微软移除eMudhra受影响证书，回应CA私钥泄露风险

2026年10月27日更新：Microsoft 已将七张受影响的证书从 Microsoft Edge 信任列表中移除。我们还补充了更多细节，说明这些密钥为何构成风险，以及为什么各组织在本地恢复信任时应保持谨慎。文中还附有 Microsoft Trusted Root Program 公告的链接。

Microsoft 正在应对一起涉及八个 eMudhra 中间证书颁发机构（CA）私钥的问题：其中六个与 TLS 相关，两个与代码签名相关。由于这些密钥可能被恢复，它们可能被用来创建证书或签署内容，而这些证书或内容看起来像是来自受信任的 CA。该问题出现在 eMudhra 的证书层级体系中；并非 Microsoft 系统遭到入侵。

使用其中任一密钥创建的证书在浏览器和操作系统中都会显得合法，即便 eMudhra 从未授权过它。六个 TLS 密钥可能被用来冒充某个网站或服务，并可能拦截用户的通信。两个代码签名密钥可能被用来让恶意软件看起来像是来自受信任的发布者。及时阻止受影响的证书颁发机构，意味着使用这些密钥创建的证书将不再受信任。

10月20日，Microsoft 发布了 Windows 禁止证书信任列表的更新，以阻止受影响的证书颁发机构。

Microsoft 还为 Microsoft Edge 和 WebView2 部署了单独的 CRLSet 更新，以阻止由受影响证书颁发机构签发的受影响 TLS 证书。Edge 和 WebView2 的更新通过组件更新机制自动分发，客户无需安装新的浏览器版本。

这些防护措施针对的是已确认遭入侵的中间密钥。它们与 eMudhra 吊销受影响的中间证书是两回事。它们也与 Microsoft 关于继续信任哪些根证书的决定是两回事，后者如下文所述。

10月26日，Microsoft 发布了一个带外 Windows 更新，从 Windows 信任列表中移除与受影响层级体系相关的七张证书：六张 eMudhra G3 根证书和一张 AAA Certificate Services 交叉签名证书。

10月27日，Microsoft 从 Microsoft Edge 信任列表中移除了同样的七张证书。

一旦这些更改到达设备，这些证书将不再通过各自的信任列表默认受到信任。从信任列表中移除根证书，与吊销已知受影响的中间证书颁发机构并不是一回事。这是一个单独的信任决定，其范围比阻止已确认遭入侵的中间密钥更广。有特定兼容性需求的各组织可以选择在本地信任某张证书，但须以其自身的安全评估和政策为准。它们不应在未了解相关风险的情况下恢复对受影响层级体系的信任。

对于不能可靠检查吊销状态或 Microsoft 禁止证书列表的软件来说，这一点最为重要。如果这类软件保留或恢复对已移除证书的信任，与遭入侵中间证书相关的证书仍可能被接受为有效。有特定兼容性需求的各组织可以选择在本地信任某张证书，但须以其自身的安全评估和政策为准。在这样做之前，它们应评估自己的应用程序和系统如何执行这些检查。

Microsoft 正在单独评估其余 eMudhra 根证书，并将在受影响客户逐步迁移出这些层级体系的过程中，安排任何进一步更改的顺序。

保持更新持续送达。允许自动 Windows 证书信任更新和 Edge 组件更新到达你的设备。

检查未联网的 Windows 设备。如果你管理的 Windows 设备无法获得自动更新，请确保你的更新流程能够交付更新后的禁止证书信任列表以及即将到来的信任列表更改。详情请参阅 Configure trusted roots and disallowed certificates in Windows | Microsoft Learn。

检查任何运行在虚拟机规模集（VMSS）或单实例 VM 上的未联网 Azure 设备。Azure Marketplace 中已提供更新后的映像，客户可以部署这些映像以防范此漏洞。

替换依赖证书。如果你的任何证书链到正在被移除的七张证书之一，请找出这些依赖关系。然后在更改到达你的设备之前，获取替换证书或替代的受信任链。

受影响的客户可以在 Microsoft Trusted Root Program 2026年10月26日的公告中找到被移除 eMudhra 证书的完整列表及后续步骤。

Microsoft 继续调查此问题的范围，如果额外发现或信任更改对客户有重大影响，将更新本文。