Microsoft rimuove sette certificati eMudhra da Windows ed Edge
Microsoft ha tolto sette certificati legati a eMudhra dall’elenco dei certificati attendibili: da Windows con un aggiornamento fuori ciclo il 26 ottobre 2026, da Edge il 27 ottobre. Il motivo è spiegato nel post del Microsoft Security Response Center: otto chiavi private di CA intermedie eMudhra, sei per TLS e due per la firma del codice, potevano essere recuperate.
I sette certificati sono sei root eMudhra G3 e un cross-sign di AAA Certificate Services.
Chi è esposto e cosa fare
Microsoft chiede di lasciare arrivare gli aggiornamenti automatici dei certificati attendibili di Windows e dei componenti di Edge. Per gli altri casi:
- Dispositivi Windows senza aggiornamenti automatici: il processo di aggiornamento deve consegnare la Disallowed Certificate Trust List aggiornata e le prossime modifiche all’elenco dei certificati attendibili. I dettagli sono nella pagina Microsoft Learn «Configure trusted roots and disallowed certificates in Windows».
- Dispositivi Azure scollegati, su Virtual Machine Scale Sets o VM singole: in Azure Marketplace ci sono immagini aggiornate da distribuire.
- Certificati che dipendono da uno dei sette rimossi: bisogna trovare queste dipendenze e ottenere certificati sostitutivi o una catena attendibile alternativa prima che le modifiche raggiungano i dispositivi.
L’annuncio del Microsoft Trusted Root Program del 26 ottobre 2026 descrive le misure di blocco degli intermedi compromessi e come verificarne l’applicazione.
Il problema: chiavi di CA che permettono certificati falsi
Secondo Microsoft la questione è nata nella gerarchia di certificati di eMudhra e non è una compromissione dei sistemi Microsoft. Un certificato creato con una di queste chiavi apparirebbe legittimo a browser e sistemi operativi, anche se eMudhra non l’ha mai autorizzato.
Le sei chiavi TLS potrebbero servire a impersonare un sito o un servizio e, potenzialmente, a intercettare le comunicazioni degli utenti. Le due chiavi di firma del codice potrebbero far sembrare software malevolo proveniente da un editore attendibile.
Cosa ha cambiato Microsoft, e quando
| Data | Intervento |
|---|---|
| 20 ottobre 2026 | Aggiornamento della Disallowed Certificate Trust List di Windows per bloccare le CA interessate. |
| 26 ottobre 2026 | Aggiornamento Windows fuori ciclo che toglie dall’elenco dei certificati attendibili i sette certificati. |
| 27 ottobre 2026 | Gli stessi sette certificati vengono tolti dall’elenco di Edge. |
Microsoft ha distribuito anche un aggiornamento CRLSet separato per Edge e WebView2, che blocca i certificati TLS firmati dalle CA interessate. Arriva in automatico con l’aggiornamento dei componenti e non richiede una nuova versione del browser.
Quando le modifiche raggiungono un dispositivo, i sette certificati non sono più attendibili per impostazione predefinita.
Rimozione dei root e revoca non sono la stessa cosa
Per Microsoft togliere una radice dall’elenco non equivale a revocare gli intermedi compromessi noti. È una decisione di fiducia separata, più ampia del blocco delle chiavi identificate.
Il rischio maggiore riguarda il software che non controlla in modo affidabile la revoca o l’elenco dei certificati non consentiti di Microsoft. Se quel software mantiene o ripristina la fiducia nei certificati rimossi, quelli associati agli intermedi compromessi potrebbero essere ancora accettati come validi.
Le organizzazioni con una specifica esigenza di compatibilità possono scegliere di fidarsi localmente di un certificato, dopo una propria valutazione di sicurezza. Prima devono verificare come applicazioni e sistemi eseguono questi controlli. Non devono ripristinare la fiducia senza capirne il rischio.
Cosa resta aperto
Microsoft valuta separatamente i root eMudhra rimanenti e deciderà in sequenza altre modifiche man mano che i clienti migrano da quelle gerarchie. L’azienda sta ancora indagando sull’ampiezza del problema e aggiornerà il post se nuovi elementi cambieranno in modo rilevante la situazione per i clienti.
