Microsoft ha distribuito due aggiornamenti fuori banda per Windows con l’obiettivo di revocare la fiducia nei certificati eMudhra associati a otto chiavi private compromesse. L’intervento è rivolto soprattutto ai computer che non riescono ad aggiornare automaticamente gli elenchi dei certificati attendibili dell’azienda, una condizione che può riguardare sistemi senza accesso a Internet o dispositivi sui quali il relativo meccanismo è stato disattivato.
Le patch sono state pubblicate il 26 ottobre 2026. Microsoft ha indicato KB5134133 per Windows 11 nelle versioni 24H2, 25H2 e 26H2, mentre KB5134125 è destinata a Windows 10 nelle versioni 21H2 e 22H2. Non si tratta quindi di una nuova funzione del sistema operativo, ma di un intervento mirato sulla catena di fiducia utilizzata da Windows per riconoscere come attendibili determinati certificati digitali.
Perché le chiavi rappresentavano un rischio
Il problema è nato dalla scoperta di otto chiavi private appartenenti ad autorità di certificazione intermedie di eMudhra. Secondo quanto riportato da TecnoAndroid, tutte erano state generate nell’aprile 2025 e utilizzavano valori inferiori a 256. Il numero estremamente ridotto di combinazioni possibili rendeva possibile recuperarle praticamente all’istante, annullando di fatto la protezione che avrebbe dovuto impedire a soggetti non autorizzati di ricostruirle.
Una chiave privata associata a un’autorità di certificazione può essere utilizzata per creare certificati che sembrano provenire da siti o servizi legittimi. In uno scenario di abuso, questo avrebbe potuto consentire di falsificare l’identità di un sito web e di intercettare comunicazioni cifrate. Il rischio non riguardava quindi soltanto l’ente che aveva generato le chiavi, ma anche i sistemi e gli utenti che si affidavano alla validità dei certificati collegati.
«Otto chiavi private quasi impossibili da proteggere»
Le versioni di Windows coinvolte
Dopo la divulgazione del problema, eMudhra ha revocato gli otto certificati intermedi interessati. La stessa procedura è stata seguita da Mozilla, Google, Apple e da altri produttori di software. Microsoft aveva già modificato la propria Disallowed Certificate Trust List, l’elenco che impedisce a Windows di considerare attendibili determinati certificati, per bloccare le otto autorità intermedie coinvolte.
| Sistema operativo | Versioni indicate | Aggiornamento |
|---|---|---|
| Windows 11 | 24H2, 25H2 e 26H2 | KB5134133 |
| Windows 10 | 21H2 e 22H2 | KB5134125 |
Quando l’intervento è particolarmente importante
Le due correzioni sono pensate in particolare per tre categorie di computer:
- dispositivi che non dispongono di accesso a Internet;
- sistemi che non riescono a raggiungere il servizio Microsoft per l’aggiornamento dei certificati;
- computer sui quali è stato disattivato l’aggiornamento automatico della Certificate Trust List, indicata anche con l’acronimo CTL.
Sui computer che ricevono regolarmente gli aggiornamenti degli elenchi di certificati, il blocco può essere arrivato attraverso i normali meccanismi di gestione della fiducia di Windows. Le patch KB5134133 e KB5134125 sono invece il canale predisposto da Microsoft per i sistemi rimasti fuori da quel flusso automatico. La loro pubblicazione non modifica le versioni di Windows supportate: interviene sulla configurazione dei certificati riconosciuti dal sistema.
La vicenda mostra il ruolo degli elenchi di attendibilità nella navigazione e nelle comunicazioni cifrate. Anche quando un certificato appare formalmente valido, la sua affidabilità può essere ritirata se la chiave privata che lo sostiene è stata compromessa. Per questo Microsoft, insieme agli altri produttori citati da TecnoAndroid, ha aggiornato i propri meccanismi di revoca e di blocco, includendo i certificati eMudhra interessati.
