eMudhra 認証局の秘密鍵の侵害
2026年10月20日、eMudhra 認証局（eMudhra CA）の秘密鍵の侵害が発覚しました。
秘密鍵の侵害
秘密鍵は文字通り秘密にしておく鍵（データの一種）であり、決して公にしてはならない鍵です。この秘密鍵が侵害され、攻撃者はそれに付随するサービスを悪用可能になりました。
この侵害により権限のない悪意ある第三者が X.509 証明書に不正に署名できるようになります。
そしてこれらの不正な証明書は、eMudhra 認証局を信頼している TLS 実装（一般的には TLS クライアント）による証明書の検証をパスできるようになってしまいます。
ユーザーから見ると、サーバーのなりすましや通信内容の読み取り及び改ざん被害に繋がります。
ca-certificates パッケージ
Ubuntu ではユーザーにシステムが信頼する CA 証明書を ca-certificates パッケージから提供しています。ca-certificates パッケージでは eMudhra 認証局をルート認証局として直接信頼していません。
しかし以下の2つのルート認証局が、eMudhra 認証局にクロス署名を行っています。
- emSign Root TLS CA – G3
- Comodo AAA Certificate Services
信頼済みルート CA の証明書ストアから削除
Ubuntu は侵害された eMudhra 認証局が引き続き信頼されないよう、上記2つのルート認証局を信頼済みルート CA の証明書ストアから削除しました。これにより上記いずれかのルート認証局を信頼の起点として信頼されてきた正規の証明書は、今後信頼されなくなります。
ちなみに Comodo AAA Certificate Services 認証局は、Ubuntu 22.04 LTS 以降すでに信頼済みルート CA の証明書ストアから削除されています。
この削除の結果影響を与える可能性は低いものの、失効した証明書を使用しているホストにアクセスできなくなる可能性があります。
セキュリティーアップデートを
すでに Ubuntu ではサポート中の Ubuntu に対し、本脆弱性に対応したセキュリティーアップデートをリリースしています。セキュリティーアップデートのリリース情報は、以下を参照してください。
ca-certificates パッケージのバージョンを確認するには、端末から以下のコマンドを実行してください。
dpkg -l 'ca-certificates' | grep ^ii
ウェブブラウザーも影響を受ける
デスクトップユーザーにとって最も利用されている TLS クライアントは、ウェブブラウザーです。本件はウェブブラウザーも影響を受けます。
著名なウェブブラウザーは ca-certificates パッケージ由来の CA 証明書ストアを使用せず、自分で保持している CA 証明書ストアを使用します。
そのため利用しているウェブブラウザーはすべて最新版にアップデートしてください。
Firefox の対応状況
現在 Ubuntu Desktop のデフォルトのウェブブラウザーは Snap 版 Firefox です。Snap 版 Firefox も ca-certificates パッケージ由来の CA 証明書ストアを使用せず、自分で保持している CA 証明書ストアを使用するため、最新版へのアップデートが必要になります。
Firefox は2026年10月20日にリリースされた Firefox 158.0.1 で、本件に対応しています。
- Firefox 158.0.1
- Firefox ESR 115.43.1
- Firefox ESR 153.5.1
- Protecting Firefox users following the compromise of eMudhra intermediate certificates
Firefox 以外のウェブブラウザーの対応状況は、各ウェブブラウザーのリリースノートを参照してください。
その他 CA 証明書ストアを持つソフトウェアも確認を
ウェブ技術を利用したアプリなど、CA 証明書ストアを自分で持つソフトウェアも確認が必要です。別途利用しているソフトウェアも確認しておきましょう。
基本は最新版にアップデートです。
