La CA Raíz puede simplemente cambiar su clave privada sin afectar los certificados ya emitidos.

Un atacante puede emitir certificados falsos para cualquier dominio (ej. https://www.google.com/search?q=google.com) que serán aceptados como válidos por los navegadores de todo el mundo.

Solo los certificados emitidos por esa CA Raíz en el último mes deben ser revocados.

Los usuarios finales pueden seguir utilizando sus certificados con normalidad si su CA Intermedia no fue comprometida.