eMudhraの中間CA秘密鍵8個が危殆化、証明書の再発行と信頼設定の点検を

Palo Alto Networksは2026年10月22日付で、インドのeMudhra Limitedの中間CA秘密鍵8個が危殆化したと公表しました。証明書を発行する認証局(CA)の秘密鍵が安全でなくなり、不正な証明書に署名できる状態だったとしています。対象の証明書8枚は失効済みですが、企業側にも証明書の調査や再発行、信頼設定の更新を推奨しています。

公開証明書から秘密鍵を導出できる欠陥

Palo Alto Networksによると、原因は証明書生成時の暗号処理にある重大な欠陥です。鍵を作る際の乱数が不足し、公開証明書から秘密鍵を導き出せる状態でした。

この秘密鍵を使うと、不正な公開TLS証明書に署名できます。TLSは通信を暗号化する仕組みです。同社は、通信の間に割り込む中間者攻撃による傍受やなりすまし、ログイン中のセッションの乗っ取りにつながる恐れがあるとしています。今回の資料には、実際の悪用被害についての記載はありません。

eMudhraは対象の証明書8枚を失効させました。主要なブラウザー・OSベンダーも、対象中間CAの失効や信頼取り消しに動いています。

証明書の交換だけでなく、信頼設定も確認対象

Palo Alto Networksが調査を推奨しているのは、公開サイトだけではありません。内部システムで使うTLS/SSL証明書、コードやビルド工程に組み込まれたeMudhra証明書も対象です。

さらに、端末やサーバー、コンテナが信頼する認証局の証明書を保管する「信頼ストア」の確認も求めています。特に独自の信頼ストアにあるeMudhraのルート証明書・中間証明書は、調査対象です。ブラウザーやOSベンダーの対応とは別に、自社管理の設定を点検する必要があります。

対象CA配下の証明書は、直ちに失効させ、別の信頼できるCAで再発行することが推奨されています。信頼ストアも緊急更新し、対象中間CAを排除するよう案内しています。

影響する会社・しない会社

• 影響する: 公開・内部システムで、対象中間CAに連なるTLS/SSL証明書を使う会社です。証明書の調査と再発行の対象になります。
• 影響する: 独自の信頼ストアや、コード・ビルド工程にeMudhra証明書を組み込んでいる会社です。対象中間CAとの関係を確認する必要があります。
• 影響しない: 対象中間CAに連なる証明書を使わず、信頼設定にも含めていない会社は、今回の対象CA配下の証明書交換には該当しません。ただし、利用地域や企業規模による対象外条件は発表には書かれていません。

eMudhraの日本での提供は発表には書かれていません。また、今回の資料には対象中間CAの具体的な名称や識別情報がありません。eMudhraという名前だけで一律に交換対象とせず、証明書の発行元と信頼のつながりを確認することが重要です。

情シスが今日やること

1. まず証明書の発行元を洗い出す。 公開・内部システムの証明書詳細で、発行者と認証局までのつながりを確認します。コードやビルド工程の管理担当にも、eMudhra証明書の組み込み有無を照会します。対象の特定に必要な情報は、証明書の発行元に確認してください。
2. 対象が分かったら、直ちに交換を手配する。 システム管理者と証明書の契約担当へ対象を共有し、別の信頼できるCAでの再発行と、対象証明書の失効を手配します。これは同社が即時対応を推奨している項目です。
3. 信頼ストアを緊急点検する。 端末・サーバー・コンテナの管理担当に、独自の信頼ストアも含めて確認を依頼します。対象中間CAを排除し、失効情報を確認するCRL・OCSPの設定では、失効済み証明書につながる接続を遮断できるか確認します。
4. 監視担当とログを調べる。 通信・プロキシ・DNSのログで不審な外部接続を確認します。TLS接続失敗、証明書検証エラー、不審な発行者警告の急増も調査対象です。シングルサインオン、VPN、クラウドポータルの認証ログでは、セッション悪用の兆候を調べます。
5. 継続監視の担当を決める。 自社ドメインの不正な証明書発行を調べる公開CTログの監視と、証明書を発行できるCAを制限するDNSのCAAレコードを、証明書・DNS管理担当と確認します。短期証明書を使う自動管理への移行も、同社の推奨事項として検討に回します。