Claves que se rompen en 256 intentos: Microsoft retira de urgencia la confianza a eMudhra
El bloqueo inicial de ocho claves comprometidas no fue suficiente.
Microsoft lanzó con urgencia actualizaciones de Windows tras el hallazgo de ocho claves criptográficas que se podían obtener en apenas 256 intentos. El problema afectó a la autoridad certificadora eMudhra y permitía potencialmente emitir certificados falsos como si fueran legítimos.
Las claves vulnerables pertenecían a autoridades certificadoras intermedias de eMudhra. Seis se usaban para certificados TLS que protegen conexiones a sitios web y dos estaban destinadas a la firma digital de software. Las ocho claves se generaron en abril de 2025 y sus valores resultaron ser inferiores a 256. La búsqueda entre tan pocas variantes prácticamente no requiere recursos computacionales.
Con esas claves, un atacante podía emitir certificados en nombre de una autoridad confiable. Según la finalidad de la clave, quedaban en riesgo la autenticidad de sitios web y la confianza en archivos firmados. En condiciones adecuadas, un certificado falso podría facilitar la interceptación de tráfico cifrado. Microsoft no informó de una intrusión en sus propios sistemas.
La primera mitigación se aplicó ya el 20 de octubre, al agregar las ocho autoridades intermedias afectadas a la lista de certificados no confiables de Windows. Para Edge y WebView2 se actualizó por separado el CRLSet, de modo que los componentes del navegador bloquearan los certificados TLS peligrosos sin necesidad de instalar una nueva versión del navegador. La propia eMudhra también revocó las ocho autoridades intermedias problemáticas.
El 26 de octubre Microsoft fue más allá y eliminó de la lista de entidades confiables siete certificados relacionados con las cadenas afectadas. Entre ellos había seis certificados raíz eMudhra G3 y un certificado cruzado de AAA Certificate Services. El retiro de la confianza en la raíz afecta a un conjunto más amplio de certificados que el bloqueo de las ocho claves débiles conocidas. Para Edge se programó un cambio equivalente el 27 de octubre.
Los paquetes fuera de ciclo son necesarios principalmente para equipos que no reciben actualizaciones automáticas de listas de confianza. Se trata de redes aisladas, dispositivos sin acceso al servicio de certificados de Microsoft y sistemas con la actualización CTL desactivada. Para los equipos conectados habituales, los cambios se distribuyen mediante el mecanismo estándar, por lo que generalmente no se requiere una instalación manual aparte.
Para Windows 11 versiones 24H2, 25H2 y 26H2 salió KB5134133; para 23H2 se publicó KB5134130; y para 26H1 se preparó KB5134134. Windows 10 versión 22H2 y Enterprise LTSC 2021 recibieron KB5134125. Hay paquetes específicos para Windows Server 2016, 2019, 2022 y 2025. Microsoft los colocó en el catálogo de actualizaciones para administradores.
En su aclaración oficial, Microsoft recomienda revisar las máquinas aisladas y localizar certificados cuyas cadenas conduzcan a raíces que se han excluido. Los propietarios de esos certificados podrían necesitar reemitirlos o usar otra cadena de confianza válida. La empresa continúa examinando las raíces restantes de eMudhra y admite posibles cambios adicionales. Restaurar la confianza manualmente sin evaluar los riesgos es peligroso.