Microsoft, eMudhra sertifikalarına güveni kaldıran acil Windows güncellemeleri yayımladı

Zayıf bulunan eMudhra anahtarlarıyla bağlantılı sertifikalar Windows'ta artık güvenilmiyor; yalnızca bağlantısı olmayan sistemler için değil, herkes için güncelleme yayımlandı ve Edge 27 Ekim'de aynı sertifikaları kaldıracak.

Microsoft, güvenliği zayıf bulunan eMudhra sertifika yetkilisi anahtarlarıyla bağlantılı sertifikaların güvenini kaldıran acil (out-of-band) Windows güncellemeleri yayımladı. Windows 11 (24H2, 25H2, 26H2) için KB5134133, Windows 10 (21H2, 22H2) için KB5134125 güncellemesi 26 Ekim'de dağıtıma girdi. Güncellemeler; internete bağlı olmayan makineleri, Microsoft'un sertifika servisine ulaşamayan sistemleri ve otomatik güven listesi güncellemeleri kapalı olan sistemleri hedefliyor.

Sorunun kaynağı, Nisan 2025'te üretilen sekiz ara CA özel anahtarıydı. Bu anahtarlar o kadar küçüktü ki herhangi biri 256 olası değeri deneyerek geri kazanabilirdi. Bu, saldırganların meşru siteler için sahte sertifikalar üretmesine ve şifreli iletişimi ele geçirmesine olanak tanıyabilirdi.

Microsoft daha önce etkilenen sekiz ara sertifikayı Disallowed Certificate Trust List'e eklemiş ve Edge ile WebView2 için bir CRLSet güncellemesi yayımlamıştı. Yeni yama bir adım daha ileri gidiyor: Windows güven listesinden, eMudhra kök sertifikaları da dahil olmak üzere yedi sertifikayı kaldırıyor. Edge aynı yedi sertifikayı 27 Ekim'de kendi güven listesinden çıkaracak.

Yöneticilere önerilen, güncellemeyi internet bağlantısı olmayan sistemlere de uygulamaları ve hangi sertifikaların kaldırılan köklere bağlı olduğunu kontrol etmeleri. Bu sertifikaların yenilenmesi gerekebilir.