Microsoft публикува извънредни актуализации за Windows 10 и Windows 11, които премахват доверието към седем сертификата, свързани с компрометирани йерархии на сертифициращия орган eMudhra. Мярката е особено важна за изолирани системи и устройства, които не получават автоматични актуализации на списъците с доверени сертификати.

Извънредни актуализации за Windows 10 и Windows 11

На 26 октомври 2026 г. Microsoft пусна две извънредни актуализации извън обичайния график за обновяване:

• KB5134133 за Windows 11 във версии 24H2, 25H2 и 26H2.
• KB5134125 за Windows 10 във версии 21H2 и 22H2.

Те са предназначени предимно за системи без достъп до интернет, устройства, които не могат да достигнат услугата на Microsoft за актуализиране на сертификатите, както и компютри, при които автоматичните актуализации на Certificate Trust List (CTL) са изключени.

Това е съществена разлика спрямо защитните механизми, които могат автоматично да обновяват доверието към сертификатите. При изолирани или ограничени мрежи администраторите трябва да осигурят актуализациите по подходящ начин, вместо да разчитат, че блокирането ще бъде приложено автоматично.

Осем слаби ключа са могли да позволят подправяне на сертификати

Случаят започна след откриването на осем компрометирани частни ключа на междинни сертифициращи органи на eMudhra. Според публикуваната информация всички те са генерирани през април 2025 г., но стойностите им са били по-малки от 256. Това е позволявало възстановяването им чрез проверка на едва 256 възможни стойности.

Подобна слабост подкопава основно предположение в инфраструктурата на публичните ключове: че частният ключ е достатъчно труден за отгатване и остава под контрола на своя притежател.

При наличие на съответния частен ключ нападател би могъл да издава подправени сертификати в рамките на компрометираната йерархия. В зависимост от конкретния сертификат и начина, по който се използва, това създава риск от представяне за легитимни уебсайтове, прихващане на криптирани комуникации или подписване на код.

След разкриването на проблема eMudhra отмени осемте засегнати междинни сертификата. Mozilla, Google, Apple и други доставчици също започнаха да блокират засегнатите сертификати в своите продукти.

Microsoft разширява мерките за блокиране

Първоначално Microsoft актуализира Windows Disallowed Certificate Trust List, за да блокира осемте засегнати междинни сертифициращи органа. Шест от сертификатите са били използвани за TLS, а два – за подписване на код.

Компанията актуализира и CRLSet за Microsoft Edge и WebView2, така че засегнатите TLS сертификати да бъдат блокирани без необходимост от отделна актуализация на браузъра.

С новите актуализации от 26 октомври Microsoft предприема по-широка стъпка: премахва седем сертификата от списъка на доверените сертификати на Windows. Те включват шест коренови сертификата eMudhra G3 и един кръстосано подписан сертификат на AAA Certificate Services.

Това действие е различно от отмяната на конкретните компрометирани междинни сертификати. Премахването на доверие към коренов сертификат може да засегне по-широк набор от сертификати, които зависят от съответната йерархия.

Microsoft уточнява, че организации със специфични изисквания за съвместимост могат да изберат локално да възстановят доверието към даден сертификат, но само след собствена оценка на риска и в съответствие с вътрешните политики за сигурност.

Компанията съобщава също, че същите седем сертификата трябва да бъдат премахнати от списъка с доверени сертификати на Edge на 27 октомври. Microsoft продължава да проверява останалите коренови сертификати на eMudhra и не изключва допълнителни промени.

Какво трябва да направят ИТ екипите

Администраторите трябва да проверят дали засегнатите актуализации са приложени, особено на системи, които не получават автоматични актуализации на доверието към сертификатите.

Практическите действия включват:

• Инсталиране на актуализациите KB5134133 или KB5134125 според използваната версия на Windows.
• Проверка на изолираните устройства и системите в сегменти без пряк достъп до услугите на Microsoft.
• Идентифициране на зависимостите от премахнатите коренови сертификати, включително вътрешни приложения, уеб услуги и решения, които разчитат на сертификати от засегнатите йерархии.
• Подмяна на засегнатите сертификати, когато това е необходимо за възстановяване на съвместимостта.
• Внимателна оценка на изключенията. Локалното възстановяване на доверие не бива да се използва като универсално решение за проблеми със съвместимостта.

Казусът показва, че слабостта в генерирането на частни ключове може да наложи промени не само в конкретните компрометирани сертификати, но и в по-широката инфраструктура на доверие. За организациите с критични или изолирани системи управлението на сертификатите трябва да включва не само следене на сроковете им, а и своевременно прилагане на промени в доверието, анализ на зависимостите и контролирано разпространение на актуализациите.