de que los servicios fueran restablecidos en cuestión de horas.

A las 18:37 UTC del 8 de mayo, los ingenieros de Let’s Encrypt detectaron un posible incidente y detuvieron inmediatamente toda la emisión de certificados como medida de precaución.

Los componentes afectados incluyeron los puntos de acceso de la API ACME de producción y prueba (acme-v02.api.letsencrypt.org y acme-staging-v02.api.letsencrypt.org), así como los entornos del portal de producción y prueba alojados en dos centros de datos de alta seguridad.

A las 21:03 UTC, aproximadamente dos horas y media después, la organización confirmó que la emisión se había reanudado. Sin embargo, como resultado directo del problema del certificado firmado cruzadamente, toda la generación de certificados se revirtió a la raíz de Generación X.

Este retroceso afecta específicamente a dos perfiles de certificados ACME: tlsserver y shortlived.

El momento del incidente es notable dado que Let’s Encrypt ya había anunciado tres cambios significativos en la plataforma programados para entrar en vigor el 13 de mayo de 2026, a solo cinco días de distancia. Dichos cambios incluyen:

El perfil ACME tlsserver comenzará a emitir certificados de 45 días como parte de la hoja de ruta gradual de Let’s Encrypt para reducir la vida útil de los certificados de 90 días a 45 días durante los próximos dos años.

El perfil tlsclient, utilizado para certificados de autenticación de clientes TLS, se restringirá exclusivamente a las cuentas ACME que hayan solicitado previamente certificados de dicho perfil. El soporte completo para los certificados tlsclient finalizará el 8 de julio de 2026.

El perfil ACME classic también estaba programado para hacer la transición a los intermedios de Generación Y, que se encadenan a las raíces X1 y X2 existentes; un cambio diseñado para mantener una amplia compatibilidad en los entornos de los clientes.

Los tres cambios ya están activos en el entorno de prueba de Let’s Encrypt y siguen programados para el despliegue de producción el 13 de mayo, a la espera de la resolución del problema del certificado raíz.

Let’s Encrypt no ha revelado detalles sobre si se distribuyeron certificados emitidos incorrectamente antes de que se detuviera la emisión.

Si eres administrador y dependes de flujos de trabajo de renovación automatizados basados en ACME, especialmente aquellos que utilizan los perfiles tlsserver o shortlived, debes monitorear atentamente los registros de renovación y verificar que los certificados emitidos alrededor del 8 de mayo se encadenen correctamente a la raíz esperada. Las actualizaciones y el soporte comunitario siguen disponibles en community.letsencrypt.org.

Fuentes:
https://cybersecuritynews.com/lets-encrypt-halts-certificate-issuance/