Microsoft 於二零二六年十月二十六日經安全應變中心（MSRC）說明：因 eMudhra 證書體系中八把中級憑證機構私鑰可被復原，Windows 已以頻外更新從不信任清單以外的信任根層面移除七張相關憑證，並計劃於十月二十七日自 Microsoft Edge 信任清單同步移除；來源真實性已對照 MSRC 官方說明與 Windows 支援文件核實。企業若仍依賴相關鏈路簽發的伺服器或程式碼簽章憑證，需盡快改簽並確保離線裝置收到信任清單更新。
Microsoft／MSRC：發佈 Windows 頻外更新移除七張 eMudhra 相關根憑證——Edge 十月二十七日跟進；涉八把可復原中級 CA 私鑰
二零二六年十月二十六日，Microsoft 安全應變中心（MSRC）公開說明，公司正回應 eMudhra 證書層級內八把中級憑證機構（CA）私鑰可被復原的問題：其中六把與 TLS 相關、兩把與程式碼簽章相關。MSRC 強調問題源於 eMudhra 自身證書體系，並非 Microsoft 系統遭入侵。同日，Windows 以非安全性頻外（OOB）更新，從不信任清單之外的「信任根」層面移除七張與受影響層級相關的憑證；並計劃於十月二十七日（星期二）自 Microsoft Edge 信任清單移除相同七張。本文已核對 MSRC 原文與 Windows 11 支援頁（KB5134133）等公開文件，來源真實性已驗證。
一、核心事件：從不信任清單到移除根憑證
技術細節
MSRC 指出，受影響的中級 CA 私鑰「可被復原」，意味攻擊者有機會偽造看似由受信任 CA 簽發的證書，或簽署看似來自受信任來源的內容。十月二十日，Microsoft 已先更新 Windows Disallowed Certificate Trust List（禁止信任清單），封鎖受影響的憑證機構；同時為 Microsoft Edge 與 WebView2 部署 CRLSet 更新，阻擋由受影響 CA 簽發的 TLS 憑證，且可經元件更新機制自動送達，無須用戶另行安裝新版瀏覽器。
十月二十六日的動作層級更高：頻外 Windows 更新把七張與受影響層級相關的憑證——六張 eMudhra G3 根憑證，以及一張 AAA Certificate Services 交叉簽署——自 Windows 信任清單移除。MSRC 特別釐清：自信任清單移除根憑證，並不等同於撤銷已知受影響的中級 CA；這是更廣的信任決策，涵蓋範圍大於僅封鎖已識別的受損中級金鑰。組織若有特定相容需求，可在自行風險評估後於本機重新信任，但不宜在未理解風險前還原受影響層級的信任。
Microsoft 並表示，其餘 eMudhra 根憑證將另行評估，並會隨客戶遷移進度安排後續調整。Windows 11 版本 24H2、25H2、26H2 的相關頻外更新為 KB5134133（累積套件，內含更新後的信任根承載）；Windows 10 等版本亦有對應 OOB 套件（例如 KB5134125）。支援文件說明：此類更新主要服務於無法取得 Microsoft 憑證更新服務、或已停用自動 CTL 更新的離線／隔離環境裝置。
二、技術原理深度解析
公開金鑰基礎建設（PKI）依賴「根憑證 → 中級 CA → 葉憑證」的信任鏈。作業系統與瀏覽器維護信任清單（哪些根可信任）與禁止清單（哪些憑證／CA 必須拒絕）。當中級 CA 私鑰強度不足或可被復原時，攻擊者可在該 CA 仍被視為有效的期間，簽發偽裝成合法網站或合法軟體的葉憑證。
第一層防護是「禁止清單」：即使根仍受信任，也可點名封鎖特定中級或葉憑證。第二層是「撤銷」：由 CA 本身宣告證書失效。第三層——亦即本次 OOB 的重點——是直接從信任清單拿掉相關根或交叉簽署：之後凡僅依賴該根路徑的證書，預設不再被系統接受。MSRC 把十月二十日的禁止清單／CRLSet 與十月二十六至二十七日的根移除分開陳述，正是要避免管理員誤以為「已封鎖中級」就等於「整條層級已不可用」。
對企業而言，離線網域、氣隙主機、或關閉自動 CTL 的映像，往往跟不上雲端自動推送的禁止清單；累積式 OOB 把更新後的信任根承載打進系統映像，正是補這條縫。Azure 上未連線的 VM／Virtual Machine Scale Sets，MSRC 亦提示可改用 Marketplace 已更新映像。
四、日常應用場景
1. 開發者與技術團隊
檢查 CI／CD、程式碼簽章、內部套件來源與測試環境是否仍依賴即將不被信任的 eMudhra 相關鏈路；若有，應在裝置套用信任清單變更前完成改簽與管道驗證，避免建置或部署突然因證書驗證失敗而中斷。
2. 企業與隱私敏感行業
金融、醫療、政府與受規管行業常有離線或高隔離 Windows 機隊。應確認更新流程會送達更新後的 Disallowed CTL 與本次信任清單變更，盤點仍鏈結至被移除七張憑證的伺服器證書與內部 PKI，並規劃替代受信任鏈。允許自動 Windows 憑證信任更新與 Edge 元件更新，可降低人工漏網風險。
3. 一般用戶
連網且維持自動更新的 Windows 與 Edge 裝置，通常會經既有機制收到禁止清單與 CRLSet；本次 OOB 對「無法自動取 CTL」的裝置尤其關鍵。若瀏覽或安裝軟體時突然出現證書錯誤，應優先確認網站或軟體發行者是否已改用其他受信任 CA，而非手動還原舊根。
4. 香港與亞洲市場視角
香港企業大量採用 Windows 伺服器、Microsoft 365 與 Edge，亦常見以虛擬桌面、專用伺服器承載客戶資料。eMudhra 在印度數位簽章與部分全球 SSL 場景有歷史足跡；即使個別司法區業務不受影響，只要證書鏈仍指向被移除的根或交叉簽署，跨境網站、API 閘道與員工筆電驗證都可能在信任清單生效後失敗。本地 MSP 與雲端維運團隊宜把「憑證供應商轉移」納入十月底變更窗口。
五、專業評價與潛在考量
優勢
- 分層回應清晰：先禁止清單與瀏覽器 CRLSet，再擴大至根信任移除，並公開說明與「撤銷中級」的差異。
- 為離線／停用自動 CTL 的裝置提供可安裝的累積 OOB，補上自動更新覆蓋不到的缺口。
- 同步規劃 Edge 信任清單，縮短瀏覽器與作業系統信任狀態分歧的窗口。
需要留意的地方
- 移除根是更廣決策，可能波及並非由那八把受損中級金鑰直接簽發、但仍掛在相關層級下的合法證書；相容性評估與改簽時程必須並行。
- 其餘 eMudhra 根仍在評估中，後續或有進一步信任變更，企業應持續追蹤 MSRC 更新，避免一次遷移後又再搬一次。
- 手動在本機還原信任等於自行承擔偽簽風險，不應作為預設應急手段。
結語
eMudhra 中級 CA 私鑰可復原事件，已由「封鎖受影響中級」升級為 Microsoft 在 Windows 與 Edge 信任清單層面移除七張相關憑證。對香港與亞洲的 Windows 機隊、離線映像與仍使用相關證書鏈的網站營運者來說，重點不是等待下一個例行 Patch Tuesday，而是確認 CTL／OOB 已送達，並完成依賴盤點與改簽。若需要在雲端遷移、零信任與主機防護上補強變更窗口內的暴露面，可參考 YSK Limited 的雲端遷移與網絡安全服務（https://ysk.hk/services/cloud-security）。
參考來源
- https://www.microsoft.com/en-us/msrc/blog/2026/10/microsoft-response-to-compromised-emudhra-certificate-authority-keys （Microsoft MSRC 官方，二零二六年十月二十六日）
- https://support.microsoft.com/en-us/servicing/os/windows-11/2026/10/kb5134133-windows-11-24h2-25h2-26h2-update （Windows 11 KB5134133 頻外更新說明）
- https://support.microsoft.com/en-us/servicing/os/windows-10/2026/10/kb5134125-windows-10-21h2-22h2-update （Windows 10 KB5134125 頻外更新說明）
- https://www.bleepingcomputer.com/news/microsoft/microsoft-releases-windows-oob-updates-to-distrust-emudhra-certificates/ （BleepingComputer 報導，發現用）