Windows et eMudhra : les postes déconnectés ont aussi besoin des nouvelles listes de confiance

Huit clés intermédiaires, puis sept certificats retirés

La réponse MSRC du 26 octobre décrit huit clés privées d’autorités intermédiaires eMudhra récupérables : six liées à TLS et deux à la signature de code. Elles pouvaient servir à créer des certificats ou signer du contenu paraissant provenir d’une autorité de confiance. Microsoft précise que le problème vient de la hiérarchie eMudhra, pas d’une compromission de ses propres systèmes.

Le blocage des intermédiaires compromis et le retrait des racines sont deux décisions différentes. Microsoft a publié une liste Windows de certificats interdits le 20 octobre. La mise à jour hors cycle du 26 retire ensuite sept certificats de la liste de confiance : six racines eMudhra G3 et une signature croisée AAA Certificate Services. Il ne faut pas confondre ces sept certificats avec les huit clés intermédiaires.

Les appareils sans actualisation de certificats sont la priorité de ces paquets

Les deux KB visent les appareils qui ne reçoivent pas les listes de confiance actuelles : machines déconnectées, service de mise à jour des certificats inaccessible ou actualisation automatique désactivée. Pour un appareil connecté, Microsoft demande de laisser passer les mises à jour de confiance Windows et les mises à jour de composants Edge. La seule installation d’une nouvelle version du navigateur ne prouve pas que toutes les listes du système ont changé.

Ces mises à jour cumulatives sont datées du 26 octobre. Utilisez le bulletin de votre version et de votre édition pour vérifier les prérequis et le canal de distribution. Windows 10 22H2 est présenté dans le cadre ESU : ce tableau n’accorde pas un droit aux mises à jour à une installation qui n’y est pas éligible.

Vérifier les effets sur la maintenance avant l’installation

La révision du 27 octobre de KB5134133 ajoute une réserve importante : un appareil inscrit au hotpatch qui installe ce paquet ne recevra plus de hotpatch avant d’avoir installé la version de référence de janvier 2027. Faites intégrer cet effet au plan de maintenance. N’en déduisez pas que la machine ne doit plus recevoir aucun autre correctif.

Pour les images Windows mises à jour hors ligne, les KB demandent aussi de conserver le fichier boot.stl adapté à la version et à l’architecture ; son absence peut empêcher le démarrage du support d’installation. Laissez la personne qui maintient ces images suivre la procédure du bulletin plutôt que de copier un fichier d’un autre Windows.

Après l’intervention, faites contrôler la mise à jour reçue, les listes effectivement distribuées et les services qui dépendent des certificats retirés. SecuFocus a lu les documents Microsoft ; nous n’avons installé ni ces paquets ni une image Windows pour les tester.

Remplacer une chaîne de confiance, pas contourner l’avertissement

Si votre site ou un service interne utilise une chaîne dépendant de l’un des sept certificats retirés, Microsoft demande de trouver cette dépendance et d’obtenir un certificat de remplacement ou une autre chaîne de confiance. Réinstaller localement une racine uniquement pour faire disparaître une erreur revient à rétablir une confiance que l’éditeur vient de retirer ; cette décision exige une évaluation de sécurité.

Le blocage Edge et WebView2 des intermédiaires TLS passe par une mise à jour de composant CRLSet, sans exiger une nouvelle version du navigateur. MSRC prévoit séparément le retrait des sept certificats de la liste Edge le 27 octobre. Nous ne présentons pas cette date annoncée comme une vérification de réception sur tous les appareils. Firefox et Thunderbird suivent leurs propres mises à jour.

• Firefox : distinguer le correctif du navigateur↗