Microsoft ha pubblicato aggiornamenti straordinari (out-of-band) per Windows che tolgono la fiducia ai certificati eMudhra legati a otto chiavi private compromesse. Il problema riguarda eMudhra, autorità di certificazione indiana: le chiavi di otto sue autorità intermedie erano state generate in modo così debole da poter essere ricavate quasi istantaneamente. Con quelle chiavi un malintenzionato avrebbe potuto creare certificati validi per siti che non controlla, o firmare software come se fosse affidabile. Gli aggiornamenti del 26 ottobre servono soprattutto ai PC che non ricevono in automatico le liste di certificati attendibili.
Certificati eMudhra: cosa è successo
Il 17 ottobre un ricercatore ha segnalato ai programmi di certificazione di Google, Mozilla, Apple e Microsoft che le chiavi private di otto certificati intermedi di eMudhra erano recuperabili. Secondo l’analisi pubblicata da Mozilla, le chiavi, create il 30 aprile 2025, corrispondevano a numeri inferiori a 256: bastava provare le prime 256 combinazioni possibili per ottenerle. Sei certificati erano usati per le connessioni HTTPS (TLS) e due per la firma del codice.
eMudhra ha ammesso l’errore, attribuito a uno script difettoso durante la cerimonia di generazione delle chiavi, e ha revocato tutti e otto i certificati il 18 ottobre. L’azienda afferma che, in base alle verifiche svolte finora, quelle autorità intermedie non avevano emesso certificati pubblicamente attendibili e che la sua infrastruttura e i dati dei clienti non sono stati compromessi.
La risposta di Google, Mozilla e Microsoft
Google ha bloccato le autorità coinvolte in Chrome già il 17 ottobre tramite un aggiornamento CRLSet, che non richiede di aggiornare il browser, e ha esteso la protezione ad Android attraverso Google Play Services. Secondo Google, nessun certificato TLS emesso da quelle autorità risultava registrato nei log di Certificate Transparency prima del blocco. Mozilla ha distribuito il blocco a Firefox in meno di tre ore tramite OneCRL, poi ha rilasciato Firefox 158.0.1 e le versioni ESR aggiornate e ha rimosso dalla libreria NSS la radice che aveva firmato i certificati intermedi.
Microsoft, che precisa di non aver subito alcuna violazione dei propri sistemi, il 20 ottobre ha aggiunto le otto autorità all’elenco dei certificati non attendibili di Windows e ha bloccato i certificati TLS coinvolti in Edge e WebView2. Il 26 ottobre è arrivato il passo successivo: aggiornamenti che rimuovono dall’elenco delle radici attendibili di Windows sette certificati, cioè sei radici eMudhra G3 e un certificato incrociato AAA Certificate Services. Gli stessi certificati vengono tolti dall’elenco di Edge il 27 ottobre.
Quali aggiornamenti Windows installare
Gli aggiornamenti sono KB5134133 per Windows 11 24H2, 25H2 e 26H2 e, secondo BleepingComputer, KB5134125 per Windows 10 21H2 e 22H2; Neowin segnala anche KB5134134 per Windows 11 26H1. Microsoft spiega che sono destinati ai dispositivi in ambienti scollegati da Internet, a quelli che non raggiungono il servizio di aggiornamento dei certificati e a quelli in cui gli aggiornamenti automatici delle liste di certificati sono disattivati. Sui normali PC connessi le modifiche arrivano comunque in automatico.
Microsoft sottolinea che togliere una radice dall’elenco attendibile è una decisione più ampia rispetto al blocco delle sole chiavi compromesse, e che sta valutando separatamente le altre radici di eMudhra. È la seconda correzione straordinaria in pochi giorni dopo l’aggiornamento .NET d’emergenza per la falla Brotli, mentre di recente è stata corretta anche una falla di Microsoft Authenticator.
Cosa fare per proteggersi
- Lasciare attivi gli aggiornamenti automatici di Windows, dei certificati e dei browser: per la maggior parte degli utenti non serve altro.
- Nelle aziende, installare KB5134133 o l’aggiornamento corrispondente sui sistemi isolati o senza aggiornamenti automatici delle liste di certificati, comprese le macchine virtuali Azure non connesse, per le quali Microsoft indica immagini aggiornate nel Marketplace.
- Verificare se certificati interni o di fornitori dipendono dalle radici eMudhra rimosse e procurarsi certificati sostitutivi prima che le modifiche arrivino sui dispositivi.
- Non ripristinare manualmente la fiducia nelle radici rimosse senza aver valutato i rischi, come raccomanda Microsoft.
Fonti: Microsoft Security Response Center, Supporto Microsoft (KB5134133), BleepingComputer, Neowin, Mozilla Security Blog, Mozilla Bugzilla, Google, eMudhra.
