GoDaddyは2026年10月21日、発行方法に誤りが見つかったとして、404,607件のSSL（Secure Sockets Layer）／TLS（Transport Layer Security）証明書を失効させました。対象となったのは、GoDaddyおよびStarfieldの配下で発行された証明書です。
問題が明るみに出たのは、第三者がこれらの証明書がStarfieldの公開する証明書ポリシーおよび認証実施規程（CP/CPS）と一致していないことを発見したためです。食い違いがあったのは、証明書ポリシーのオブジェクト識別子（OID）とCPS URI修飾子です。これらは、証明書に関連付けられたポリシーを示し、認証局が文書化した運用規程を指し示す役割を持ちます。
GoDaddyは調査のため証明書の発行を一時停止し、公開文書を修正したうえで発行を再開しました。Mozillaのインシデントレポートによると、同社の調査では、すでに新規証明書を発行していない旧Starfield G2階層でも同様の不一致が確認されました。
影響を受けた証明書の大半は、ドメイン認証（DV）証明書でした。内訳はStarfield R1 DVが208,896件、Starfield G2 DVが187,159件です。このほか、記載されている各証明書階層にまたがって、組織認証（OV）証明書と拡張認証（EV）証明書の計8,552件が影響を受けました。
GoDaddy、失効期限を守れず
CA/Browser ForumのTLSベースライン要件では、影響を受けた証明書は24時間以内に失効させることが望ましく、例外を除き5日以内の失効が必須とされています。
GoDaddyは10月14日に影響を受けた顧客への連絡を開始しましたが、10月18日23時45分（UTC）の期限に間に合いませんでした。その時点で失効できていたのは170,566件にとどまります。Mozillaの失効遅延レポートによると、10月19日5時29分（UTC）までに累計227,422件に達しました。その後、GoDaddyの顧客向けガイダンスは、対象の証明書が10月21日に失効したことを確認しています。
同社は顧客向けの案内で、代替の証明書をインストールするまで、ウェブサイトに セキュリティ警告が表示されたり、アクセスできなくなったりする可能性があると注意を促しています。同社のダッシュボードでは、対応が必要な証明書を確認できます。新しい証明書が用意されているのに、ウェブサイトが失効済みの証明書を使い続けているケースも表示されます。GoDaddyは、証明書の現在の状態を確認できる「SSL Status Check」ツールも提供しています。
CompareSecurity
ウェブサイト運営者が取るべき対応
この問題は、ジブラルタル政府のウェブサイトにも及びました。同政府は10月22日、一部のサイトが影響を受けた証明書を使用しており、IT部門が交換作業を進めていると発表しました。利用者には、ブラウザーのセキュリティ警告を無視しないことや、影響を受けるページで個人情報や支払い情報を入力しないことが呼びかけられました。
「世界中でウェブサイトのセキュリティ証明書を発行している企業の一つであるGoDaddyの誤りにより、ジブラルタル政府（HM Government of Gibraltar）の一部のウェブサイトに影響が出ています」
「これらのサイトでは、代替の証明書が導入されるまで、ブラウザーにセキュリティ警告が表示されたり、サイトを開けなかったりする場合があります」と、ジブラルタル政府は公式通知で述べています。
ウェブサイトの運営者は、GoDaddyのアカウントで交換対象としてフラグが付いた証明書がないかを確認する必要があります。あわせて、稼働中のウェブサイトそのものも確認しなければなりません。交換用の証明書をダウンロードしただけでは、自動的にインストールされないためです。サーバーが失効済みの証明書を提示し続けると、訪問者にセキュリティ警告や接続エラーが表示される可能性があります。
今回の件は、Hackread.comが5月に報じた別の証明書関連のセキュリティ事案に続くものです。この事案では、攻撃者がDigiCertのコード署名証明書を入手し、マルウェアへの署名に悪用しました。一方、GoDaddyの件で公表されている情報は、証明書ポリシーの不一致に関するものです。秘密鍵の盗難やTLS暗号化の侵害を示す内容はありません。
証明書の失効で浮き彫りになった自動化の必要性
Keyfactorの最高セキュリティ責任者（CSO）であるクリス・ヒックマン（Chris Hickman）氏は、GoDaddyの件と証明書管理の重要性についてHackread.comにコメントを寄せました。
「GoDaddyが40万件以上の証明書を失効させなければならなかったのは、証明書の発行方法と、それを裏付ける文書、つまり証明書ポリシーおよび認証実施規程（CP/CPS）との間に不一致があったためです。GoDaddyのような公開ルート証明書に関するガイドラインを監督するCA/Browser Forumの規定に従い、証明書を失効させて再発行する必要が生じました。つまり、今回の件は文書上の誤りが原因です。
特に指摘したいのは、交換が必要になった証明書のうち、自動化されていたものは作業が楽になったという点です。一方、自動化されていなかった証明書の場合、システムの所有者は失効に気づいてすらいない可能性があり、障害が発生しているかもしれません。
今回の件は、証明書管理と証明書の自動化を機動的に進める必要があること、そして今回のような事態が自社に発行された証明書に影響したときに、それを把握できる可視性が必要であることを、あらためて示しています。
推奨される対応は次のとおりです。影響を受けた認証局のいずれかが発行した証明書が環境内にある場合は、その証明書が影響を受けているかどうかをGoDaddyに確認してください。失効済みであれば、影響を受けたシステム向けに新しい証明書を取得する必要があります」
翻訳元: https://hackread.com/godaddy-revokes-ssl-certificates-policy-errors/
