MicrosoftがWindows 10と11向けに、定例外（OOB）の累積更新プログラムをリリースしました。これはインドの認証局「eMudhra」で発生した中間CA証明書の侵害に対処するためのものです。今回は、証明書信頼リスト（CTL）の自動更新がうまくいかない環境に焦点を当てた内容となっています。
何が起きた？
10月26日（現地時間）、MicrosoftはWindows 10/11向けのOOB更新を公開しました。対象となるバージョンは幅広く、Windows 11の26H1から23H2、Windows 10の21H2と22H2が含まれます。各パッチには、更新されたルート証明書の信頼情報が含まれており、10月13日に公開された月例の累積更新プログラムの修正・改善も反映されています。
影響を受ける人・確認ポイント
通常、証明書信頼リスト（CTL）の自動更新は既定で有効になっています。そのため、最新のCTLを問題なく取得できている一般的な環境では、今回のOOB更新を追加で適用する必要はありません。ただし、以下の環境にあるデバイスは適用対象となります。
- ネットワークから切り離された環境にあるデバイス
- Microsoftの証明書更新サービスにアクセスできないデバイス
- CTLの自動更新が無効化されているデバイス
これらの環境では、自動更新によって信頼情報の更新が行われないため、手動で今回のOOBパッチを適用する必要があります。特に、オフライン環境やセキュリティポリシーで自動更新を制限している企業環境では要注意です。
裏ワザ・回避策
まず、自社の環境でCTLの自動更新が正常に動作しているか確認することが重要です。ネットワークから切り離されたデバイスや、証明書更新サービスへのアクセスが制限されている場合は、Microsoft Updateカタログから該当するKB番号のパッチを手動でダウンロードして適用してください。また、パッチ適用前に、対象OSのバージョンとOS Build番号を確認し、正確なパッチを選択するよう注意しましょう。
まとめ
今回のOOB更新は、eMudhraの証明書侵害というセキュリティインシデントへの対応としてリリースされました。CTLの自動更新が有効な環境では追加対応は不要ですが、オフライン環境やアクセス制限がある環境では、手動でのパッチ適用が必要です。自社のデバイス環境を確認し、必要に応じて速やかに適用を進めましょう。
参考：Microsoft、Windows 10/11に定例外パッチ ～「eMudhra」の証明書問題に対処か／証明書信頼リスト（CTL）を自動で更新できない環境が対象（窓の杜）