Am 26. Oktober 2026 hat Microsoft außerplanmäßige Updates für Windows 10, Windows 11 und Windows Server 2025 veröffentlicht – ein Schritt, der in der Windows-Welt nicht alltäglich ist. Der Anlass ist ernst: Die Vertrauenskette des Betriebssystems musste korrigiert werden, da der indische Zertifizierungsstellen-Anbieter eMudhra kompromittierte Signaturschlüssel offengelegt hatte.
Die Geschichte beginnt mit acht im April 2025 erzeugten intermediären Zertifizierungsstellen-Schlüsseln von eMudhra. Diese waren so schwach, dass sie mit minimalem Aufwand rekonstruiert werden konnten. Sicherheitsforscher fanden heraus, dass die privaten Schlüssel Werte kleiner als 256 hatten – ein Angreifer hätte also nur 256 mögliche Zahlen durchprobieren müssen, um den Schlüssel zu knacken. Mithilfe eines solchen kompromittierten Schlüssels ließen sich gefälschte Zertifikate für legitime Websites erstellen und verschlüsselte Verbindungen abhören.
Nachdem der Vorfall bekannt geworden war, reagierten Mozilla, Google und Apple mit der Sperrung der betroffenen Zertifikate. Microsoft zog nach. Zunächst wurden die acht kompromittierten intermediären Zertifizierungsstellen über die „Windows Disallowed Certificate Trust List” blockiert und für Microsoft Edge sowie WebView2 wurde ein CRLSet-Update bereitgestellt.
Die Out-of-Band-Updates im Überblick
Die am 26. Oktober veröffentlichten Updates gehen einen Schritt weiter: Sie entfernen sieben Zertifikate aus der Windows-Vertrauensliste, die mit den betroffenen Hierarchien in Verbindung stehen, darunter sechs eMudhra-G3-Root-Zertifikate sowie eine AAA-Certificate-Services-Kreuzsignatur.
Diese Updates richten sich nicht an alle Windows-Nutzer, sondern gezielt an Systeme, die nicht automatisch mit aktuellen Zertifikatsvertrauenslisten versorgt werden.
Folgende Pakete wurden bereitgestellt:
Für Windows 11:
- KB5134133 für die Versionen 24H2 (Build 26100.9725), 25H2 (Build 26200.9725) und 26H2 (Build 26300.9725)
- KB5134130 für Version 23H2 (Build 22631.7654), das sich an Enterprise- und Education-Editionen richtet
- KB5134134 für die ARM-Variante von Windows 11 26H1 (Build 28000.3237)
Für Windows 10:
- KB5134125 für die Versionen 21H2 und 22H2 (Builds 19044.7811 und 19045.7811) – allerdings nur für Systeme, die beim erweiterten Sicherheitsupdate-Programm (ESU) registriert sind
Für Windows Server:
- KB5134137: Windows Server 2025
- KB5134140: Windows Server 2022
- KB5134124: Windows Server 2019
- KB513412: Windows Server 2016
Alle diese Updates sind kumulativ und enthalten somit auch die Korrekturen des Sicherheitsupdates vom 13. Oktober 2026. Microsoft stuft sie ausdrücklich als nicht sicherheitsrelevant ein, da der Schwerpunkt ausschließlich auf der Aktualisierung der Zertifikatsvertrauenslisten liegt.
Wer braucht diese Updates wirklich?
Der Großteil der Windows-Nutzer muss nichts unternehmen. Normalerweise ruft Windows die Zertifikatsvertrauensliste (Certificate Trust List, CTL) täglich automatisch über einen Microsoft-Dienst ab. Die Out-of-Band-Updates sind hingegen für drei Gruppen gedacht.
- Geräte in abgeschotteten Netzwerken ohne Internetzugang
- Systeme, die den Microsoft-Zertifikatsaktualisierungsdienst nicht erreichen können (etwa durch Firewall-Beschränkungen)
- Computer, auf denen automatische CTL-Updates deaktiviert wurden
Für diese Systeme ist eine manuelle Installation der Updates über den „Microsoft Update Catalog” erforderlich, da die Pakete nicht über „Windows Update” verteilt werden. Ohne diese Aktualisierung würden die Geräte weiterhin den kompromittierten eMudhra-Zertifikaten vertrauen, was schwerwiegende Folgen für die Sicherheit verschlüsselter Verbindungen haben könnte.
