セキュリティ
eMudhraと「4」の力にまつわる話をご存じですか。証明書信頼リストの更新に接続すべきときです
Microsoftは、Windows向けに新たな定例外（OOB）アップデートを公開しました。ただし今回は、直近の不具合に対する緊急修正ではなく、証明書に関するアップデートです。
このセキュリティ以外の定例外リリース は、Windows 11やWindows Server 2025からWindows 10まで、サポート対象のOSに適用されます。目的は、Microsoftの証明書更新サービスにアクセスできないデバイスや、証明書信頼リスト（CTL）の自動更新が無効になっているデバイスで、現行のCTLを更新することです。
このアップデートには、10月13日の更新プログラムの内容もすべて含まれています。現在も続くVPNの問題や、オンプレミスのExchange Serverに不具合を引き起こす可能性がある変更も、そのまま含まれます。
さらに、10月13日の更新プログラムの既知の問題として、Smart App Control、オーディオ、管理者権限を持たないユーザーによるリモートデスクトップ接続にも、不具合が出る可能性があります。
これらの問題は今回のパッチでも解決されていません。インストールする際は、この点にご注意ください。
なお、多くのデバイスでは、このバージョンは必要ありません。現行の証明書リストの更新は、通常、更新サービスを通じて配信されるためです。ただし、このサービスが利用できない、あるいは使用していない環境では、既知の問題を念頭に置いたうえで、この定例外の修正を適用するのがよいでしょう。アプリケーションやWebサイトが使用する証明書の検証時に、問題が発生する可能性があるためです。
今回の定例外アップデートは、Microsoftが対応方針を示した、eMudhraの証明書鍵の侵害を受けたものです。インドの認証局である同社の秘密鍵は今月初めに侵害され、大規模な対応作業が必要になりました。Microsoftによると、「これらの鍵は、信頼された認証局（CA）から発行されたように見える証明書の作成やコンテンツへの署名に悪用される可能性がありました」。
他の多くの組織と同様、Microsoftも影響を受けた認証局を迅速にブロックしました。具体的には、Windowsの「許可しない証明書信頼リスト（Disallowed Certificate Trust List）」を更新し、該当する証明書をブロックしています。EdgeとWebView2向けには、別途CRLSetもリリースされました。
このWindows大手によると、「10月26日、Microsoftは影響を受けた階層に関連する7つの証明書を、Windowsの信頼リストから削除する定例外のWindows更新プログラムを公開しました。対象は、eMudhra G3ルート証明書6件と、AAA Certificate Servicesのクロス署名1件です」。
Microsoftの定例外パッチは通常、同社が製品に不具合を起こし、緊急修正を出す必要が生じた後に公開されます。今回の修正は、いわば「他人の問題（Somebody Else’s Problem）」が原因で、CTLの更新を受け取れないデバイスにCTL更新を届ける必要があったためです。®
