Windows 10 i 11 dostały pilną aktualizację. Powód jest wręcz kompromitujący

Aktualizacje KB5134133 dla Windows 11 w wersjach 24H2, 25H2 i 26H2 oraz KB5134125 dla Windows 10 w wersjach 21H2 i 22H2 udostępniono 26 października. Są przeznaczone przede wszystkim dla komputerów bez dostępu do internetu, urządzeń, które nie mogą połączyć się z usługą aktualizacji certyfikatów Microsoftu, oraz systemów z wyłączonym automatycznym odświeżaniem list zaufanych certyfikatów. Problem leży w ich znaczeniu.

Problem jest duży

Problem dotyczy ośmiu kluczy pośredniego urzędu certyfikacji eMudhra. Wszystkie wygenerowano w kwietniu 2025 roku, a ich zabezpieczenia były wyjątkowo słabe, bo wartości kluczy mieściły się w zakresie pozwalającym na ich odzyskanie przez sprawdzenie zaledwie 256 możliwych liczb. Przejęcie kluczy mogło umożliwić cyberprzestępcom tworzenie fałszywych certyfikatów dla legalnych stron internetowych i przechwytywanie szyfrowanej komunikacji, ale po wykryciu problemu eMudhra unieważniła osiem zagrożonych certyfikatów. Podobne działania podjęły Mozilla, Google, Apple i inni dostawcy oprogramowania.

Microsoft wcześniej zaktualizował listę zablokowanych certyfikatów Windows. Wprowadził również zmiany w przeglądarce Edge i środowisku WebView2, aby zablokować zagrożone certyfikaty TLS bez konieczności aktualizowania przeglądarki.

Aktualizacja to tylko początek

Najnowsza aktualizacja idzie o krok dalej. Microsoft usuwa z listy zaufanych certyfikatów Windows siedem pozycji powiązanych z zagrożonymi strukturami. Chodzi o sześć certyfikatów głównych eMudhra G3 oraz jeden certyfikat AAA Certificate Services.

Zmiana jest szersza niż samo zablokowanie ośmiu naruszonych kluczy, a Windows przestanie ufać również wskazanym certyfikatom głównym, które służą do weryfikowania innych certyfikatów. Microsoft zapowiedział też usunięcie tych samych siedmiu pozycji z listy zaufanych certyfikatów przeglądarki, jeszcze dzisiaj, tj. 27 października.

MS zaleca administratorom instalację aktualizacji także na komputerach, które nie mają połączenia z internetem. Powinni oni również sprawdzić, czy wykorzystywane certyfikaty nie zależą od usuniętych pozycji, ponieważ w niektórych przypadkach konieczna może być ich wymiana.

Microsoft nadal analizuje pozostałe certyfikaty główne eMudhra i nie wyklucza kolejnych zmian. Organizacje, które potrzebują zachować zaufanie do konkretnego certyfikatu ze względu na zgodność z używanymi usługami, mogą zrobić to lokalnie, ale dopiero po samodzielnej ocenie ryzyka.