软件包内嵌的 CA 根证书可能绕过系统信任库更新，使已移除的根继续被部分程序信任。对近七千个软件包归档的扫描发现，29个软件包提供 CA bundle，其中26个含有仍在有效期内、但已被 Mozilla 移出其计划的根证书。不同程序对这些证书的加载方式各异；依赖清单和 SBOM 也可能只列包名与版本，未记录其中的根证书，增加了查找和修复受影响依赖的难度。