In questo articolo Indice dei contenuti 2 sezioni
Microsoft ha distribuito aggiornamenti Windows out of band per revocare la fiducia nei certificati eMudhra legati a chiavi dell’autorità di certificazione risultate compromesse. L’intervento riguarda soprattutto i sistemi che non ricevono in automatico gli aggiornamenti dell’elenco dei certificati attendibili, quelli che normalmente restano un passo indietro quando si tratta di sicurezza.
Le patch sono due e portano date e numeri precisi. KB5134133 è destinata a Windows 11 nelle versioni 24H2, 25H2 e 26H2, mentre KB5134125 copre Windows 10 nelle versioni 21H2 e 22H2. Entrambe sono state pubblicate il 26 ottobre 2026 e si rivolgono a tre categorie ben definite: computer senza accesso a Internet, dispositivi che non riescono a raggiungere il servizio di aggiornamento dei certificati di Microsoft e macchine su cui gli aggiornamenti automatici della Certificate Trust List, la cosiddetta CTL, sono stati disattivati.
Otto chiavi private quasi impossibili da proteggere
All’origine di tutto c’è la scoperta di otto chiavi private appartenenti ad autorità di certificazione intermedie di eMudhra. Erano talmente deboli da poter essere recuperate praticamente all’istante. Tutte e otto erano state generate ad aprile 2025 e avevano valori inferiori a 256, quindi a chiunque bastava provare appena 256 numeri possibili per ricostruirle. Un livello di protezione che, di fatto, non proteggeva nulla.
Le conseguenze potenziali erano tutt’altro che teoriche. Con quelle chiavi un attaccante avrebbe potuto falsificare certificati per siti web legittimi e intercettare comunicazioni cifrate, cioè proprio il genere di traffico che gli utenti considerano al sicuro. Dopo la divulgazione del problema eMudhra ha revocato gli otto certificati intermedi coinvolti, e la stessa strada è stata seguita da Mozilla, Google, Apple e da altri produttori di software.
Anche Microsoft si era già mossa in un primo momento. L’azienda aveva aggiornato la Disallowed Certificate Trust List di Windows per bloccare le otto autorità intermedie interessate, sei usate per TLS e due per la firma del codice. A questo si era aggiunto un aggiornamento CRLSet per Microsoft Edge e WebView2, pensato per bloccare i certificati TLS compromessi senza dover rilasciare una nuova versione del browser.
Via sette certificati radice dall’elenco di fiducia
Con i nuovi pacchetti la società di Redmond si spinge oltre e rimuove dall’elenco di fiducia di Windows sette certificati collegati alle gerarchie coinvolte. Nello specifico si tratta di sei radici eMudhra G3 e di un certificato AAA Certificate Services a firma incrociata. In pratica non vengono più considerate affidabili nemmeno le radici che servono a verificare gli altri certificati emessi da quella stessa autorità. Gli stessi sette certificati spariranno anche dall’elenco di fiducia di Edge a partire dal 27 ottobre.
Microsoft tiene a precisare che togliere una radice da un trust list è cosa diversa dal revocare le autorità intermedie già note come compromesse. Secondo l’azienda si tratta di una decisione di fiducia separata e più ampia rispetto al semplice blocco delle chiavi identificate. Le organizzazioni con particolari esigenze di compatibilità possono comunque scegliere di considerare attendibile un certificato a livello locale, sulla base di una propria valutazione di sicurezza e delle proprie policy interne.
Agli amministratori di sistema arriva un’indicazione piuttosto chiara. L’aggiornamento va installato sui computer Windows scollegati dalla rete, e conviene individuare tutti i certificati che dipendono dalle radici rimosse, perché potrebbe essere necessario sostituirli. Nel frattempo Microsoft sta esaminando le altre radici eMudhra ancora presenti e non esclude ulteriori modifiche alla fiducia, se dovessero rendersi necessarie.
Fonte: TecnoAndroid