Microsoft merilis dua pembaruan Windows di luar jadwal rutin pada 26 Oktober 2026 untuk menghapus kepercayaan pada sejumlah sertifikat milik eMudhra, otoritas sertifikat (CA) asal India. Pembaruan ini menyusul temuan bahwa kunci privat delapan sertifikat perantara eMudhra bisa dipulihkan dari sertifikat publiknya.
Apa yang terjadi pada sertifikat eMudhra
Menurut BleepingComputer, peneliti menemukan delapan kunci privat sertifikat perantara eMudhra yang dibuat pada April 2025 dengan nilai begitu lemah sehingga bisa ditebak nyaris seketika. Enam sertifikat dipakai untuk TLS dan dua untuk penandatanganan kode. Microsoft menyatakan kunci itu berpotensi dipakai untuk membuat sertifikat atau menandatangani konten yang tampak berasal dari CA tepercaya. Microsoft menegaskan masalahnya ada pada hierarki sertifikat eMudhra, bukan pada sistem Microsoft. Belum ada nomor CVE untuk kasus ini.
eMudhra sudah mencabut kedelapan sertifikat perantara itu. Mozilla, Google, dan Apple ikut memblokirnya. Microsoft lebih dulu memasukkan sertifikat tersebut ke Daftar Sertifikat Terlarang Windows pada 20 Oktober dan merilis pembaruan CRLSet untuk Edge dan WebView2 tanpa perlu versi peramban baru.
Isi pembaruan 26 Oktober
KB5134133 berlaku untuk Windows 11 versi 24H2, 25H2, dan 26H2, sedangkan KB5134125 untuk Windows 10 versi 21H2 dan 22H2. Keduanya menghapus tujuh sertifikat dari daftar tepercaya Windows: enam akar eMudhra G3 dan satu cross-sign AAA Certificate Services. Langkah ini melangkah lebih jauh daripada pemblokiran sertifikat perantara, karena sertifikat lain yang rantainya bermuara ke akar tersebut juga tidak lagi dipercaya. Microsoft berencana menghapus tujuh sertifikat yang sama dari daftar tepercaya Edge pada 27 Oktober dan masih menilai akar eMudhra lainnya, sehingga perubahan tambahan masih mungkin.
Perangkat yang menerima pembaruan kepercayaan sertifikat secara otomatis lewat layanan Microsoft umumnya tidak perlu berbuat apa-apa. Rilis ini terutama ditujukan bagi perangkat yang terputus dari layanan tersebut atau yang pembaruan otomatisnya dimatikan. The Register menambahkan bahwa rilis ini memuat semua isi pembaruan 13 Oktober, termasuk masalah yang belum selesai seperti gangguan VPN.
Langkah yang perlu diambil administrator
Microsoft meminta administrator memastikan pembaruan kepercayaan sertifikat Windows dan pembaruan komponen Edge bisa sampai ke perangkat. Untuk sistem yang terisolasi dari internet, pasang KB yang sesuai secara manual. Periksa juga sertifikat internal atau mitra yang rantainya bergantung pada tujuh sertifikat yang dicabut, lalu ganti atau pindahkan ke rantai tepercaya lain sebelum perubahan itu sampai ke perangkat Anda. Pengguna di Azure dengan mesin virtual yang terputus perlu memeriksa citra terbaru di Azure Marketplace.
Organisasi yang punya kebutuhan kompatibilitas khusus boleh mempercayai sertifikat tertentu secara lokal. Microsoft mengingatkan agar penilaian risiko dilakukan lebih dulu. Bagi pembaca di Indonesia, dampak langsungnya paling terasa pada perusahaan yang berhubungan dengan mitra atau layanan India yang memakai sertifikat eMudhra. Koneksi ke layanan semacam itu bisa mulai gagal setelah pembaruan terpasang.
Sumber: Microsoft Security Response Center, BleepingComputer, dan The Register. Gambar: BleepingComputer.