Мы уже писали, что восемь промежуточных CA-ключей eMudhra, сгенерированных в апреле 2025 года, оказались настолько слабыми, что их можно было подобрать перебором не более чем из 256 вариантов. Новое в истории — Microsoft пошла дальше блокировки промежуточных сертификатов и отзывает доверие к самим корням.
Что вышло
26 октября Microsoft выпустила внеплановые (out-of-band) обновления:
- KB5134133 — Windows 11 24H2, 25H2 и 26H2;
- KB5134125 — Windows 10 21H2 и 22H2.
Они удаляют из хранилища доверия Windows семь сертификатов: шесть корней eMudhra G3 и кросс-подпись AAA Certificate Services. Тем самым перестают проверяться и все остальные сертификаты, выпущенные от этих корней. Те же семь сертификатов 27 октября убираются и из списка доверия Edge.
Раньше Microsoft лишь добавила восемь промежуточных сертификатов (шесть TLS и два для подписи кода) в Disallowed CTL и выпустила обновление CRLSet для Edge и WebView2.
Почему внеплановые
Обычные машины получают изменения списка доверия автоматически. Эти обновления адресованы системам, которые этого не умеют: изолированным, без доступа к сервису обновления сертификатов или с отключёнными автоматическими обновлениями CTL.
Что делать администраторам
- Установить обновления на изолированные и «отрезанные» Windows-машины.
- Найти сертификаты, которые зависят от удалённых корней, и запланировать их замену.
- Локально доверять корню можно, но Microsoft советует делать это только после собственной оценки рисков.
Microsoft продолжает проверять остальные корни eMudhra — возможны новые изменения.
We have covered how eight eMudhra intermediate CA keys generated in April 2025 were so weak they could be recovered by testing 256 or fewer values. What is new: Microsoft has gone beyond blocking the intermediates and is now removing trust in the roots themselves.
What shipped
On October 26 Microsoft released out-of-band updates:
- KB5134133 for Windows 11 24H2, 25H2 and 26H2;
- KB5134125 for Windows 10 21H2 and 22H2.
They remove seven certificates from the Windows trust store: six eMudhra G3 roots and an AAA Certificate Services cross-sign. This also stops validation of every other certificate issued under those roots. The same seven are being removed from the Edge trust list on October 27.
Earlier, Microsoft had only added the eight intermediates (six TLS, two code signing) to the Disallowed CTL and pushed a CRLSet update for Edge and WebView2.
Why out-of-band
Most machines receive trust list changes automatically. These updates target systems that cannot: disconnected devices, machines that cannot reach the certificate update service, and those with automatic CTL updates disabled.
What admins should do
- Install the updates on disconnected and isolated Windows machines.
- Find certificates that chain to the removed roots and plan to replace them.
- Trusting a root locally is possible, but Microsoft says to do so only after your own risk assessment.
Microsoft is still reviewing the remaining eMudhra roots, so more changes may follow.