Microsoft Brengt Windows Updates uit voor Verwijderen van Vertrouwen in Compromitterende eMudhra-Certificaten

Microsoft heeft onverwachte Windows-updates uitgebracht om het vertrouwen in certificaten, gerelateerd aan gecompromitteerde eMudhra-certificeringssleutels, te verwijderen. Dit beschermt systemen die geen automatische updates voor certificaatvertrouwen ontvangen.

Op 26 oktober zijn de updates KB5134133 voor Windows 11 versies 24H2, 25H2, en 26H2, en KB5134125 voor Windows 10 versies 21H2 en 22H2 uitgebracht.

Deze updates zijn speciaal voor systemen zonder internettoegang, apparaten die de certificaatupdateservice van Microsoft niet kunnen bereiken, en voor gevallen waar automatische Certificate Trust List (CTL) updates zijn uitgeschakeld.

De aanleiding was de ontdekking dat acht eMudhra intermediate certificatensleutels zo zwak waren dat ze bijna direct terug te krijgen waren.

Alle acht sleutels zijn in april 2025 gegenereerd en hebben waarden kleiner dan 256, waardoor iedereen ze kon terughalen door slechts 256 mogelijke getallen te testen.

Met de gecompromitteerde sleutels konden aanvallers certificaten vervalsen voor legitieme websites en versleutelde communicatie onderscheppen.

Na de ontdekking heeft eMudhra de acht gecompromitteerde certificaten ingetrokken. Mozilla, Google, Apple en andere softwareleveranciers begonnen ook met intrekking.

Microsoft had eerder de Windows Certificate Trust List bijgewerkt om de acht getroffen intermediates te blokkeren, waaronder zes voor TLS en twee voor codeondertekening.

Daarnaast is er een CRLSet-update voor Microsoft Edge en WebView2 uitgebracht om de getroffen TLS-certificaten te blokkeren, zonder dat een browserupdate nodig was.

Microsoft zet nu verdere stappen door zeven certificaten, gekoppeld aan de getroffen certificaathiërarchieën, van de Windows-vertrouwenslijst te verwijderen.

"Op 26 oktober heeft Microsoft een out-of-band Windows-update uitgebracht die zeven certificaten uit de vertrouwenslijst verwijdert, waaronder zes eMudhra G3-roots en een AAA Certificate Services cross-sign," legt Microsoft uit.

De nieuwe update gaat verder door ook het vertrouwen in de eMudhra root-certificaten te verwijderen die andere door de CA uitgegeven certificaten verifiëren.

Microsoft zegt dat dezelfde zeven certificaten ook op 27 oktober uit de Edge-vertrouwenslijst zullen worden verwijderd.

"Het verwijderen van een root uit de vertrouwenslijst is niet hetzelfde als het intrekken van de bekende gecompromitteerde intermediates," verduidelijkt Microsoft.

"Dit is een aparte vertrouwensbeslissing, breder dan het blokkeren van de geïdentificeerde gecompromitteerde sleutels. Organisaties met specifieke compatibiliteitsbehoeften kunnen ervoor kiezen om een certificaat lokaal te vertrouwen, op basis van hun eigen veiligheidsbeoordelingen en beleid."

Het bedrijf raadt beheerders aan de update op losgekoppelde Windows-systemen te installeren en certificaten te identificeren die afhankelijk zijn van de verwijderde roots, aangezien deze mogelijk vervangen moeten worden.

Microsoft onderzoekt ook de overige eMudhra-roots en kan indien nodig aanvullende vertrouwensaanpassingen maken.

Inzicht in Preventiescores

Preventiescores kunnen verbergen wat er gebeurt na de eerste toegang. Zodra aanvallers geldige inloggegevens gebruiken, daalt de preventie scherp. Het Blue Report 2026 meet defensietechnieken over 338 miljoen simulaties uitgevoerd in productieomgevingen van klanten. Download het rapport om meer te weten te komen.

---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ----
Opzoek naar de laatste updates uit onze securitylog?
Inhoud mede mogelijk gemaakt door OpenAI.