# Microsoft выкатила внеплановый патч Windows: чистит сертификаты eMudhra

> 2026-10-27 · AI Release · @ai_release1

> #windows #сертификаты #eMudhra #безопасность #обновления #Microsoft #кибербезопасность #информационнаябезопасность

### ⚡ Главное за 5 секунд - Microsoft выпустила out-of-band обновление Windows — не срочный фикс бага, а обновление списка доверенных сертификатов (CTL). - Достаётся Windows 11, Windows Server 2025 и Windows 10: тем машинам, что не могут достучаться до сервиса сертификатов Microsoft или отключили автообновление списка. - Внутри лежит всё из патча 13 октября — вместе с его известными багами: VPN, Smart App Control, звук и RDP для неадминов. Их не починили. ### 🔍 Что случилось 26 октября Microsoft выкатила внеплановый апдейт, который вычищает из доверенного списка Windows семь сертификатов: шесть корневых eMudhra G3 и кросс-подпись AAA Certificate Services. Причина — компрометация приватных ключей индийского удостоверяющего центра eMudhra, случившаяся ранее в октябре. Сам CTL — это список, по которому Windows решает, верить сертификату или нет. Обычно он подтягивается по сети через сервис Microsoft. Если машина в закрытом контуре или автообновление списка выключено, она остаётся со старым набором корней. А тогда приложение или сайт может отвалиться на проверке сертификата — и не потому, что сломалось, а потому, что система держит в доверенных того, кому верить уже нельзя. Отдельно Microsoft выпустила CRLSet для Edge и WebView2. Есть и второй слой. В патч входит всё из обновления 13 октября, а там хватает известных проблем: с VPN, с изменением, которое может уронить on-premises Exchange Server, со Smart App Control, со звуком и с Remote Desktop для пользователей без прав админа. В этом релизе их не правили — Microsoft прямо предупреждает учитывать это при установке. ### 🧠 Наш разбор Обычно out-of-band патч значит «мы сами что-то сломали и горит». Здесь по-другому: сломали не в Редмонде, а в чужом удостоверяющем центре. Наша оценка — это редкий случай, когда Microsoft тратит внеплановый релиз на чужую аварию, а не на свою. И это логично: доверие к сертификатам — фундамент, на нём держится всё от банковских приложений до корпоративных VPN. Для админа вопрос звучит не «ставить или нет», а «а надо ли вообще». Большинство домашних и офисных машин получает CTL автоматически и этот пакет не заметит. А вот изолированный стенд, заводской терминал или машина с выключённым автообновлением списка — как раз целевая аудитория. Мы считаем, что именно там и стоит ставить, но с оговоркой: сначала проверьте, не сидите ли вы на Exchange или на VPN-клиенте из списка пострадавших. Кто выигрывает? Индийский CA уже проиграл — его корни вылетели из доверия Windows, а это долгий и дорогой путь назад. Пользователи выигрывают в безопасности и проигрывают в стабильности, потому что вместе с сертификатами приехали чужие баги. Компромисс так себе, но альтернатива хуже: оставить в доверенных ключи, которые кто-то уже скомпрометировал. ### ⚠️ Чего мы не знаем В тексте нет ни номеров KB, ни сборок, ни полного списка затронутых иерархий — только счёт: шесть корней eMudhra G3 плюс одна кросс-подпись AAA. Нет и оценки, сколько устройств реально сидит без доступа к сервису CTL. Материал у The Register опирается на цитату Microsoft, но самих документов поддержки в поводе нет. Перед установкой сверьтесь с каталогом обновлений Microsoft и разделом известных проблем — это единственный надёжный способ понять, ваш ли это случай. ### 💬 О чём спорить - Стоит ли ставить внеплановый пакет, который тянет за собой непочиненные баги из патча 13 октября, или подождать ноябрьского кумулятива? - Должна ли Microsoft выпускать такие CTL-обновления отдельно от накопительных патчей, чтобы админ не тащил в закрытый контур чужие проблемы? - Компрометация ключей CA — это повод пересмотреть, сколько корней вообще держат в доверенном хранилище по умолчанию? **Прогноз:** в течение квартала Microsoft выкатит отдельный фикс для VPN и Exchange-изменения из патча 13 октября — иначе корпоративные админы просто перестанут ставить обновления пачками. **Источник:** The Register

[Источник](https://www.theregister.com/security/2026/10/27/microsoft-releases-out-of-band-windows-fixes-with-certificate-updates/5305637)