A Microsoft lançou uma atualização emergencial do Windows para remover a confiança em certificados associados a chaves de autoridades certificadoras da eMudhra comprometidas.
A atualização extraordinária, publicada em 26 de outubro de 2026, elimina sete certificados da lista de confiança do Windows. Em seguida, as mesmas remoções foram aplicadas ao Microsoft Edge em 27 de outubro, segundo informou o Centro de Resposta a Incidentes de Segurança da Microsoft (MSRC).
A atualização trata de problemas relacionados a oito chaves privadas de autoridades certificadoras intermediárias, sendo seis usadas para TLS (Segurança da Camada de Transporte) e duas para assinatura de código.
Invasores poderiam, potencialmente, recuperar essas chaves e criar certificados ou assinar conteúdos que aparentem ser confiáveis. A Microsoft esclareceu que o problema teve origem na hierarquia de certificados da eMudhra, e não em uma invasão aos sistemas da Microsoft.
Certificados comprometidos da eMudhra
As autoridades certificadoras ajudam navegadores e sistemas operacionais a verificar se sites e publicadores de software são legítimos. O controle da chave privada de uma autoridade intermediária pode permitir que um invasor emita certificados sem a aprovação da autoridade. Um relatório de incidente de segurança da eMudhra detalhou como a geração de chaves fracas expôs as chaves afetadas.
As seis chaves TLS poderiam dar suporte a certificados falsos de sites, permitindo que invasores se passem por serviços confiáveis e, potencialmente, interceptem comunicações. As duas chaves de assinatura de código poderiam fazer com que softwares maliciosos parecessem vir de um publicador confiável. No entanto, o comunicado do MSRC não confirma que invasores tenham usado essas chaves contra clientes.
A Microsoft atualizou pela primeira vez a Lista de Certificados Não Permitidos do Windows em 20 de outubro, para bloquear as autoridades certificadoras afetadas. A empresa também implantou uma atualização separada do CRLSet (lista de certificados revogados) para o Edge e o WebView2, bloqueando os certificados TLS afetados por meio de atualizações automáticas de componentes, sem a necessidade de uma nova versão do navegador.
As alterações posteriores na lista de confiança vão além. Elas removem seis certificados raiz G3 da eMudhra e uma certificação cruzada do AAA Certificate Services. Essa decisão de desconfiança mais ampla difere da revogação das oito autoridades intermediárias comprometidas. Após a entrega, as alterações significam que os sete certificados removidos deixam de ser confiáveis por padrão.
O incidente também afeta além dos navegadores. A cobertura de alerta de segurança do Oracle Java descreve etapas separadas para deixar de confiar em intermediários afetados da eMudhra, destacando por que verificações no nível das aplicações também são importantes.
As organizações devem permitir que as atualizações de confiança de certificados do Windows e os componentes do Edge cheguem aos endpoints. Para sistemas desconectados, o guia de lista de confiança de certificados da Microsoft explica como os administradores podem distribuir listas atualizadas por meio de um arquivo interno ou de um servidor web e verificar o status delas.
As equipes devem identificar os certificados que se encadeiam aos sete certificados removidos e providenciar substitutos ou outra cadeia confiável. A Microsoft também recomenda revisar máquinas virtuais do Azure desconectadas e conjuntos de dimensionamento de máquinas virtuais, com imagens atualizadas disponíveis no Azure Marketplace.
Restaurar a confiança localmente exige cautela especial. Softwares que ignoram verificações de revogação ou a lista de certificados não permitidos da Microsoft ainda poderiam aceitar certificados vinculados a intermediárias comprometidas. Os administradores devem avaliar essas verificações antes de fazer exceções de compatibilidade. A Microsoft continua investigando e avalia separadamente as demais raízes da eMudhra, à medida que os clientes deixam as hierarquias afetadas.
