Windows et Edge : Microsoft retire des certificats après une grave erreur de sécurité
Un cadenas affiché dans la barre d'adresse de votre navigateur est censé vous garantir que vous communiquez avec le bon site Internet. Mais que se passe-t-il lorsqu'une autorité chargée de délivrer ces certificats commet une erreur de sécurité majeure ? C'est précisément ce qui vient de se produire chez eMudhra, une entreprise spécialisée dans la certification numérique. Microsoft a décidé de prendre des mesures exceptionnelles pour protéger les utilisateurs de Windows et de son navigateur Edge.
Dans un bulletin publié le 26 octobre 2026, le Microsoft Security Response Center explique que huit clés privées associées à des autorités de certification intermédiaires d'eMudhra étaient compromises. Six étaient destinées aux certificats HTTPS et deux à la signature de logiciels.
Des clés de sécurité beaucoup trop faciles à retrouver
Pour comprendre la gravité du problème, il faut revenir au rôle des certificats numériques. Lorsque vous consultez votre banque, une boutique en ligne ou un autre site sécurisé, votre navigateur vérifie notamment qu'un certificat valide lui permet de faire confiance à l'identité du site.
Ces certificats sont délivrés par des autorités de certification reconnues. Elles utilisent des clés cryptographiques privées qui doivent rester secrètes et être suffisamment robustes pour résister aux attaques.
Or, chez eMudhra, une erreur dans un script utilisé lors de la génération des clés en avril 2025 a provoqué une situation particulièrement embarrassante : huit clés privées étaient beaucoup trop faibles. Selon les analyses techniques publiées après leur découverte, il suffisait de tester un nombre extrêmement limité de possibilités pour les retrouver.
Un attaquant connaissant ces clés pouvait théoriquement créer de faux certificats semblant provenir d'une autorité reconnue. Dans certaines circonstances, cela aurait pu faciliter l'usurpation de sites Internet ou l'interception de communications chiffrées. Les deux clés destinées à la signature de code soulevaient également un risque de confiance accordée à des logiciels frauduleux.
Attention, ces possibilités ne signifient pas que des attaques de cette nature ont effectivement été réalisées. eMudhra indique que les huit autorités intermédiaires concernées n'avaient délivré aucun certificat destiné à un utilisateur final et qu'aucune intrusion dans son infrastructure ni fuite de données clients n'a été constatée.
Microsoft retire sept certificats de confiance
Le problème a été signalé le 17 octobre. eMudhra a révoqué les huit certificats intermédiaires le lendemain, tandis que plusieurs éditeurs de navigateurs ont commencé à les bloquer.
Microsoft a d'abord mis à jour sa liste des certificats explicitement refusés dans Windows le 20 octobre. Une protection similaire a été distribuée automatiquement à Edge et WebView2.
Mais l'entreprise est allée plus loin le 26 octobre, en publiant une mise à jour exceptionnelle de Windows : elle retire sept certificats supplémentaires de la liste des autorités considérées comme fiables par défaut. Il s'agit de six certificats racines eMudhra G3 et d'un certificat lié à la chaîne de confiance AAA Certificate Services.
Le retrait équivalent était également prévu pour Microsoft Edge le 27 octobre. Microsoft précise qu'il s'agit d'une mesure plus large que la simple révocation des huit autorités intermédiaires initialement concernées.
Pour une entreprise utilisant encore un certificat dépendant de ces autorités, la conséquence peut être très concrète : un site, une application ou un service interne risque de ne plus être reconnu comme fiable tant qu'un nouveau certificat ou une autre chaîne de confiance n'a pas été mis en place.
Deux mises à jour exceptionnelles pour Windows 10 et 11
Microsoft a publié deux mises à jour spécifiques le 26 octobre : KB5134133 pour Windows 11, dans ses versions 24H2, 25H2 et 26H2, et KB5134125 pour les versions encore prises en charge de Windows 10.
Ces mises à jour visent principalement les ordinateurs qui ne reçoivent pas automatiquement les nouvelles listes de certificats de confiance. C'est notamment le cas de certains postes isolés d'Internet, de machines professionnelles aux connexions limitées ou de systèmes dont les mises à jour automatiques des certificats ont été désactivées.
Sur un PC personnel normalement connecté à Internet et correctement configuré, les modifications de confiance sont généralement distribuées automatiquement. Il n'est donc pas nécessaire de chercher à installer manuellement ces deux correctifs si votre ordinateur reçoit déjà les mises à jour habituelles des certificats.
Que doivent faire les utilisateurs ?
Pour les particuliers, la recommandation reste simple : conserver Windows et son navigateur à jour, sans chercher à modifier manuellement la liste des certificats de confiance.
Les administrateurs informatiques doivent en revanche vérifier que leurs postes isolés et leurs environnements professionnels ont bien reçu les modifications de Microsoft. Si leurs services utilisent des certificats dépendant des autorités retirées, il faudra prévoir leur remplacement pour éviter des erreurs de connexion.
Il est également déconseillé de rétablir aveuglément la confiance envers les certificats supprimés pour faire disparaître un message d'erreur. Cette manipulation pourrait annuler une partie des protections mises en place.
L'incident dépasse d'ailleurs l'écosystème Microsoft. Mozilla, Apple, Google et d'autres acteurs ont également pris des mesures pour bloquer les certificats concernés.
Cette affaire rappelle qu'une connexion HTTPS ne repose pas uniquement sur la présence d'un cadenas : elle dépend de toute une chaîne de confiance entre le site visité, le navigateur et les organismes chargés de délivrer les certificats. Une simple erreur de génération cryptographique peut donc entraîner des conséquences bien au-delà de l'entreprise qui l'a commise.