Microsoft выпустила внеплановые обновления Windows, которые удаляют из доверенных цепочек сертификаты eMudhra, связанные с восемью скомпрометированными ключами промежуточных центров сертификации. Для компаний с изолированными сетями это не косметическая правка: без неё атакующий потенциально мог выпустить поддельный сертификат для настоящего сайта или перехватывать зашифрованный трафик.
Обновления вышли 26 октября: KB5134133 — для Windows 11 версий 24H2, 25H2 и 26H2, KB5134125 — для Windows 10 версий 21H2 и 22H2. Как пишет BleepingComputer, пакеты адресованы прежде всего устройствам без доступа в интернет, системам без доступа к службе обновления сертификатов Microsoft и инфраструктуре, где автоматическое обновление Certificate Trust List отключено политиками безопасности.
Восемь ключей, которые можно было подобрать за секунды
Проблема возникла не из-за хитрой криптоатаки и не из-за утечки базы паролей. В апреле 2025 года были сгенерированы восемь закрытых ключей промежуточных CA eMudhra со значениями меньше 256. В практическом смысле это означает, что секрет можно восстановить перебором всего 256 вариантов — почти мгновенно и без серьёзных вычислительных ресурсов.
Шесть затронутых промежуточных центров использовались для TLS-сертификатов, ещё два — для подписи кода. Получив контроль над таким ключом, злоумышленник мог создать сертификат, который внешне выглядит выпущенным легитимным удостоверяющим центром. Это открывает путь к атакам типа man-in-the-middle на сервисы, которым доверяет клиентская система, и к подписанию вредоносных файлов сертификатами, способными пройти часть проверок.
eMudhra уже отозвала восемь скомпрометированных промежуточных сертификатов. Вслед за ней блокировки начали добавлять Mozilla, Google, Apple и другие поставщики ПО. Microsoft ранее внесла проблемные промежуточные CA в Windows Disallowed Certificate Trust List — список явно запрещённых сертификатов. Для Edge и WebView2 компания также выпустила обновление CRLSet, чтобы браузерные компоненты перестали доверять затронутым TLS-цепочкам без ожидания нового релиза браузера.
Почему Microsoft пошла дальше точечной блокировки
Нынешние OOB-обновления делают более широкий шаг: Microsoft удаляет из списка доверия Windows семь сертификатов, относящихся к затронутым иерархиям. Это шесть корневых сертификатов eMudhra G3 и один кросс-сертификат AAA Certificate Services. Такая мера отличается от отзыва конкретных промежуточных CA: система перестаёт доверять и корням, которыми проверялись другие сертификаты, выпущенные в этих ветках.
Компания отдельно предупреждает, что удаление корня из доверенного хранилища — самостоятельное и более широкое решение о доверии. Организации с особыми требованиями совместимости могут локально восстановить доверие к нужному сертификату, но только после собственной оценки рисков и в рамках внутренних политик. Иными словами, техническая возможность обойти ограничение есть, но использовать её как быстрый «фикс сломавшегося сервиса» — плохая привычка с точки зрения безопасности.
Для российских IT-команд история особенно актуальна в двух типичных сценариях. Первый — закрытые сегменты, производственные контуры и тестовые стенды, где Windows-машины не ходят в интернет по умолчанию. Второй — управляемые рабочие станции с жёстко настроенными групповыми политиками, где автоматическая доставка CTL намеренно выключена. На таких устройствах блокировка не обязательно появится сама, поэтому KB5134133 или KB5134125 нужно включить в обычный процесс распространения обновлений.
После установки обновления администраторам стоит инвентаризировать внутренние веб-сервисы, агенты, подписанные пакеты и корпоративные приложения, чьи цепочки могут зависеть от удалённых корней. Возможный симптом — не «падение Windows», а ошибки проверки TLS-сертификата, проблемы с подписью либо отказ приложения устанавливать защищённое соединение. Если зависимость подтвердится, корректный путь — перевыпустить сертификат у другого доверенного CA или перестроить цепочку, а не возвращать глобальное доверие к скомпрометированной иерархии.
Microsoft обещает продолжить проверку остальных корневых сертификатов eMudhra и при необходимости внести новые изменения в модель доверия. Этот инцидент хорошо напоминает: инфраструктура публичных ключей ломается не только через сложные уязвимости в браузере. Иногда достаточно, чтобы удостоверяющий центр сгенерировал ключ с энтропией уровня броска игральной кости — и последствия приходится разгребать всем экосистемам, от браузеров до офлайн-рабочих мест. Подробнее о выпусках и составе отозванных цепочек — в материале .
