Windows : ces mises à jour hors bande éliminent les certificats de l’autorité eMudhra
Microsoft vient de publier des mises à jour hors bande pour Windows afin de retirer de son magasin de certificats de confiance sept certificats liés à l'autorité eMudhra. Cette mise à jour s'adresse avant tout aux machines isolées. Voici ce qu'il faut savoir.
Pour rappel, j'ai publié la semaine dernière un article à propos des huit clés privées d'eMudhra qui se devinaient en quelques secondes. Ces clés sont celles de huit certificats intermédiaires de l'autorité de certification indienne eMudhra : six servaient à émettre des certificats HTTPS, les deux autres à signer du code. Normalement, une clé privée est un nombre tiré au hasard parmi un nombre astronomique de possibilités. Celles d'eMudhra, générées en avril 2025, étaient comprises entre 1 et 255. Le 17 octobre 2026, un chercheur surnommé Wayne s'en est aperçu : il suffisait de tester ces quelques valeurs pour retrouver les clés, et donc pour émettre des certificats reconnus comme légitimes.
Microsoft avait déjà réagi une première fois le 20 octobre 2026. À ce moment-là, la firme de Redmond a ajouté les huit certificats intermédiaires à la liste des certificats non approuvés de Windows et a poussé une mise à jour CRLSet pour Edge et WebView2 (sans qu'il soit nécessaire d'installer une nouvelle version du navigateur). Dans les faits, ces protections arrivent automatiquement sur les machines Windows... sauf sur les machines qui ne contactent pas le service de mise à jour des certificats de Microsoft.
Sept certificats retirés de la liste de confiance de Windows
Le 26 octobre 2026, Microsoft est allé plus loin. Dans un article publié sur le blog du MSRC, la firme de Redmond a annoncé retirer de la liste de confiance de Windows sept certificats placés au sommet des chaînes de confiance auxquelles appartiennent les huit intermédiaires compromis : six racines G3 d’eMudhra et un certificat de signature croisée AAA Certificate Services. Les mêmes certificats devaient quitter la liste de confiance de Microsoft Edge le 27 octobre.
Pour les postes qui reçoivent normalement ces mises à jour, il n'y a rien à faire. Mais alors, à qui s'adressent les nouvelles mises à jour hors bande publiées par Microsoft ?
Elles visent les environnements déconnectés où les appareils ne peuvent pas joindre le service de Microsoft, et ceux où la mise à jour automatique des CTL a été désactivée. Elles intègrent une liste actualisée des certificats :
Des mises à jour hors bande datées du même jour apparaissent aussi dans l'historique de Windows 11 23H2 (KB5134130), de Windows 11 26H1 (KB5134134), ainsi que dans celui de Windows 10 1809 et Windows Server 2019 (KB5134124).
Attention, la KB5134133 n'est pas proposée via Windows Update : elle se télécharge depuis le catalogue Microsoft Update. C'est à vous de la télécharger et de la pousser sur les machines concernées (c'est-à-dire les machines isolées, par exemple). Il s'agit d'une mise à jour cumulative qui reprend le contenu du Patch Tuesday du 13 octobre (KB5127648).
Et les postes gérés par WSUS ? Tout dépend de leur accès à Internet. Les listes de confiance ne transitent pas par WSUS : chaque machine les télécharge directement depuis ctldl.windowsupdate.com, sous la forme d'un flux Web. Un poste rattaché à WSUS qui peut joindre cette adresse reçoit donc les nouvelles listes seul. Si ce flux est bloqué par le pare-feu ou le proxy, il faut installer la mise à jour hors bande, ou synchroniser les listes sur un partage interne avec la commande certutil -syncWithWU, puis y rediriger les postes par GPO, comme l’explique la documentation de Microsoft.
Retirer une racine, ce n'est pas révoquer un certificat
Microsoft insiste sur la différence entre le blocage des huit certificats intermédiaires compromis, le 20 octobre, et le retrait des sept certificats de la liste de confiance, le 26 octobre.
"Retirer une racine d'une liste de confiance n'est pas la même chose que révoquer les autorités de certification intermédiaires connues comme affectées", précise l'éditeur américain. Il s'agit d'une décision de confiance séparée, plus large que le simple blocage des clés compromises.
Concrètement, tout certificat qui remonte vers l'une de ces sept racines ne sera plus reconnu par défaut, même s'il n'a jamais été émis par les certificats intermédiaires compromis. Microsoft demande donc aux administrateurs d'identifier ces dépendances et d'obtenir des certificats de remplacement, ou une autre chaîne de confiance, avant que le changement n'atteigne leurs machines.
La firme de Redmond rappelle, à juste titre, que vous gardez la main. "Les organisations ayant un besoin spécifique de compatibilité peuvent choisir de faire confiance localement à un certificat, sous réserve de leur propre évaluation de sécurité et de leurs politiques", indique Microsoft.
De son côté, eMudhra ne lance pas de nouvelle racine : l’autorité de certification a cessé d’émettre sous sa racine ECC G3. Et surtout, une décision radicale a été annoncée le 22 octobre : son retrait du marché mondial des certificats SSL/TLS, en gardant ses racines RSA G1 actives le temps que ses clients obtiennent gratuitement un certificat de remplacement auprès de partenaires.
Ajouter IT-Connect à mes
sources préférées
Cofondateur d'IT-Connect et Microsoft MVP "Cloud and Datacenter Management". Mon obsession depuis près de 15 ans ? Rendre l'administration système et la cybersécurité accessibles, que vous soyez junior ou confirmé. Plus qu'un métier, l'IT est pour moi une véritable passion. J’accompagne au quotidien les sysadmins et les professionnels de l’IT dans leur montée en compétences et leur veille technique.