FreeBSD、eMudhra関連のルート証明書を無効化―OSの信頼ストアも更新を
ブラウザだけの更新では、OSの証明書ストアを使う通信まで対応済みにはなりません。FreeBSDの更新方法と反映確認を整理します。
公式公表日：2026-10-21 / 公開： / 更新： / 最終確認：
Codingholic 編集部 · 約3分
FreeBSD Projectは10月21日、TLS通信で相手を信頼するための証明書一覧を更新しました。ブラウザだけでなく、FreeBSD上のOpenSSLを使うプログラムやライブラリも対象です。サポート中の全バージョンに向け、eMudhraの証明書問題への対応を案内しています。
失効だけでは防げない構成がある
eMudhraの一部中間CA証明書は、容易に復元できる小さな秘密鍵で作られ、その鍵が公開されました。通信経路を傍受できる攻撃者は、なりすましたサーバー証明書を使って通信を読み書きできる可能性があります。
中間証明書は失効済みですが、OpenSSLは既定で失効を確認しません。今回の修正は「emSign ECC Root CA - G3」を信頼対象から外します。独自の信頼ストアを使うソフトウェアは、このOS側の問題の対象外です。
導入方式に応じたOS更新を行う
修正済みのRELEASE版は15.1-RELEASE-p6、14.5-RELEASE-p3、14.4-RELEASE-p12です。base system packagesで導入した対応環境はpkg upgrade -r FreeBSD-base、通常の配布セットから導入した対応RELEASE環境はfreebsd-update fetchとfreebsd-update installを使う案内です。
公式にはcertctlで当該ルートを手動で信頼対象から外す回避策もあります。更新後はOpenSSLを使うデーモンの再起動、またはOS再起動が必要です。導入方式やアーキテクチャの条件は公式手順と照合してください。
OSとアプリ独自のストアを分けて確認
以下は編集部の確認手順です。外部APIやメール配送などTLSを使うサービスを洗い出し、OSのストアと独自のストアのどちらを参照するか記録します。OS更新だけで、すべてのアプリの証明書設定が変わったとは扱いません。
更新記録とcertctlの状態を確認し、関連プロセスを再起動した後に通常の接続を試します。業務接続が証明書エラーになった場合も、検証を無効化して回避せず、接続先の証明書チェーンと利用ストアを調べます。
出典と編集について
FreeBSD Project：FreeBSD、eMudhra関連のルート証明書を無効化 ↗出典の報告と、編集部が提案する点検・対策を分けて記載しています。本記事の点検項目は個別環境の診断結果ではありません。