Microsoftは、侵害されたeMudhra認証局（CA）の鍵に関連する証明書への信頼を取り消すため、定例外（OOB）のWindows更新プログラムをリリースしました。証明書の信頼リストが自動更新されないシステムを保護するための措置です。
リリースされたのは、Windows 11 バージョン24H2、25H2、26H2向けのKB5134133と、Windows 10 バージョン21H2、22H2向けのKB5134125です。いずれも10月26日に公開されました。
対象となるのは、インターネットに接続していないシステム、Microsoftの証明書更新サービスにアクセスできないデバイス、証明書信頼リスト（CTL）の自動更新を無効にしているデバイスです。
今回の更新プログラムは、eMudhraの中間認証局の秘密鍵8本が極めて脆弱で、ほぼ瞬時に復元できることが判明したことを受けて公開されました。
8本の鍵はいずれも2025年4月に生成されたもので、値が256未満でした。そのため、256通りの数値を試すだけで誰でも復元できる状態でした。
これらの鍵が侵害されると、攻撃者が正規のWebサイトになりすました証明書を偽造し、暗号化通信を傍受できるおそれがあります。
問題の公表後、eMudhraは侵害された8つの中間証明書を失効させました。Mozilla、Google、Appleなどのソフトウェアベンダーも、相次いで失効措置を開始しています。
Microsoftはこれに先立ち、WindowsのDisallowed Certificate Trust List（信頼しない証明書リスト）を更新し、影響を受ける8つの中間認証局をブロックしていました。内訳はTLS用が6つ、コード署名用が2つです。
同社はさらに、Microsoft EdgeとWebView2向けにCRLSetの更新も配信しました。影響を受けるTLS証明書をブロックするもので、ブラウザーを更新しなくても適用されます。
Microsoftは今回、影響を受ける証明書階層に関連する7つの証明書を、Windowsの信頼リストから削除するという追加措置に踏み切りました。
Microsoftはブログで次のように説明しています。「10月26日、Microsoftは影響を受ける階層に関連する7つの証明書をWindowsの信頼リストから削除する、定例外のWindows更新プログラムを公開しました。対象は、eMudhra G3のルート証明書6つと、AAA Certificate Servicesのクロス署名1つです」
今回の更新プログラムでは、このCAが発行した他の証明書の検証に使われるeMudhraのルート証明書についても、信頼を取り消しています。踏み込んだ対応といえます。
Microsoftによると、同じ7つの証明書は10月27日にEdgeの信頼リストからも削除される予定です。
Microsoftは「信頼リストからルート証明書を削除することは、影響を受けると判明している中間認証局を失効させることとは異なります」と説明しています。
「これは別個の信頼判断であり、特定された侵害済みの中間鍵をブロックするよりも影響範囲が広くなります。互換性の確保が必要な組織は、自社のセキュリティ評価とポリシーに基づき、証明書をローカルで信頼することもできます」
同社は管理者に対し、ネットワークから切り離されたWindowsシステムにこの更新プログラムを適用するよう呼びかけています。あわせて、削除されたルート証明書に依存する証明書がないかを確認し、必要に応じて置き換えるよう促しています。
Microsoftは、eMudhraの残りのルート証明書についても調査を続けています。必要に応じて、さらに信頼設定を変更する可能性があります。
