Microsoft ha rilasciato un aggiornamento straordinario per il sistema operativo Windows, focalizzandosi sull’aggiornamento della lista di fiducia dei certificati (CTL) e non su una riparazione d’emergenza per recenti malfunzionamenti. Questa nuova patch si applica alle versioni di Windows supportate, tra cui Windows 11, Windows Server 2025 e Windows 10.
Il rilascio, etichettato come non critico, è progettato per aggiornare la lista di fiducia dei certificati attuale sui dispositivi che non possono accedere al servizio di aggiornamento dei certificati di Microsoft o dove sono disattivati gli aggiornamenti automatici.
In aggiunta, il pacchetto contiene tutte le correzioni dell’aggiornamento del 13 ottobre, che include problemi noti relativi a VPN e modifiche che potrebbero causare problemi ai server Exchange locali. Inoltre, notorietà di problemi insoliti con Smart App Control, audio e connessioni Remote Desktop per utenti non amministratori sono anch’essi riscontrabili.
È importante notare che questo aggiornamento non risolve i problemi precedentemente segnalati, quindi è bene tenerne conto prima dell’installazione.
Molti dispositivi potrebbero non necessitare di questo aggiornamento, poiché le attuali liste di fiducia dei certificati vengono normalmente ricevute tramite il servizio di aggiornamento standard. Tuttavia, per i dispositivi che non possono usufruire di tale servizio, l’installazione di questa patch straordinaria potrebbe rivelarsi utile, considerando i problemi che possono sorgere nella verifica dei certificati utilizzati da applicazioni o siti web.
Questa patch è stata rilasciata in seguito alla risposta di Microsoft all’intrusione nei certificati dell’autorità di certificazione indiana eMudhra. Le chiavi private di questa autorità sono state compromesse all’inizio del mese, richiedendo operazioni di pulizia substantiali. Microsoft ha dichiarato che “queste chiavi potrebbero essere utilizzate per creare certificati o firmare contenuti che sembrassero provenire da un’autorità di certificazione fidata”.
Allo stesso modo di altre organizzazioni, Microsoft ha prontamente bloccato le autorità di certificazione compromesse, aggiornando la sua lista di certificati disabilitati di Windows per escludere quelli compromessi. Un ulteriore rilascio di CRLSet è stato effettuato per Edge e WebView2.
In base a quanto comunicato dalla società, “il 26 ottobre Microsoft ha rilasciato un aggiornamento straordinario per Windows che rimuove sette certificati associati alle gerarchie compromesse: sei radici eMudhra G3 e un certificato di cross-sign di AAA Certificate Services.” In passato, gli aggiornamenti straordinari di Microsoft sono stati emessi in seguito a malfunzionamenti gravi, ma questa volta sono stati motivati dalla necessità di fornire un aggiornamento CTL ai dispositivi che non hanno accesso agli aggiornamenti CTL standard.
