Microsoft amplia retirada de confiança em certificados da eMudhra no Windows e Edge

Sete certificados e oito chaves são medidas diferentes

O incidente envolve oito chaves de autoridades intermediárias: seis usadas em conexões TLS e duas em assinatura de código. Segundo a Microsoft, elas poderiam permitir certificados falsos ou software que parecesse vir de um emissor confiável.

A retirada de confiança alcança seis raízes G3 da eMudhra e um certificado de assinatura cruzada da AAA Certificate Services. Essa decisão é mais ampla que bloquear as intermediárias comprometidas, ação já adotada em 20 de outubro. O comunicado não relata comprometimento dos sistemas da Microsoft.

Fontes desta seção: [1] [4]

Por que há uma atualização extra do Windows

Os pacotes de 26 de outubro atendem equipamentos que não recebem as listas automáticas de confiança: PCs desconectados, sem acesso ao serviço de certificados ou com a atualização dessas listas desativada.

A KB5134133 cobre Windows 11 24H2, 25H2 e 26H2. A KB5134125 contempla Windows 10 22H2 no ESU e 21H2 nas edições LTSC indicadas pela Microsoft. As páginas classificam os pacotes como atualizações cumulativas fora do ciclo regular, do tipo não relacionado à segurança. O efeito sobre a confiança em certificados continua relevante para a proteção das conexões.

Fontes desta seção: [2] [3] [4]

Há uma ressalva para Hotpatch

Na nota atualizada em 27 de outubro, a Microsoft avisa que dispositivos inscritos no Hotpatch que instalarem a KB5134133 deixam de receber essas atualizações até instalar a atualização-base de janeiro de 2027. Administradores precisam considerar essa condição no planejamento.

Fontes desta seção: [2]

Olhar do Garimpanda

Nossa interpretação é que o ponto prático está em conferir como cada computador recebe a lista de certificados, especialmente em redes isoladas. Para organizações, localizar serviços que dependem das raízes removidas e substituir seus certificados ajuda a evitar interrupções. Restaurar confiança local sem avaliar a dependência pode reabrir o risco descrito pela fabricante. O Garimpanda não testou os pacotes.