Microsoft випустила термінові оновлення Windows для блокування сертифікатів eMudhra
Microsoft розгорнула позапланові оновлення Windows, щоб прибрати довіру до сертифікатів, пов’язаних із скомпрометованими ключами центру сертифікації eMudhra.
26 жовтня Microsoft випустила позапланові (OOB) оновлення Windows, які прибирають довіру до сертифікатів, пов’язаних із скомпрометованими ключами проміжних ЦСК eMudhra.
Що саме оновили
Для Windows 11 версій 24H2, 25H2 і 26H2 вийшов пакет KB5134133, для Windows 10 версій 21H2 та 22H2 — KB5134125. Оновлення призначені для систем без доступу до Інтернету, пристроїв без доступу до служби оновлення сертифікатів Microsoft та для середовищ, де автоматичні оновлення Certificate Trust List (CTL) вимкнені.
Чому це важливо
Раніше було виявлено вісім проміжних ключів eMudhra, згенерованих у квітні 2025 року, настільки слабких, що їх можна було підібрати майже миттєво. Вони мали значення менше 256, тож зловмиснику достатньо перевірити до 256 варіантів. Такі ключі могли дозволити підробку сертифікатів для легітимних сайтів та перехоплення зашифрованого трафіку.
Дії Microsoft і партнерів
Після розкриття eMudhra відкликала вісім скомпрометованих проміжних сертифікатів, а також про їх блокування заявили Mozilla, Google, Apple та інші вендори. Microsoft раніше оновила Windows Disallowed Certificate Trust List, щоб блокувати ці вісім проміжних центрів (шість для TLS і два для підпису коду), і випустила CRLSet-оновлення для Microsoft Edge та WebView2 без потреби оновлювати браузер.
Нинішній крок іде далі: з Windows trust list вилучено сім сертифікатів із пов’язаної ієрархії — шість коренів eMudhra G3 та перехресний підпис AAA Certificate Services. За даними компанії, 27 жовтня ці ж сім сертифікатів приберуть і з довіреного списку Edge.
Чим відрізняється вилучення кореня
Microsoft наголошує: видалення кореня зі списку довіри — окреме, ширше рішення, ніж блокування відомих скомпрометованих проміжних ключів. Організації з критичною потребою сумісності можуть локально довіряти окремим сертифікатам відповідно до власних політик і оцінки ризиків.
Що робити адміністраторам
Компанія радить встановити OOB-оновлення на від’єднані системи Windows і перевірити, чи не залежать внутрішні сертифікати від вилучених коренів — у такому разі їх може знадобитися замінити. Microsoft також перевіряє інші корені eMudhra і не виключає додаткових змін довіри.
