Microsoft ตอบสนองกรณีคีย์ของผู้ออกใบรับรอง eMudhra ถูกเจาะ

Microsoft กำลังรับมือกับปัญหาที่เกี่ยวข้องกับคีย์ส่วนตัว (private key) ของผู้ออกใบรับรองระดับกลาง (Intermediate CA) ของ eMudhra จำนวน 8 ชุด แบ่งเป็นคีย์ที่ใช้กับ TLS 6 ชุด และคีย์สำหรับ Code Signing 2 ชุด เนื่องจากคีย์เหล่านี้สามารถถูกกู้คืนได้ จึงอาจถูกนำไปใช้สร้างใบรับรองหรือลงนามเนื้อหาที่ดูเหมือนมาจากผู้ออกใบรับรองที่เชื่อถือได้ ทั้งนี้ ปัญหาเกิดขึ้นในลำดับชั้นใบรับรองของ eMudhra ไม่ใช่การเจาะระบบของ Microsoft

ทำไมเรื่องนี้จึงสำคัญ

ใบรับรองที่สร้างขึ้นด้วยคีย์เหล่านี้จะดูถูกต้องในสายตาของเบราว์เซอร์และระบบปฏิบัติการ แม้ว่า eMudhra จะไม่เคยอนุญาตให้ออกใบรับรองนั้นเลยก็ตาม

การบล็อกผู้ออกใบรับรองที่ได้รับผลกระทบอย่างรวดเร็ว หมายความว่าใบรับรองที่สร้างจากคีย์เหล่านี้จะไม่ได้รับความเชื่อถืออีกต่อไป

มาตรการป้องกันทันที

เมื่อวันที่ 20 ตุลาคม Microsoft ได้เผยแพร่อัปเดต Windows Disallowed Certificate Trust List เพื่อบล็อกผู้ออกใบรับรองที่ได้รับผลกระทบ

นอกจากนี้ Microsoft ยังปล่อยอัปเดต CRLSet แยกต่างหากสำหรับ Microsoft Edge และ WebView2 เพื่อบล็อกใบรับรอง TLS ที่ลงนามโดยผู้ออกใบรับรองที่ได้รับผลกระทบ อัปเดตสำหรับ Edge และ WebView2 นี้จะถูกส่งให้อัตโนมัติผ่านกลไก component update โดยลูกค้าไม่จำเป็นต้องติดตั้งเบราว์เซอร์เวอร์ชันใหม่

มาตรการป้องกันเหล่านี้มุ่งจัดการกับคีย์ระดับกลางที่ถูกเจาะซึ่งระบุได้แล้ว โดยแยกจากการที่ eMudhra เพิกถอนใบรับรองระดับกลางที่ได้รับผลกระทบ และยังแยกจากการตัดสินใจของ Microsoft ว่าจะยังคงเชื่อถือ root ใดต่อไป ซึ่งอธิบายไว้ด้านล่าง

การถอด Root ออกจากรายการความเชื่อถือของ Windows และ Edge

เมื่อวันที่ 26 ตุลาคม Microsoft ได้ปล่อยอัปเดต Windows แบบนอกรอบ (out-of-band) ที่ถอดใบรับรอง 7 ใบที่เกี่ยวข้องกับลำดับชั้นที่ได้รับผลกระทบออกจากรายการความเชื่อถือของ Windows ได้แก่ eMudhra G3 root 6 ใบ และ AAA Certificate Services cross-sign 1 ใบ

เมื่อวันที่ 27 ตุลาคม Microsoft ได้ถอดใบรับรองทั้ง 7 ใบเดียวกันนี้ออกจากรายการความเชื่อถือของ Microsoft Edge

เมื่อการเปลี่ยนแปลงไปถึงอุปกรณ์แล้ว ใบรับรองเหล่านี้จะไม่ได้รับความเชื่อถือโดยค่าเริ่มต้นผ่านรายการความเชื่อถือนั้น ๆ อีกต่อไป การถอด root ออกจากรายการความเชื่อถือไม่เหมือนกับการเพิกถอนผู้ออกใบรับรองระดับกลางที่ทราบว่าได้รับผลกระทบ แต่เป็นการตัดสินใจด้านความเชื่อถือแยกต่างหากที่กว้างกว่าการบล็อกคีย์ระดับกลางที่ถูกเจาะซึ่งระบุได้แล้ว องค์กรที่มีความจำเป็นด้านความเข้ากันได้โดยเฉพาะอาจเลือกเชื่อถือใบรับรองแบบโลคัลได้ ภายใต้การประเมินด้านความปลอดภัยและนโยบายขององค์กรเอง แต่ไม่ควรคืนความเชื่อถือให้ลำดับชั้นที่ได้รับผลกระทบโดยไม่เข้าใจความเสี่ยงที่เกี่ยวข้อง

Microsoft กำลังประเมิน root ที่เหลือของ eMudhra แยกต่างหาก และจะจัดลำดับการเปลี่ยนแปลงเพิ่มเติมตามที่ลูกค้าที่ได้รับผลกระทบย้ายออกจากลำดับชั้นเหล่านั้น

สิ่งที่ลูกค้าควรทำ

• ปล่อยให้อัปเดตทำงานต่อเนื่อง — อนุญาตให้อัปเดตความเชื่อถือใบรับรองของ Windows และอัปเดต component ของ Edge ส่งถึงอุปกรณ์ของคุณโดยอัตโนมัติ
• ตรวจสอบอุปกรณ์ Windows ที่ไม่ได้เชื่อมต่อ — หากคุณดูแลอุปกรณ์ Windows ที่ไม่ได้รับอัปเดตอัตโนมัติ ให้ตรวจสอบว่ากระบวนการอัปเดตของคุณส่ง Disallowed Certificate Trust List ฉบับอัปเดตและการเปลี่ยนแปลงรายการความเชื่อถือที่กำลังจะมาถึงไปยังอุปกรณ์ ดูรายละเอียดได้ที่ Configure trusted roots and disallowed certificates in Windows | Microsoft Learn
• ตรวจสอบอุปกรณ์ Azure ที่ไม่ได้เชื่อมต่อ — ทบทวนอุปกรณ์ที่ทำงานบน Virtual Machine Scale Sets (VMSS) หรือ VM แบบอินสแตนซ์เดียว ปัจจุบันมีอิมเมจที่อัปเดตแล้วใน Azure Marketplace ซึ่งลูกค้าสามารถนำไปติดตั้งเพื่อป้องกันช่องโหว่นี้ได้
• เปลี่ยนใบรับรองที่พึ่งพาอยู่ — หากใบรับรองใดของคุณเชื่อมโยง (chain) ไปยังใบรับรอง 7 ใบที่กำลังถูกถอดออก ให้ค้นหาการพึ่งพาเหล่านั้น แล้วขอใบรับรองทดแทนหรือ chain ที่เชื่อถือได้ทางเลือกก่อนที่การเปลี่ยนแปลงจะไปถึงอุปกรณ์ของคุณ

ลูกค้าที่ได้รับผลกระทบสามารถดูรายการใบรับรอง eMudhra ที่ถูกถอดออกทั้งหมดและขั้นตอนถัดไปได้ในประกาศวันที่ 26 ตุลาคม 2026ของ Microsoft Trusted Root Program

แหล่งที่มา:
https://www.microsoft.com/en-us/msrc/blog/2026/10/microsoft-response-to-compromised-emudhra-certificate-authority-keys