还记得前些天那个让全网运维惊掉下巴的“私钥是 4”的 eMudhra 证书乌龙事件吗？
当时，这家印度 CA 机构搞出了 8 个弱到令人发指的中间证书私钥（数值分别是 4、56、66 等，随便写个 for 循环就能破解），逼得全球各大浏览器和操作系统疯狂拉黑。
当时微软的动作是：在 Windows 的“禁止证书信任列表（Disallowed CTL）”里，把这 8 个中间证书加进了黑名单。
但现在，微软觉得光拉黑“中间人”不够保险，决定直接 “刨祖坟” 了。
微软发布“带外更新”，直接扬了根证书
10 月 26 日，微软罕见地发布了带外更新（OOB，Out-of-Band），直接把 eMudhra 的根证书从 Windows 的信任列表里给踢了出去。
赶紧记一下补丁号，拿去抄作业：
- Windows 11（24H2、25H2、26H2）：KB5134133
- Windows 10（21H2、22H2）：KB5134125
这次更新一共移除了 7 个根证书（6 个 eMudhra G3 根证书和 1 个 AAA Certificate Services 交叉签名）。微软的 Edge 浏览器也将在 10 月 27 日同步移除对它们的信任。
为什么专门发个“带外更新”？
很多人可能会问：Windows 不是有自动的证书信任列表（CTL）更新机制吗？为什么还要专门打个补丁？
因为这次的补丁，专门是给那些“断网”的硬核系统准备的。
在大型企业或政府机构里，有大量物理隔离的内网服务器、无法访问外网的工控机，或者被管理员手动禁用了自动 CTL 更新的设备。这些设备收不到微软日常的静默黑名单推送，如果黑客拿着伪造的 eMudhra 证书在内网搞中间人攻击，这些离线系统根本毫无防备。
所以，微软只能靠发“带外补丁”这种最原始、也最稳妥的方式，强行帮这些离线系统“排毒”。
“拉黑中间证书”和“移除根证书”有什么区别？
这里得给大家科普一下微软的“潜台词”。
之前把 8 个中间证书拉黑，相当于**“通缉具体的 8 个罪犯”**。只要这 8 个证书不出现，eMudhra 签发的其他合法证书还能正常用。
但这次把根证书从信任列表里移除，相当于**“直接把 eMudhra 这个门派给除名了”**。
微软在公告里也特意打了个预防针：“这是一个单独的信任决定，比阻止已识别的受入侵中间密钥更广泛。”
翻译一下就是：这次打击面很大，如果你们公司有什么老旧的内部系统、或者特定的第三方软件，非得依赖这几个 eMudhra 的根证书才能跑，那你们自己评估风险，手动在本地组策略里把信任加回来。
给内网管理员的“保命”建议
如果你公司的网络环境比较复杂，或者你手里管着一堆离线服务器，请务必做好以下两件事：
- 赶紧打补丁：把 KB5134133 或 KB5134125 推送到所有无法自动更新 CTL 的离线/内网 Windows 设备上。
- 排查内部业务：立刻用脚本或工具扫一下内网的 HTTPS 服务、代码签名证书、或者内部 API 调用，看看有没有使用 eMudhra（特别是 eMudhra G3 或 AAA Certificate Services）签发的证书。
- 如果有，赶紧联系业务方或 CA 机构替换证书。不然补丁一打，内网服务之间的调用就会疯狂报“证书不受信任”的错误，直接导致业务中断。
擦屁股的行动还在继续
目前，微软表示他们还在调查 eMudhra 剩余的其他根证书，如果发现还有安全隐患，可能还会继续发补丁“拔网线”。
