Microsoft, Windows 11 Ve Windows 10’da eMudhra Sertifikalarını Otomatik Kaldıracak
Microsoft, eMudhra kaynaklı sertifika güvenliği sorununu gidermek için Windows 11, Windows 10, Edge ve WebView2 platformlarına yeni güven güncellemeleri dağıtacak. Şirket, 16 Kasım 2026 itibarıyla kalan 10 eMudhra kök sertifikasını Windows’un güvenilir sertifika listesinden çıkaracak. İşlem, desteklenen cihazlarda otomatik sertifika güncelleme mekanizması üzerinden gerçekleştirileceği için kullanıcıların yeni bir toplu güncelleme indirmesi gerekmeyecek.
Microsoft eMudhra Sertifikaları İçin Yeni Kaldırma Sürecini Başlatıyor
Microsoft, eMudhra güvenlik olayının ardından Windows sertifika altyapısındaki düzenlemeleri genişletiyor. Mozilla tarafından ortaya çıkarılan olay sonrasında şirket, 28 Ekim 2026 tarihinde KB5134133 ve KB5134134 güncellemelerini yayınlayarak yedi eMudhra sertifikasını Windows güvenilir sertifika listesinden çıkarmıştı. Kaldırılan sertifikalar arasında altı G3 kök sertifikası ile bir AAA Certificate Services çapraz imza sertifikası bulunuyordu. Microsoft, bir gün sonra benzer değişikliği Edge tarayıcısına da uygulamıştı.
Şirketin güncel açıklamasına göre ikinci aşamada kalan 10 eMudhra kök sertifikası da Windows’un güvenilir kök sertifika listesinden çıkarılacak. Microsoft, değişiklikleri Windows cihazlarının otomatik sertifika güven güncellemeleri için kullandığı HTTP uç noktası üzerinden dağıtacak. İlgili sunucuya erişebilen desteklenen bilgisayarlar, yeni sertifika listesini herhangi bir manuel kurulum işlemi olmadan alacak.
eMudhra, dijital kimlik, kimlik doğrulama ve siber güvenlik alanlarında faaliyet gösteren Hindistan merkezli bir teknoloji şirketi olarak biliniyor. Şirket, Hindistan’da lisanslı bir sertifika otoritesi (CA) olarak bireylere ve kurumlara dijital imza sertifikaları sağlıyor. Küresel ölçekte yürüttüğü PKI faaliyetleri kapsamında SSL/TLS sertifikaları da sunan eMudhra, internet sitelerinin kimliğinin doğrulanmasında kullanılan sertifika altyapısında yer alıyor.
Microsoft, Windows için uygulayacağı dağıtım yönteminden farklı olarak Edge ve WebView2 tarafındaki sertifika değişikliklerini PKI Metadata bileşeni üzerinden gerçekleştirecek. Söz konusu bileşen, yaklaşık her 10 saatte bir güncelleme kontrolü yapıyor. Ayrıca yeni bir uygulama başlatıldıktan kısa süre sonra da kontrol süreci devreye giriyor.
Bu yapı sayesinde kullanıcıların sertifika değişikliklerini alabilmek için yeni bir Edge sürümü indirmesi gerekmeyecek. Tarayıcı ve WebView2 bileşenleri, ilgili meta veri güncellemelerini kendi mekanizmaları üzerinden alacak. Microsoft, Windows tarafındaki otomatik dağıtım yaklaşımında da benzer biçimde kullanıcı müdahalesini gerektirmeyen bir yöntem izliyor.
Windows, güvenilir kök sertifikaları güncel tutmak için Automatic Root Certificates Update mekanizmasını kullanıyor. Sistem, belirli aralıklarla Windows Update altyapısıyla iletişim kurarak Sertifika Güven Listesi (CTL) için yeni bir sürüm bulunup bulunmadığını kontrol ediyor. Güncel bir liste tespit edildiğinde Windows, dosyayı otomatik olarak indiriyor ve bilgisayarda önbelleğe alınan güvenilir sertifika kayıtlarını yeniliyor.
Mekanizma, sertifika güncellemelerini almak için ctldl.windowsupdate.com uç noktasından yararlanıyor. Microsoft’un açıklamasına göre iletişim HTTP üzerinden yürütülürken ilgili bağlantılarda HTTPS ve TLS 1.2 desteği de bulunuyor. Otomatik kök sertifika güncellemeleri varsayılan olarak etkin geliyor. Şirket, cihazların güncel sertifika güven bilgilerini alabilmesi için kullanıcıların bu özelliği kapatmamasını öneriyor.
İnternet bağlantısı bulunmayan veya dış ağ erişimi kısıtlanmış kurumsal ortamlarda sertifika dağıtım süreci farklı ilerliyor. Microsoft, sistem yöneticilerine otomatik güncelleme mekanizmasını Grup İlkesi üzerinden kurum içindeki bir dosya ya da web sunucusuna yönlendirme seçeneği sunuyor. Yöneticiler, güncel Sertifika Güven Listesi dosyalarını Microsoft sunucularıyla certutil -syncWithWU komutunu kullanarak eşitleyebiliyor.
Kurumlar eşitlenen dosyaları etki alanına bağlı bilgisayarlara dağıtabiliyor. Yöneticiler ayrıca güvenilir ve güvenilmeyen sertifika listelerini birbirinden bağımsız biçimde yönetebiliyor. Bu yöntem, kuruluşların kendi güvenlik politikalarına göre belirli kök sertifikaları eklemesine veya kaldırmasına imkân tanıyor.
Microsoft’un yeni düzenlemesi, otomatik sertifika güncellemelerini kullanan Windows cihazlarında ek bir kurulum gerektirmeden uygulanacak. Ancak internet erişimi kısıtlı kurumların ve özel sertifika politikaları kullanan kuruluşların kendi dağıtım altyapılarını kontrol etmesi gerekiyor. Otomatik kök sertifika güncellemelerinin tamamen devre dışı bırakılması, Microsoft’un güvenli olmadığını belirlediği sertifikaların sistemlerde güvenilir kalmasına yol açabilir.
