微軟發布Windows緊急更新，移除eMudhra問題憑證的預設信任

印度數位憑證業者eMudhra日前發生私密金鑰安全問題，微軟於10月26日發布Windows緊急更新，從Windows預設信任清單移除6張eMudhra根憑證及1張相關交叉簽署憑證。

eMudhra有8組中繼CA私密金鑰可從公開憑證還原，其中6組用於TLS憑證、2組用於程式碼簽章，攻擊者可能利用這些金鑰簽發未經授權的網站憑證或簽署惡意軟體。微軟在10月20日已透過Windows不受信任憑證清單（Disallowed CTL）封鎖8組相關CA金鑰，並更新Edge及WebView2的CRLSet元件，封鎖由受影響CA簽發的TLS憑證。部分中繼CA憑證也由Sectigo旗下AAA Certificate Services交叉簽署，這些憑證使用相同的金鑰，因此微軟一併封鎖相關交叉簽署憑證。微軟隨後於10月27日從Edge及WebView2的預設信任清單移除相同的7張憑證。

這次更新可能影響部分使用相關憑證的網站及內部服務。企業除了確認Windows、Edge及WebView2已取得相關更新，也需檢查既有服務的憑證信任鏈。使用無法連接Windows Update的設備、停用憑證信任清單自動更新，或自行管理憑證信任設定的企業，更需確認相關信任清單是否已更新。