Offenbar sind die privaten Schlüssel in fremde Hände gelangt; mit ihnen können Angreifer gültige TLS-Zertifikate für beliebige Domains ausstellen.