テック技報最新号へ →
セキュリティ

鍵が漏れた CA を OS が止めても、開発ツールは別の信頼ストアで通してしまう（eMudhra 事例）

eMudhra の中間 CA の秘密鍵流出では、Windows の curl や PowerShell は止めたのに、古い Git for Windows・Node.js・certifi・Claude Code の WebFetch はそれぞれ同梱の CA 一覧を使っていて通してしまった。OS の更新とは別に、ツールごとに更新して検証用 URL で確かめる。

@yousukezan · 2026-10-30
#tls#certificate#ca-compromise#git#nodejs#python#ai-agent#trust-store

背景

  • eMudhra の中間 CA 8 件（うち 6 件が TLS 証明書を発行）の秘密鍵が流出。Apple は 10 月 19 日から遮断している。
  • 鍵が漏れた CA で作られた証明書を信用するツールは、なりすましサーバーとの通信を正規の TLS として受け入れてしまう。

Windows 10 での確認結果（2026-10-29、Qiita の検証）

ツール結果
curl.exe、PowerShell 5.1、pip 26.2.1遮断
Git for Windows 2.50.0.windows.2（OpenSSL バックエンド＋同梱 ca-bundle）通過
Git for Windows 2.56.0.windows.4遮断（修正は 10/22 公開の 2.56.0.windows.3）
Node.js 22.19.0通過
Node.js 22.23.4／24.22.1／26.12.1（10/21 公開）遮断
certifi 2026.06.17通過
certifi 2026.10.23遮断
Claude Code WebFetch 2.1.300通過
Claude Code WebFetch 2.1.305 以降遮断
Claude Code の Bash から呼ぶ gitPC の git をそのまま使う（git の版次第）

確認手順

bash
git --version
node --version
pip show certifi
claude --version
# 鍵が漏れた CA の証明書を使う検証用リポジトリ。コミット一覧が返ったら「まだ信用している」
git ls-remote https://git-emudhra.we-have-a-problem.com/check.git
  • エラー（証明書検証失敗）になれば遮断できている。

対処

  1. Git for Windows、Node.js、certifi（Python の requests などが使う）、Claude Code を上の版以降へ更新する。
  2. Git for Windows をすぐ更新できない場合のつなぎ: git config --global http.sslBackend schannel で Windows の証明書ストアを使わせる。
    • ただし同梱の ca-bundle.crt に社内 CA などを追加している場合は、Windows 側にも入っているか先に確認する（入っていないと社内の接続が切れる）。
  3. CI イメージやコンテナも同じ。ベースイメージ・ランタイムの更新日を確認する。
  4. AI エージェントは、内部の取得機能（WebFetch）と、シェル経由で呼ぶ外部コマンドで別の信頼ストアを使うことがある。両方を確認する。

注意点

  • 結果は Windows 10 の 1 台での検証。他の OS やディストリビューションのパッケージ版では異なる場合がある。

追記（2026-10-31）：Microsoft が関連ルートの既定の信頼を撤回

  • Microsoft は、問題の中間 CA の遮断とは別に、関連する証明書 7 本（eMudhra の G3 ルート 6 本と AAA Certificate Services の相互署名 1 本）の既定の信頼を撤回した。Windows では 10-26、Edge と WebView2 では 10-27 に信頼リストから削除。
  • 対象の証明書に依存するサイトや署名は、代替証明書か別の信頼されたチェーンへの切り替えが必要。
  • 自動更新を受けない端末には、管理者が証明書信頼リストを配布する。互換性のためにローカルで信頼を戻す場合は、そのソフトが失効や不許可リストを確実に確認するかを先に確かめる（確認しないソフトでは問題の中間 CA に連なる証明書が通るおそれ）。
  • 出典: @MalwareBibleJP · 2026-10-30

追記（2026-11-06）：Cloudflare が弱い鍵の偽造証明書を観測

  • Cloudflare は、公開証明書から復元できる弱い中間 CA 鍵で署名された偽造証明書への接続試行を自社通信で観測したと公表。Mozilla のバグ公開から 1 時間足らずの日時の証明書もあった。
  • Pingora 系プロキシでは弱い鍵を拒否する変更を適用済み。接続試験では古い組み込みブラウザー（Android WebView など）の受け入れが残る一方、標的型傍受の確定証拠は未確認、との整理。
  • クライアント／ボット／組み込み WebView の更新と、信頼ストアへの失効反映の速さが引き続き要点。
  • 出典: @MalwareBibleJP · 2026-11-05
  • 一次: blog.cloudflare.com

出典

X の元の投稿を開く