תעודות eMudhra שנפרצו: מה כדאי לבדוק בסביבת Microsoft 365 שלכם

מה קרה

eMudhra, רשות להנפקת תעודות (certificate authority) ששורשיה מהימנים על Microsoft, Apple, Google ו-Mozilla, יצרה באפריל 2025 שמונה תעודות ביניים באמצעות סקריפט פגום. המפתחות הפרטיים שלהן חלשים כל כך שאפשר לשחזר אותם מהתעודות הציבוריות בפחות משנייה. חוקר הוכיח זאת ב-17 באוקטובר 2026 בכך שחתם הודעה בעזרת כל אחד מהמפתחות.

שש מהתעודות יכולות להנפיק תעודות לאתרים (TLS), כלומר תוקף יכול להתחזות לכל אתר.
שתיים יכולות להנפיק תעודות לחתימת קוד (code-signing).
eMudhra מסרה שרק אחת מהן הגיעה לסביבת production, ושאף אחת מהן לא הנפיקה תעודות ללקוחות. לא ידוע אם מישהו שחזר את המפתחות לפני שהפגם דווח. לא אושרה אף תקיפה.

eMudhra ביטלה את התעודות. Mozilla הסירה את האמון בשורש של eMudhra שחתם עליהן, ו-Google אמרה שתעשה זאת גם ב-Chrome.

מי בסיכון

תאריך (2026)	נחסם על ידי
17 באוקטובר	Firefox ו-Chrome
20 באוקטובר	Microsoft (עדכון רשימת האמון של התעודות ב-Windows)
22 באוקטובר	Apple
בהפצה הדרגתית	Android, דרך עדכוני Google Play services

דפדפנים מודרניים היו מוגנים היטב גם קודם, כי הם דורשים שכל תעודה תפורסם ביומנים ציבוריים, והתעודות האלה מעולם לא הונפקו. הסיכון נמצא בעיקר ב:

מכשירים שלא קיבלו את העדכון, למשל Mac, iPhone או טלפון Android ישנים.
אפליקציות וכלים ששומרים רשימה משלהם של תעודות מהימנות ולא בודקים את היומנים האלה: שרתי Linux, Python, Node.js, Java, curl ואפליקציות פנימיות רבות. את אלה צריך לעדכן בעדכוני תוכנה מהספקים שלהם.

מה לבדוק בסביבת Microsoft 365 שלכם

התיקון מגיע למכשירים דרך עדכונים. חמש המלצות של Griffin31 מראות אם המכשירים שלכם מקבלים עדכונים, ומרחיקות את אלה שלא:

Monitor Windows Updates status Windows מקבל את החסימה דרך ערוץ העדכונים שלו. ההמלצה מראה אילו מכשירים נשארים מאחור.
Require minimum Windows OS version מכשיר Windows מתחת לגרסה הנתמכת מסומן כלא תואם (non-compliant), ואפשר למנוע ממנו גישה לנתוני החברה.
Require minimum macOS version מחשבי Mac מקבלים את החסימה עם עדכוני המערכת, ו-Mac ישן מסומן כלא תואם.
Require the latest iOS version or block access iPhone או iPad שפספסו את העדכון מאבדים גישה עד שיתעדכנו.
Require the latest Android version or block access מכשיר Android שפספס את העדכון מאבד גישה עד שיתעדכן.

ב-Windows כדאי לבדוק גם הגדרה אחת. Windows מוריד בעצמו, מדי יום, את רשימת התעודות החסומות שלו מהכתובת ctldl.windowsupdate.com, בנפרד מתיקוני האבטחה החודשיים. מכשיר יכול להיות מעודכן לגמרי ועדיין לפספס את החסימה אם:

חומת אש או proxy חוסמים את ctldl.windowsupdate.com (פורט 80), או
מדיניות כיבתה את ההורדות האלה (ערך הרישום EnableDisallowedCertAutoUpdate מוגדר ל-0 תחת HKLM\SOFTWARE\Policies\Microsoft\SystemCertificates\AuthRoot).

כדי לראות מתי מכשיר עדכן לאחרונה את הרשימה, הריצו בשורת פקודה בהרשאות מנהל. התאריך צריך להיות 20 באוקטובר 2026 או מאוחר יותר:

certutil -verifyctl Disallowed | findstr /i "lastsynctime"

מחוץ ל-Microsoft 365

שרתים וכלי פיתוח ששומרים רשימת תעודות משלהם צריכים להתעדכן לפי ההנחיות של הספקים שלהם:

שרתי Linux: התקינו את החבילה המעודכנת ca-certificates מההפצה שלכם.
Python, Node.js, Java ו-Go: עדכנו את סביבת הריצה, ועדכנו כל חבילת תעודות שהאפליקציה מביאה בעצמה (למשל חבילת certifi ב-Python).
Azure App Service ב-Linux: Microsoft הפיצה images מעודכנים בערוצי Standard ו-Latest. PHP 8.2 המובנה וסביבות ריצה שהגיעו לסוף חייהן (end-of-life) אינם כלולים, וחבילות תעודות בתוך האפליקציה או הקונטיינר שלכם אינן מתעדכנות על ידי הפלטפורמה.
בדיקה: בדו"ח האירוע יש פקודות לבדיקה אם לקוח עדיין סומך על התעודות הפגועות. אל תכבו את בדיקות התעודות כדי לעקוף שגיאות.

מה הלאה

Microsoft חסמה את התעודות ב-Windows ועדכנה את Azure App Service, אך עדיין לא פרסמה התראת אבטחה (security advisory) ללקוחות. לאחר שתפרסם, Griffin31 תוסיף בדיקה ייעודית שמזהה אם הסביבה שלכם עדיין סומכת על התעודות הפגועות, ותתריע בדשבורד.

רוצים לדעת אילו מכשירים אצלכם לא מתעדכנים? Griffin31 בודק את הגדרות התאימות של המכשירים בטננט שלכם באופן רציף ומראה מה לתקן קודם.

קביעת הדגמה