Google、認証局eMudhraの脆弱な鍵を緊急遮断 10月27日にChromeのルート信頼削除へ
米Googleは2026年10月20日、インドのデジタル認証会社eMudhraが管理する中間認証局（CA）の秘密鍵8件について、暗号上の強度が不足していたことを公表した。正規サイトを装う不正なHTTPS証明書を生成できる危険があるため、Chromeはすでに該当する鍵を遮断。関連するルート認証局「emSign ECC Root CA - G3」も、10月27日（米太平洋時間）朝にChromeの信頼対象から外す予定だ。
Mozillaも10月20日、Firefox向けの遮断措置と追加アップデートを説明した。eMudhraは10月21日の声明で、鍵生成手順の不備を認める一方、自社システムへの不正侵入やデータ流出は確認されていないと説明している。『潜在的に偽装できる鍵が存在したこと』と『実際に情報が盗まれたこと』は同じではない。
カバー写真は米国の研究用データセンターの資料写真であり、eMudhraの設備・現場ではない。Photo: Derrick Coetzee, CC0 1.0、2011年撮影。
何が起きたのか――2025年の鍵生成工程に不備
eMudhraの2026年10月21日付声明によると、問題の中間CAは2025年4月30日の鍵生成式典（KGC）で作成された。同社は暗号装置HSMを利用したものの、鍵を一時的に保護・復元するwrap/unwrap工程で、強い鍵とともに別の弱い鍵の組が作られ、弱いほうの公開鍵を含む認証局証明書が流通したと説明している。根本原因は調査中だ。
暗号鍵の乱数性（エントロピー）が不足すると、第三者が秘密鍵を計算で推測できる可能性が高まる。今回の8件は一般利用者に発行されたサイト用証明書ではなく、その発行元として信用され得る『中間認証局』の鍵だったため、潜在的な影響が大きい。
GoogleとMozillaは10月17日に遮断、通常利用者の対処は
Googleの説明では、外部研究者からの通報を10月17日18時05分（UTC）に受け、同日19時45分までに検証・ChromeのCRLSetへ該当する公開鍵の指紋を遮断する更新を投入した。標準的なChrome環境ではブラウザーの再起動や本体アップデートを待たずに保護を提供できる仕組みだ。Android向けにもGoogle Play開発者サービスを通じた対策を実施した。
Mozillaによると、Firefoxでも10月17日の報告から約3時間以内にOneCRLで遮断を配布した。その後のFirefox 158.0.1、Firefox ESR 115.43.1、153.5.1は、特殊な設定でOneCRLを受信できない利用者への追加対策だ。通常の利用者は最新のブラウザー・OS更新を維持することが基本となる。
なぜ10月27日に正常なサイトも表示できなくなる可能性があるのか
Googleは該当する中間CAだけでなく、上位の『emSign ECC Root CA - G3』をChrome Root Storeの信頼対象から除外する方針を示した。予定は2026年10月27日（米太平洋夏時間）朝であり、10月23日現在、すべての利用者向けの削除が完了したという意味ではない。
このルートCAにつながる適正なHTTPS証明書を使うサイトも、代替の信頼できる認証局から証明書を取得し直さなければ、Chromeで接続の警告や表示不良が起こる可能性がある。サイト運営会社は、契約中の証明書の『発行者』だけでなく、証明書チェーンの最上位まで確認すべきだ。
eMudhraは『発行済みの一般サイト証明書なし』と説明
eMudhraは8件の問題のある中間CAを失効させたうえで、その中間CAから最終的なWebサイト向け証明書は発行していないと説明している。同社の10月21日声明によれば、基幹設備への侵入もデータ漏洩も確認されていない。またインド国内の電子署名（DSC・eSign）事業は別システムで、影響を受けないとしている。これらは会社側の現時点の説明であり、調査完了の独立認定と同じではない。
Googleは、自社の証明書透明性（Certificate Transparency：CT）要件を満たすクライアントについて、遮断前に該当する6件のTLS中間CAを使ったサイト証明書がCTログに記録されていないと説明した。これはリスクを減らす材料だが、全種類のソフトウェア・独自実装が同じ保護を受けていたという意味ではない。
全ネットサービスへの被害と誤解しない
『ウェブ全体の暗号化が破られた』『Chrome利用者の個人情報が流出した』という事実を示す発表ではない。問題は特定の認証局系統と、一部のクライアントが偽の証明書を信じ込む潜在的危険性だ。対策済みブラウザーと、証明書失効情報を取得しない古いアプリ・機器とではリスクが異なる。
写真のデータセンターも一般的な設備例であり、侵入があった場所やeMudhraの運用現場を示すものではない。障害や攻撃の実例画像として読まないよう区別する必要がある。
企業・サイト運営者が今確認すべき3点
第一に、自社サイトや関連サブドメインのTLS証明書チェーンが『emSign ECC Root CA - G3』につながっていないかを管理事業者・ホスティング会社に照会する。該当する場合は10月27日より前に別の信頼済み系統の証明書へ切り替える。証明書をサイト構築サービス側が管理している場合、発行者変更を自己判断せずサービス提供元へ問い合わせるのが適切だ。
第二に、利用者や社内端末ではChrome、Firefox、Android、OSのセキュリティ更新を有効にし、長期間更新されていないブラウザーや組み込みクライアントを洗い出す。第三に、証明書警告が表示された際は『無視して続行』を常用せず、サイト管理者・サービス提供元から安全な代替手段の案内を得る。
認証局の信頼はビジネスの継続性に直結
eMudhraの10月21日説明によると、影響を受ける海外向けTLS事業は同社売上高のおよそ1％だが、信用面の影響を金額で見積もることは難しいとする。売上規模が小さくても、ブラウザーからの信頼が削除されれば顧客サイトの接続性や証明書の切り替え作業に波及する。
今後の焦点は、eMudhraによる根本原因調査、各社の信頼リスト更新、代替証明書への移行状況、独自証明書検証ソフトに残る影響だ。個々の攻撃被害の発生を断定するのではなく、公開される検証結果と対策日程を追う必要がある。
一次情報と写真クレジット
・Google Chrome/Android Security Teams（2026年10月20日）：https://blog.google/security/protecting-chrome-and-android-users-from-compromised-emudhra-intermediate-ca-certificates/
・Mozilla Security Team（2026年10月20日）：https://blog.mozilla.org/security/2026/10/20/protecting-firefox-users-following-the-compromise-of-emudhra-intermediate-certificates/
・eMudhra公式声明（2026年10月21日）：https://emudhra.com/en/press-release/emudhra-statement-distrust-global-tls-intermediate-root-ca
・eMudhra調査・更新ページ（2026年10月22日更新）：https://emudhra.com/en/post/certificate-security-incident/
・カバー：Derrick Coetzee、Front of server racks at NERSC、CC0 1.0：https://commons.wikimedia.org/wiki/File:Front_of_server_racks_at_NERSC.jpg
・本文画像：Helpameout、Wikimedia Servers-0051 19、CC BY-SA 3.0：https://commons.wikimedia.org/wiki/File:Wikimedia_Servers-0051_19.jpg
コメント