Windows 11/10に定例外更新KB5134133など　eMudhra証明書問題に対応、CTLを自動更新できるPCは適用不要

この記事でわかること

• 10月26日に公開された定例外更新「KB5134133」などの対象と、追加で入れる必要があるPC
• 更新の背景にある認証局「eMudhra」の秘密鍵問題と、Windowsで変わったこと
• オフライン端末などを管理している人が確認したいこと

Windows 11/10に定例外更新、CTLを自動更新できないPC向け

Microsoftは2026年10月26日（米国時間）、Windows 11とWindows 10向けの累積更新プログラムを定例外（OOB）で公開しました。中身は、Windowsが信頼するルート証明書の情報を新しくしたもの。インドの認証局eMudhraで見つかった秘密鍵の問題を受けた対応です。

とはいえ、多くの個人のPCはこの更新を手動で入れる必要はありません。証明書の信頼リスト（CTL）はふだんインターネット経由で自動更新されていて、この機能は既定で有効です。今回の更新は、その自動更新を受け取れないPCに同じ情報を届けるためのものです。

公開された更新は次のとおり。

Windows 10向けは、拡張セキュリティ更新プログラム（ESU）やEnterprise LTSC 2021、IoT Enterprise LTSC 2021を対象としたものです。Windows Server向けにも同じ目的の定例外更新が出ています。

追加で入れる必要があるのはどんなPC？

Microsoftが対象として挙げているのは、最新のCTL（信頼しない証明書の一覧を含む）を受け取れないPCです。具体的には次のようなケースです。

• ネットワークから切り離された環境で使っているPC
• Microsoftの証明書更新サービスにアクセスできないPC
• CTLの自動更新を無効にしているPC

社内のオフライン端末や、通信先を厳しく制限した業務用PCが典型例。ふだんインターネットにつながっていて、証明書まわりの設定を変えていない個人のPCは、この条件に当てはまりません。

配布方法もこうした環境が前提です。KB5134133のサポート情報によると、Windows Updateでは配信されず、「Microsoft Update カタログ」から入手する形になっています。「設定」のWindows Updateに表示されないのは、この配布方法によるものです。

背景：eMudhraの中間認証局8件の秘密鍵が復元できる状態だった

発端は、eMudhraが運用する中間認証局（中間CA）8件の秘密鍵が、復元できてしまう状態だったことです。内訳はTLS（Webサイトの暗号化通信）用が6件、コード署名用が2件。

この鍵があれば、正規の認証局が発行したように見える証明書を作れます。MicrosoftのMSRC（セキュリティ対応チーム）の公式ブログによると、TLS用の鍵は正規のWebサイトやサービスになりすまして通信を傍受することに、コード署名用の鍵は不正なソフトを信頼できる発行元のものに見せかけることに悪用されるおそれがあります。問題はeMudhra側の証明書階層で起きたもので、Microsoftのシステムが侵害されたわけではないとしています。

Microsoftの対応は段階的に進んでいます。

• 10月20日：Windowsの「信頼しない証明書の一覧」（Disallowed CTL）を更新し、該当する中間CAをブロック
• あわせて、Microsoft EdgeとWebView2向けにも該当するTLS証明書をブロックする更新（CRLSet）を自動配信
• 10月26日：eMudhra G3ルート証明書6件と、AAA Certificate Servicesのクロス署名証明書1件の計7件を、Windowsの信頼リストから削除
• 10月27日：Edgeの信頼リストからも同じ7件を削除

10月26日の削除は、問題の鍵をブロックするだけの対応より踏み込んだ判断です。MSRCはルート証明書の削除を、侵害された中間CAの失効とは別の、より広い信頼の判断だと説明しています。変更が届いたPCでは、この7件は既定で信頼されなくなります。

入れる前に知っておきたいこと

KB5134133などは、証明書の情報だけを入れる単体のパッチではなく累積更新です。10月13日の月例更新（Windows 11 24H2／25H2／26H2ではKB5127648）の修正も含まれています。

KB5134133のサポート情報には、既知の問題として次の3つが載っています。対象が限られるものや、後続の更新ですでに対処されたものもあります。

• Smart App Control：オフにしていた場合に、オンへ戻せなくなることがある。すでにオンになっているPCは影響を受けない
• リモートデスクトップ：接続先のPCで「管理者保護」（必要なときだけ管理者権限を与えるWindows 11のセキュリティ機能）が有効な場合、管理者ではないユーザーの接続がエラー0xC000000Dで失敗することがある。主に企業で管理されているPCが対象
• USBオーディオ：USB Audio Class 1.0という規格の一部の機器が起動しない、または音が出ないことがある。8チャンネル／3D音声モードでの症状は9月14日の更新（KB5129195）で修正済みで、それ以外の症状は対応中

Smart App Controlとリモートデスクトップの2件は、修正の状況がOSのバージョンで分かれます。

また、Windows 11 24H2／25H2で適用するには、2025年6月10日以降の更新プログラム（KB5060842など）と、最新のサービススタック更新（SSU）が入っている必要があります。

管理者が確認したいこと

MSRCは、組織に向けて次の対応を求めています。

• Windowsの証明書信頼リストの自動更新と、Edgeのコンポーネント更新が端末に届く状態を保つ
• 自動更新を受け取らない端末には、自社の更新手順で最新のDisallowed CTLと信頼リストの変更を届ける
• 自社で使っている証明書が、削除される7件のいずれかにつながっていないか洗い出し、代わりの証明書や別の信頼チェーンを用意する

CTLの自動更新を止めている端末は、今回の更新を入れるか、CTLを配布する仕組みで反映させない限り、問題の証明書を信頼したままになるおそれがあります。オフライン端末を抱えている場合は、対象バージョンに合うKBを確認しておきたいところです。

Microsoftは、残りのeMudhraルート証明書についても個別に評価を進めており、利用者の移行状況に合わせて追加の変更を順次行うとしています。