Microsoft выпустила внеплановые обновления Windows для удаления доверия к сертификатам eMudhra

Microsoft выпустила внеплановые обновления Windows, которые удаляют доверие к сертификатам, связанным со скомпрометированными ключами удостоверяющего центра eMudhra. Обновления защищают системы, которые не получают автоматические обновления списков доверия к сертификатам.

Каким устройствам нужны обновления

Обновление KB5134133 для Windows 11 версий 24H2, 25H2 и 26H2 и обновление KB5134125 для Windows 10 версий 21H2 и 22H2 вышли 26 октября.

Они предназначены для систем без доступа к интернету, устройств, которые не могут подключиться к службе обновления сертификатов Microsoft, а также систем, в которых отключено автоматическое обновление списка доверия к сертификатам (CTL).

Внеплановые обновления для Windows 11 и Windows 10 доступны только в Каталоге Центра обновления Майкрософт:

Такие же внеплановые обновления вышли для Windows Server 2025, 2022, 2019 и 2016.

Слабые ключи eMudhra

Обновления выпустили после обнаружения восьми закрытых ключей промежуточных удостоверяющих центров eMudhra. Ключи оказались настолько слабыми, что их можно было восстановить практически мгновенно.

Все восемь ключей были сгенерированы в апреле 2025 года и имели значения меньше 256. Это позволяло любому желающему восстановить их, перебрав всего 256 возможных чисел.

Скомпрометированные ключи могли позволить злоумышленникам подделывать сертификаты легитимных сайтов и перехватывать зашифрованный трафик.

Блокировка сертификатов

После раскрытия проблемы eMudhra отозвала восемь скомпрометированных промежуточных сертификатов. Mozilla, Google, Apple и другие разработчики ПО также начали отзывать их.

Ранее Microsoft обновила список недоверенных сертификатов Windows, заблокировав восемь затронутых промежуточных удостоверяющих центров: шесть использовались для TLS, еще два – для подписи кода.

Компания также выпустила обновление CRLSet для Microsoft Edge и WebView2, чтобы заблокировать затронутые TLS-сертификаты. Это позволило применить блокировку без обновления браузера.

Удаление корневых сертификатов

Теперь Microsoft принимает дополнительные меры: компания удаляет из списка доверенных сертификатов Windows семь сертификатов, связанных с затронутыми иерархиями сертификации.

Microsoft пояснила:

26 октября Microsoft выпустила внеплановое обновление Windows, которое удаляет из списка доверенных сертификатов Windows семь сертификатов, связанных с затронутыми иерархиями: шесть корневых сертификатов eMudhra G3 и кросс-сертификат AAA Certificate Services.

Новое обновление идет дальше предыдущих мер: оно также удаляет доверие к корневым сертификатам eMudhra, которые используются для проверки других сертификатов, выпущенных этим удостоверяющим центром.

По данным Microsoft, те же семь сертификатов будут удалены из списка доверенных сертификатов Edge 27 октября.

Microsoft сообщила:

Удаление корневого сертификата из списка доверенных – не то же самое, что отзыв сертификатов промежуточных удостоверяющих центров, о компрометации которых уже известно.

Это отдельное решение о доверии, которое выходит за рамки блокировки выявленных скомпрометированных промежуточных ключей. Организации, которым это необходимо для совместимости, могут самостоятельно добавить сертификат в доверенные на локальном уровне, руководствуясь собственной оценкой безопасности и внутренними политиками.

Рекомендации администраторам

Компания рекомендует администраторам установить обновление на системах Windows без подключения к сети и выявить сертификаты, которые зависят от удаленных корневых сертификатов: их может потребоваться заменить.

Microsoft также проверяет остальные корневые сертификаты eMudhra и при необходимости может внести дополнительные изменения в списки доверия.