Microsoft ha pubblicato una serie di aggiornamenti out-of-band destinati a Windows 11 e Windows 10 per eliminare dai sistemi i certificati TLS di eMudhra, risultati compromessi. La mossa arriva dopo che un ricercatore di sicurezza ha individuato otto chiavi private deboli — identificate con i numeri 4, 56, 66, 115, 155, 156, 230 e 237 — usate dall'autorità di certificazione per generare altrettanti certificati. Il problema riguarda in particolare i dispositivi che non ricevono in automatico l'elenco aggiornato delle Certificate Trust List.
Chiavi fragili, rischi concreti
Le conseguenze sono tutt'altro che teoriche. Un certificato creato con una di queste chiavi verrebbe considerato legittimo da browser e sistemi operativi, anche se non è stato emesso realmente da eMudhra. Le sei chiavi TLS potrebbero essere sfruttate per impersonare un sito o un servizio e intercettare le comunicazioni degli utenti. Le due chiavi per la firma del codice, invece, permetterebbero di far apparire un software infetto come proveniente da uno sviluppatore attendibile, aprendo la strada a campagne di malware insospettabili.
Microsoft era già intervenuta tempestivamente aggiornando la Windows Disallowed Certificate Trust List e distribuendo un CRLSet separato per Microsoft Edge e WebView2, installato in automatico senza richiedere una nuova versione del browser. Restano però scoperti gli ambienti in cui la revoca non scatta, soprattutto contesti aziendali con macchine non connesse a Internet o con gli aggiornamenti automatici della CTL disattivati.
Le patch da installare
Per colmare questa lacuna sono stati rilasciati update cumulativi che rimuovono i certificati di eMudhra dalla Windows Trust List. Gli utenti su Windows 11 26H2, 25H2 e 24H2 devono installare KB5134133; per la versione 23H2 è disponibile KB5134130. Microsoft ha pubblicato anche KB5134125 per Windows 10 22H2 e 21H2. Attenzione: questi pacchetti non arrivano tramite Windows Update.
Chi è interessato deve scaricarli manualmente dal Microsoft Update Catalog, verificando con cura la versione del sistema operativo e l'architettura del processore, x64 o arm64. Un passaggio da non sottovalutare, perché trascurare l'aggiornamento lascia il dispositivo esposto a certificati ormai inaffidabili ma ancora accettati come validi.
