Am 26. Oktober erschienen das Update KB5134133 für Windows 11 in den Versionen 24H2, 25H2 und 26H2 sowie KB5134125 für Windows 10 21H2 und 22H2. Gedacht sind sie für Rechner ohne Internetzugang, für Geräte, die den Zertifikatsaktualisierungsdienst von Microsoft nicht erreichen, und für Systeme, auf denen die automatischen Updates der Certificate Trust List (CTL) deaktiviert wurden.

Auslöser war die Entdeckung von acht privaten Schlüsseln von eMudhra-Zwischenzertifizierungsstellen. Alle acht wurden im April 2025 erzeugt und besaßen Werte kleiner als 256 – ein Angreifer musste also lediglich 256 mögliche Zahlen durchprobieren, um sie zu rekonstruieren. Damit hätten sich Zertifikate für legitime Websites fälschen und verschlüsselte Verbindungen mitlesen lassen.

Nach der Offenlegung widerrief eMudhra die acht betroffenen Zwischenzertifikate; auch Mozilla, Google, Apple und weitere Softwarehersteller begannen mit dem Widerruf. Microsoft hatte zuvor bereits die Windows-Liste nicht zugelassener Zertifikate (Disallowed Certificate Trust List) erweitert und darüber die acht betroffenen Zwischenzertifizierungsstellen blockiert – sechs davon für TLS, zwei für Codesignaturen. Zusätzlich verteilte das Unternehmen ein CRLSet-Update für Microsoft Edge und WebView2, das die betroffenen TLS-Zertifikate ohne Browser-Update sperrte.

Mit dem neuen Schritt geht Microsoft weiter und entfernt sieben Zertifikate der betroffenen Hierarchien aus dem Windows-Vertrauensspeicher. „Am 26. Oktober hat Microsoft ein außerplanmäßiges Windows-Update veröffentlicht, das sieben Zertifikate entfernt, die mit den betroffenen Hierarchien verbunden sind: sechs eMudhra-G3-Wurzelzertifikate und eine Kreuzsignatur von AAA Certificate Services, aus der Windows-Vertrauensliste", erklärte Microsoft. Damit entfällt auch das Vertrauen in die eMudhra-Wurzelzertifikate, über die weitere von der CA ausgestellte Zertifikate geprüft werden. Dieselben sieben Zertifikate sollen nach Angaben von Microsoft am 27. Oktober ebenfalls aus der Vertrauensliste von Edge verschwinden.

„Das Entfernen eines Wurzelzertifikats aus einer Vertrauensliste ist nicht dasselbe wie der Widerruf der bekannten betroffenen Zwischenzertifizierungsstellen", so Microsoft. „Das ist eine eigenständige Vertrauensentscheidung, die weiter reicht als das Blockieren der identifizierten kompromittierten Zwischenschlüssel. Organisationen mit einem konkreten Kompatibilitätsbedarf können einem Zertifikat lokal vertrauen – vorbehaltlich ihrer eigenen Sicherheitsbewertung und Richtlinien."

Administratoren rät Microsoft, das Update auf nicht verbundenen Windows-Systemen einzuspielen und zu ermitteln, welche Zertifikate von den entfernten Wurzelzertifikaten abhängen; diese müssen gegebenenfalls ersetzt werden. Die übrigen eMudhra-Wurzelzertifikate prüft das Unternehmen weiter und schließt zusätzliche Vertrauensänderungen nicht aus.