Windows recibe actualizaciones fuera de ciclo
Microsoft ha publicado actualizaciones fuera de ciclo (OOB) para Windows con el objetivo de eliminar la confianza en los certificados asociados a claves comprometidas de la autoridad certificadora eMudhra. Estas actualizaciones están dirigidas a los equipos que no obtienen de forma automática las revisiones de confianza de certificados.
Las actualizaciones KB5134133, para Windows 11 en sus versiones 24H2, 25H2 y 26H2, y KB5134125, para Windows 10 en las versiones 21H2 y 22H2, se publicaron el 26 de octubre. Están pensadas para sistemas sin acceso a Internet, para dispositivos que no pueden conectarse al servicio de actualización de certificados de Microsoft y para aquellos en los que se han desactivado las actualizaciones automáticas de la Lista de confianza de certificados (CTL).
Claves intermedias débiles descubiertas
La medida se adoptó después de descubrirse ocho claves privadas de autoridades certificadoras intermedias de eMudhra tan débiles que podían recuperarse prácticamente al instante. Las ocho claves se generaron en abril de 2025 y tenían valores inferiores a 256, por lo que cualquiera podía obtenerlas probando únicamente 256 números posibles.
Con esas claves comprometidas, los atacantes habrían podido falsificar certificados de sitios web legítimos e interceptar comunicaciones cifradas. Tras la divulgación, eMudhra revocó los ocho certificados intermedios afectados, y Mozilla, Google, Apple y otros proveedores de software también comenzaron a revocarlos.
Como respuesta, Microsoft ya había actualizado la Lista de certificados no permitidos de Windows para bloquear las ocho autoridades certificadoras intermedias afectadas, seis de ellas destinadas a TLS y dos a la firma de código. La compañía también publicó una actualización de CRLSet para Microsoft Edge y WebView2 que permitía bloquear los certificados TLS afectados sin necesidad de actualizar el navegador.
Retirada de siete certificados de la lista de confianza
Ahora Microsoft va un paso más allá y elimina de su lista de confianza de Windows siete certificados relacionados con las jerarquías afectadas. La empresa explicó que la actualización fuera de ciclo publicada el 26 de octubre retira de la lista de confianza de Windows seis raíces eMudhra G3 y una firma cruzada de AAA Certificate Services.
La nueva actualización amplía así el bloqueo al eliminar también la confianza en los certificados raíz de eMudhra que se usan para verificar otros certificados emitidos por la autoridad certificadora. Microsoft señala que esos mismos siete certificados se retirarán de la lista de confianza de Edge el 27 de octubre.
Eliminar una raíz de una lista de confianza no es lo mismo que revocar las autoridades certificadoras intermedias afectadas conocidas. Se trata de una decisión de confianza distinta y más amplia que el bloqueo de las claves intermedias comprometidas identificadas. Las organizaciones con una necesidad de compatibilidad concreta pueden optar por confiar en un certificado de forma local, siempre que lo sometan a su propia evaluación de seguridad y políticas.
La compañía recomienda a los administradores instalar la actualización en los sistemas Windows desconectados e identificar los certificados que dependan de las raíces retiradas, ya que podrían necesitar ser reemplazados. Microsoft también está investigando las raíces de eMudhra restantes y podría aplicar nuevos cambios de confianza si resulta necesario.
Contexto de seguridad
Un análisis independiente advierte que las puntuaciones globales de prevención pueden ocultar lo que ocurre después del acceso inicial: cuando los atacantes emplean credenciales válidas, la capacidad de prevención cae de forma acusada. El informe Blue Report 2026 evalúa las defensas técnica por técnica en 338 millones de simulaciones realizadas en entornos de producción de clientes.
Deja una respuesta