Google、秘密鍵が推測可能な認証局証明書を遮断―対象サイトはTLS証明書の交換を

Googleは2026年10月20日、eMudhraの中間認証局証明書8件に関連する秘密鍵の問題と、Chrome・Android向けの対応を公表しました。鍵生成のランダム性が不足しており、信頼を解除していないクライアントに対して、正規サイトになりすますHTTPS証明書を偽造できる状態だったと説明しています。

Chromeは17日に研究者から報告を受け、同日中に証明書の遮断リストを更新しました。特定の証明書だけでなく、同じ公開鍵を持つ証明書をまとめて拒否する対応で、ブラウザ本体の更新や再起動は不要としています。AndroidにもGoogle Play開発者サービスを通じて対応を配信しました。

さらにGoogleは、問題の中間認証局を署名した「emSign ECC Root CA - G3」をChromeの信頼するルートから削除します。全対象端末への反映は米国太平洋夏時間の10月27日午前を予定し、先行版ではそれより早く反映するとしています。

このルートにつながる正規のTLS証明書も、Chromeで使えなくなる場合があります。Googleは対象サイトの運営者に、Chromeが信頼する別の認証階層から証明書を取得して交換するよう求めています。利用者のブラウザ側の遮断と、サイト運営者側の証明書交換は、それぞれ必要な対応です。