微软将在11月16日封锁印度eMudhra剩余10张根证书 相关中间证书和页证书都将无法信任
内容提要
微软将于2026年11月16日从Windows受信任列表移除剩余10张eMudhra根证书。此前因私钥可被推算，微软已封锁相关中间证书并移除7张根证书。联网设备将自动接收更新，Edge和WebView2也通过组件更新停止信任。仍使用eMudhra证书的网站、服务或软件须立即更换证书，否则届时无法访问；离线设备需后续手动部署微软发布的证书更新包。
延伸解读
私钥可推算：风险根源与影响范围
此次事件的根源是 eMudhra 的 8 张中间证书私钥因生成错误而可被推算，其中 6 张用于网站 TLS 证书，2 张用于代码签名证书。这意味着掌握私钥者可能伪造证书，冒充网站或软件发布者。微软已先行封锁这些中间证书及其签发的叶证书，并移除 7 张相关根证书，剩余 10 张根证书将于 11 月 16 日移除。
自动更新机制：联网设备无需手动干预
对于能连接微软证书更新服务的 Windows 设备，证书信任列表变更将自动接收，用户无需手动操作。Edge 和 WebView2 则通过 PKI Metadata 组件更新停止信任相关根证书，设备约每 10 小时检测一次，应用启动时也会检查。因此，大多数在线设备在 11 月 16 日后会自动完成信任调整。
离线设备需早做安排
长期离线或无法连接微软服务器的设备不会自动获取信任列表更新。微软后续会发布离线证书更新包，IT 管理员需手动下载并部署。若组织内有此类设备，应提前规划更新流程，避免在 11 月 16 日后因证书信任问题导致业务中断。
仍在使用 eMudhra 证书者应立即行动
任何仍在使用 eMudhra 根证书签发的网站、服务或软件，都必须在 11 月 16 日前更换证书。否则，届时 Windows 将不再信任这些证书，相关网站或应用可能无法访问。建议相关方尽快排查证书链，并切换到其他受信任的证书颁发机构。
Q&A
微软什么时候会移除eMudhra剩余的根证书？
微软将于2026年11月16日从Windows受信任列表中移除剩余的10张eMudhra根证书。
为什么微软要封锁eMudhra的证书？
因为eMudhra的8张中间证书私钥因生成错误可被推算出来，其中6张用于网站TLS证书，2张用于代码签名证书。掌握私钥的人可能伪造证书并冒充网站或软件发布者。
微软已经采取了哪些措施来处理eMudhra证书问题？
微软已在10月20日通过证书更新机制封锁受影响的中间证书，这些中间证书签发的所有叶证书也将被自动拦截。10月26日微软从信任列表移除7张与相关证书链有关的根证书，包括6张eMudhra G3根证书和AAA Certificate Services交叉签名证书。
使用eMudhra证书的网站或软件需要做什么？
仍然使用eMudhra证书的网站、服务或软件都需要立即更换证书，否则在11月16日后将无法访问。
Edge浏览器和WebView2如何停止信任eMudhra根证书？
Microsoft Edge浏览器和WebView2 Runtime会在11月16日通过PKI Metadata组件移除对剩余相关根证书的默认信任。设备大约10小时检测1次，应用启动后也会检查，因此Edge浏览器和使用WebView2的应用都可以通过组件更新接收证书信任变化。
长期离线的Windows设备如何更新证书信任列表？
对于长期离线和无法连接微软服务器的设备，微软后续会发布离线的证书更新包，IT管理员需要手动下载证书更新包并在相关设备上更新。
