Microsoft hat am 26. Oktober 2026 außerplanmäßige Aktualisierungen für Windows 10 und Windows 11 bereitgestellt, um das Vertrauen in kompromittierte Schlüssel der Zertifizierungsstelle eMudhra aufzuheben. Im Zuge der Sicherheitsmaßnahme wurden sieben Zertifikate aus der Windows-Vertrauensliste entfernt. Dabei handelt es sich um sechs eMudhra-G3-Root-Zertifikate sowie ein Cross-Sign von AAA Certificate Services.
Details zu den Update-Paketen
Wie das Unternehmen über die Meldung MC1526780 im Microsoft 365 Message Center mitteilte, stehen die Aktualisierungen für verschiedene Server- und Client-Versionen bereit.
Für Server-Umgebungen umfasst dies Windows Server 2016 unter der Kennung KB5134123, Windows Server 2019 unter KB5134124, Windows Server 2022 unter KB5134140 sowie Windows Server 2025 unter KB5134137.
Im Client-Bereich deckt KB5134124 auch Windows 10 LTSC 2019 ab. Das Paket KB5134125 ist für Windows 10 Enterprise LTSC 2021 und IoT Enterprise LTSC 2021 vorgesehen, während es für reguläre Versionen von Windows 10 21H2 und 22H2 ausschließlich Systemen mit erweitertem Sicherheits-Support (ESU) zur Verfügung steht.
Für Windows 11 wurden die Pakete KB5134130 für Version 23H2, KB5134133 für Versionen 24H2, 25H2 und 26H2 sowie KB5134134 für Version 26H1 freigegeben.
Zielgruppe und Einschränkungen der Patches
Wer sich mit aktuellen Sicherheits-Updates befasst, möchte oft auch andere lästige Systemfehler schnell aus der Welt schaffen. Dieser kostenlose Report zeigt Ihnen, wie Sie die häufigsten Windows-11-Probleme ohne teure IT-Hilfe einfach selbst lösen. 5 Windows-11-Fehler sofort selbst beheben
Die manuell zu installierenden Pakete zielen insbesondere auf Umgebungen ohne direkte Internetverbindung, Systeme ohne Anbindung an den automatischen Zertifikatsaktualisierungsdienst oder Installationen, bei denen Aktualisierungen der Zertifikatsvertrauensliste (CTL) über Gruppenrichtlinien deaktiviert wurden. Vernetzte Systeme mit aktiver automatischer Vertrauenslistenaktualisierung haben die Bereinigung in der Regel bereits zuvor bezogen.
Die Nicht-Sicherheits-Updates bringen bekannte Probleme vom 13. Oktober 2026 mit, unter anderem in Bezug auf VPN-Verbindungen, Microsoft Exchange, Smart App Control, Audiowiedergabe und Remotedesktop-Dienste.
Zudem decken die System-Updates nicht alle Einsatzbereiche ab: Zertifikate, die direkt in Applikationen gebündelt sind, Container-Abbilder und Appliances mit eigenem Vertrauensspeicher bleiben davon unberührt. Offline-Systeme und nicht verwaltete Azure-VMs erfordern ein manuelles Einspielen der Listen.
Während Microsoft komplexe Sicherheitslücken schließt, kämpfen viele Anwender im Alltag mit ganz banalen Hürden wie Druckerfehlern oder Update-Problemen. Erfahren Sie in diesem Gratis-Leitfaden von Experten, wie Sie Ihren Rechner ohne Vorkenntnisse wieder stabil zum Laufen bringen. Kostenlosen Windows-11-Ratgeber herunterladen
Microsoft empfiehlt betroffenen Administratoren, entsprechende Zertifikate zu ersetzen. Durch das Entfernen von Stammzertifikaten können untergeordnete Zertifikatsketten ungültig werden. Ein lokales Wiederherstellen des Vertrauens sollte nach Angaben des Herstellers keinesfalls ohne vorherige Analyse des Anwendungsverhaltens geschehen. Microsoft prüft zudem weitere eMudhra-Stammzertifikate.
Hintergrund des Sicherheitsvorfalls
Das Microsoft Security Response Center erläuterte in einer Veröffentlichung, dass insgesamt acht private Schlüssel von Zwischenzertifizierungsstellen (Intermediate-CAs) bei eMudhra kompromittiert worden seien, darunter sechs für TLS-Verbindungen und zwei für Codesignierung. Der Fehler liege in der Zertifikatshierarchie von eMudhra und nicht in der Microsoft-Infrastruktur.
Die Schlüssel waren im April 2025 erzeugt worden und wiesen erhebliche kryptografische Schwächen auf: Laut der indischen Sicherheitsbehörde CERT-In kam zwar P-384 zum Einsatz, die gewählten Werte lagen jedoch unter 256, wodurch die Schlüssel innerhalb von 256 Brute-Force-Versuchen rekonstruiert werden konnten.
eMudhra widerrief die acht Zertifikate am 18. Oktober 2026, nachdem ein unabhängiger Sicherheitsforscher die Lücke am Vortag gemeldet hatte. eMudhra erklärte, die Zwischenzertifizierungsstellen hätten keine Zertifikate ausgestellt, und es lägen keine Belege für ein Datenleck oder eine breite Ausnutzung vor.
Die Browserhersteller Mozilla, Google und Apple übernahmen die Blockade bereits am 18. Oktober 2026. Microsoft selbst sperrte die betroffenen Zwischenzertifikate am 20. Oktober 2026 über die Liste nicht vertrauenswürdiger Zertifikate.
Der Dienst Azure App Service für Windows schloss die Bereinigung am 25. Oktober 2026 ab. Am 27. Oktober 2026 zog auch Microsoft Edge nach und entfernte die sieben Zertifikate per Notfall-CRLSet-Aktualisierung, was zeitgleich WebView2-basierte Programme absichert.