Microsoft випустила позапланові оновлення безпеки для Windows 11 і Windows 10, які вилучають із переліку довірених сім сертифікатів, пов’язаних із скомпрометованою інфраструктурою центру сертифікації eMudhra. Оновлення призначені насамперед для пристроїв, які не можуть отримувати автоматичні оновлення довіри до сертифікатів через інтернет.
За повідомленням Microsoft Security Response Center, пакет KB5134133 призначений для Windows 11 версій 24H2, 25H2 та 26H2, а KB5134125 — для Windows 10 версій 21H2 і 22H2. Обидва оновлення випустили 26 жовтня.
Чому сертифікати eMudhra стали проблемою
Причиною стала вразливість восьми приватних ключів проміжних центрів сертифікації eMudhra. Усі вони були згенеровані у квітні 2025 року й мали надзвичайно малий простір можливих значень — менш ніж 256 варіантів. Через це ключі можна було відновити практично миттєво, перебравши можливі значення.
Зловмисники, які отримали б такі ключі, могли б створювати підроблені сертифікати для легітимних сайтів і потенційно перехоплювати зашифрований трафік. Після виявлення проблеми eMudhra відкликала всі вісім проміжних сертифікатів. Власні заходи реагування також розпочали Mozilla, Google та Apple.
Спочатку Microsoft внесла вісім скомпрометованих проміжних центрів до списку заборонених сертифікатів Windows. Тепер компанія пішла далі: нове оновлення вилучає зі списку довірених шість кореневих сертифікатів eMudhra G3 та один перехресний сертифікат AAA Certificate Services. Аналогічні зміни для списку довіри Microsoft Edge компанія запланувала на 27 жовтня.
Кому потрібно встановити оновлення
Насамперед оновлення стосуються комп’ютерів, які не мають доступу до інтернету, не можуть підключитися до служби оновлення сертифікатів Microsoft або працюють із вимкненим автоматичним оновленням списків довіри до сертифікатів (CTL).
Пристрої, які регулярно отримують такі оновлення автоматично, зазвичай уже мають відповідні зміни й не потребують окремого встановлення позапланового пакета для цього виправлення.
Системним адміністраторам Microsoft рекомендує:
- перевірити, які пристрої підпадають під зазначені версії Windows і не отримують автоматичних оновлень довіри;
- встановити відповідний пакет KB5134133 або KB5134125;
- перевірити внутрішні сервіси, застосунки та підписаний код на наявність сертифікатів, пов’язаних із вилученими кореневими центрами;
- замінити залежні сертифікати або, за наявності обґрунтованої потреби сумісності, розглянути локальний виняток після оцінювання ризиків.
Microsoft наголошує, що вилучення кореневого сертифіката має ширші наслідки для довіри, ніж блокування конкретного скомпрометованого проміжного сертифіката. Тому організаціям варто перевірити можливі наслідки для власної інфраструктури, перш ніж змінювати локальні налаштування довіри.
Компанія продовжує розслідування щодо інших кореневих сертифікатів eMudhra й не виключає додаткових змін у майбутньому.