Kısaca: Microsoft, zayıf üretilmiş özel anahtarları (dijital imzaları atmakta kullanılan gizli şifre) ortaya çıkan eMudhra sertifika otoritesine karşı yeni Windows güncellemeleri yayımladı. Güncellemeler, otomatik sertifika güncellemesi alamayan sistemleri korumak için hazırlandı.
Ne oldu?
- Microsoft, 26 Ekim’de Windows 11 (24H2, 25H2, 26H2) için KB5134133, Windows 10 (21H2, 22H2) için KB5134125 numaralı acil (planlı takvim dışı) güncellemeleri yayımladı.
- Güncellemeler; internete bağlı olmayan, Microsoft’un sertifika güncelleme hizmetine ulaşamayan veya otomatik Sertifika Güven Listesi (CTL, Windows’un güvendiği kuruluşların listesi) güncellemesi kapatılmış cihazlar için.
- Sorunun kaynağı, eMudhra’nın sekiz ara sertifika otoritesi özel anahtarının çok zayıf olması. Anahtarlar Nisan 2025’te üretilmiş ve değerleri 256’dan küçük olduğu için yalnızca 256 olasılık denenerek neredeyse anında bulunabiliyor.
- eMudhra bu sekiz ara sertifikayı iptal etti. Mozilla, Google, Apple ve diğer yazılım üreticileri de iptale başladı.
- Microsoft daha önce bu sekiz sertifikayı (altısı TLS, yani web sitesi şifrelemesi; ikisi kod imzalama için) engellemişti. Şimdi ise altı eMudhra G3 kök sertifikasını ve bir AAA Certificate Services çapraz imzasını Windows güven listesinden çıkardı.
- Aynı yedi sertifika 27 Ekim’de Edge güven listesinden de çıkarılacak.
Neden önemli?
- Microsoft’a göre bu anahtarlar, saldırganların meşru web siteleri için sahte sertifika üretip şifreli iletişimi dinlemesine imkân verebilirdi.
- Kök sertifikayı listeden çıkarmak, iptal etmekten farklı ve daha geniş bir güven kararı. Bu nedenle eMudhra’ya bağlı bazı sertifikalar çalışmayı bırakabilir.
Ne yapmalısın?
- Ev kullanıcısıysan ve Windows Update açıksa genellikle bir şey yapman gerekmez; güncellemeleri kontrol edip yüklemen yeterli.
- İnternetsiz veya kapalı ağdaki Windows sistemlerini yönetiyorsan, ilgili güncellemeyi (KB5134133 veya KB5134125) elle yükle.
- Kurumsal yöneticiysen, kaldırılan köklere bağlı sertifikaları tespit et; gerekirse yenileriyle değiştir.
- Belirli bir uyumluluk ihtiyacın varsa Microsoft, sertifikaya yerelde güvenmeyi kendi güvenlik değerlendirmene göre seçebileceğini belirtiyor.
Microsoft, kalan eMudhra köklerini de inceliyor ve gerekirse yeni güven değişiklikleri yapabileceğini söylüyor.
Kaynak: BleepingComputer, 27 Ekim. Kontrol tarihi: 28 Ekim 2026.
Sen ne düşünüyorsun? Aşağıya yaz.