Am 26. Oktober 2026 hat Microsoft außerplanmäßige Sicherheitsupdates bereitgestellt, die das Vertrauen in kompromittierte Schlüssel der Zertifizierungsstelle eMudhra aufheben.
Wie Medien am 27. Oktober 2026 berichteten, richten sich die Aktualisierungen gezielt an Umgebungen ohne Internetzugang, Systeme ohne Verbindung zum Zertifikat-Update-Dienst von Microsoft sowie Rechner mit deaktivierten automatischen Aktualisierungen der Zertifikatsvertrauensliste. Reguläre Windows-Nutzer mit aktivierten automatischen Updates für Vertrauenslisten benötigen die gesonderten Pakete nach Angaben des Konzerns nicht.
Die außerplanmäßigen Patches entfernen insgesamt 7 Zertifikate aus der Windows-Vertrauensliste: 6 eMudhra-G3-Roots sowie 1 AAA-Certificate-Services-Cross-Sign. Für neuere Versionen veröffentlichte Microsoft unter anderem KB5134133 für Windows 11 24H2 (Build 26100.9725), 25H2 (Build 26200.9725) und 26H2 (Build 26300.9725).
Zudem erschien KB5134134 für Windows 11 26H1 (Build 28000.3237) und KB5134130 für die Version 23H2 (Build 22631.7654). Für ältere Systeme steht KB5134125 für Windows 10 21H2 (Build 19044.7811) und Windows 10 22H2 (Build 19045.7811) bereit; dieses Paket gilt für die Editionen ESU, Enterprise LTSC 2021 sowie IoT Enterprise LTSC 2021.
Enthaltene Änderungen und bekannte Probleme
Die bereitgestellten Pakete bündeln alle Änderungen des Updates vom 13. Oktober 2026 (KB5127648). Damit übernehmen die Systeme jedoch auch die darin noch ungelösten bekannten Probleme. Berichten zufolge zählen dazu Störungen bei VPN-Diensten, potenzielle Ausfälle bei lokalen Exchange-Servern sowie Beeinträchtigungen bei Smart App Control, der Audioausgabe und Remote-Desktop-Verbindungen für Konten ohne Administratorrechte.
Solche fehlerhaften Updates und Systemprobleme unter Windows 11 lassen sich oft ohne teure IT-Hilfe beheben. Dieser kostenlose Report zeigt Ihnen Schritt für Schritt, wie Sie die häufigsten Fehler in wenigen Minuten selbst lösen können. Erste Hilfe für Windows 11 kostenlos herunterladen
Schwache Schlüssel ermöglichten Angriffe in Sekunden
Anlass für die Maßnahme ist eine gravierende Schwachstelle bei eMudhra: Die im April 2025 erzeugten privaten Schlüssel von 8 Zwischenzertifizierungsstellen (6 für TLS, 2 für Code-Signing) wiesen Werte von unter 256 auf. Dadurch ließen sie sich innerhalb von Sekunden per Brute-Force-Verfahren berechnen.
Angreifer waren dadurch potenziell in der Lage, gefälschte Zertifikate auszustellen und sich als vertrauenswürdige Websites oder Softwareanwendungen auszugeben.
Dem Microsoft Security Response Center zufolge entstand das Problem unmittelbar in der Zertifikatshierarchie von eMudhra und nicht durch einen Sicherheitsvorfall auf Microsoft-Systemen. Microsoft stuft die Entwicklung entsprechend als Drittproblem ein. eMudhra widerrief die 8 betroffenen Zertifikate, woraufhin auch Apple, Google und Mozilla entsprechende Schritte einleiteten.
Microsoft selbst hatte die 8 Zwischenzertifizierungsstellen bereits am 20. Oktober 2026 über die Liste nicht vertrauenswürdiger Zertifikate gesperrt und eine Aktualisierung der CRLSet für Edge und WebView2 bereitgestellt.
Wer sich mit der Sicherheit seines Betriebssystems befasst, sollte auch die grundlegenden Schutzmaßnahmen gegen Spionage und Cyberangriffe kennen. Erfahren Sie in diesem kostenlosen Ratgeber, wie Sie Ihren Windows-PC effektiv gegen unsichtbare Bedrohungen absichern. Gratis Anti-Virus-Paket jetzt sichern
Geplante Schritte und Handlungsbedarf für IT-Abteilungen
Für den Webbrowser Microsoft Edge plant das Unternehmen die gleiche Entfernung der 7 Zertifikate. Parallel dazu prüft Microsoft weitere Roots von eMudhra; eine Bewertung der verbleibenden Stammzertifikate dauert derzeit noch an.
Microsoft empfiehlt Administratoren, automatische Updates für Zertifikate und Browser im Regelbetrieb zuzulassen. Isolierte Offline-Rechner oder Umgebungen mit manueller Zertifikatsverwaltung müssen hingegen von Hand auf den aktuellen Stand gebracht werden.
Unternehmen sollten bestehende Zertifikatsketten überprüfen und bei Bedarf Ersatz beschaffen. IT-Verantwortliche sind zudem angehalten, die außerplanmäßigen Patches vor einem flächendeckenden Rollout in ihren Umgebungen zu testen.
Mehr zum Thema bei BleepingComputer: „Microsoft releases Windows OOB updates to distrust eMudhra certificates“