インドの認証局 eMudhra（イームドラ）の中間 CA 8つの秘密鍵が侵害された問題で、Mozilla と Google の Chrome Root Program は、Firefox と Chrome を標準の設定で使っている人は、更新や再起動をしなくても保護されていると説明しています。利用者とブログ運営者がすべきこと・しなくてよいことを、Mozilla・Google・eMudhra・Cisco などの公式発表（2026年10月25日確認）だけで整理します。
【結論】Chrome と Firefox を標準の設定で使っている場合、公式発表に利用者の操作は挙げられていません。
- Mozilla：遮断リスト（OneCRL）で対処し「without requiring users to update or restart Firefox」（Firefox の更新や再起動は不要）
- Chrome Root Program：遮断リスト（CRLSet）で対処し「without requiring a browser update or restart」（ブラウザの更新や再起動は不要）
- 操作が必要と公式に書かれているのは、Firefox の自動配信を設定で止めている場合（158.0.1 などへの更新）と、自分で管理する Linux サーバー（ca-certificates の更新）など
- Windows・Mac・iPhone・Edge・Android 本体：各社の一般向けの説明は、2026年10月25日時点で見当たらない
- 悪用：Cisco と eMudhra は、悪用を把握していないとしている
ブラウザ・OS 別の早見表
「記載なし」は、2026年10月25日に確認した範囲で公式の説明が見つからなかったものです。
| 対象 | 公式の対応状況 | 利用者の操作（公式の記載） |
|---|---|---|
| Chrome | 10月17日（UTC）に CRLSet で TLS 用の中間 CA 6つを遮断（Chrome Root Program） | 不要。更新や再起動なしで保護されたとしている |
| Firefox（パソコン・Android・ESR） | 10月17日（UTC）に OneCRL で遮断し、標準の設定の利用者への配信を完了（Mozilla） | 標準の設定なら不要。自動配信が届かない場合は 158.0.1（Android は 158.0.2）、ESR 115.43.1・153.5.1 |
| Thunderbird | 158.0.1・153.5.1 に同じ遮断リストを収録（Mozilla のセキュリティ情報） | 更新版あり。利用者向けの操作の説明は記載なし |
| Windows・Microsoft Edge | Microsoft の一般向けの説明は見当たらない | 記載なし。Google Cloud は自社の利用者向けに、Windows は最新の更新を入れるよう案内 |
| iPhone・Mac・Safari | Apple の一般向けの説明は見当たらない | 記載なし |
| Android 本体 | Google の一般向けの説明は見当たらない | 記載なし |
| Linux（自分で管理するサーバー） | Ubuntu・Red Hat が ca-certificates（信頼する証明書の一覧）を更新 | 更新を適用する（Ubuntu・Red Hat） |
| eMudhra の電子署名・eSign など | 影響なし（eMudhra） | 不要（eMudhra） |
何が起きたか：中間 CA の秘密鍵が推測できる状態だった
HTTPS では、ブラウザや OS が持つ信頼する認証局の一覧をもとに、サイトの証明書が本物かを確かめます。一覧に載るルート CA（認証局）の下に中間 CA があり、中間 CA がサイトの証明書を発行します（一般的なしくみの説明）。
Mozilla は10月17日 20時06分（UTC、日本時間18日5時06分）に、eMudhra の中間 CA 8つの秘密鍵が侵害されたとの報告を受けました。これらの鍵があれば、他人のサイトの偽の HTTPS 証明書を発行でき、通信を傍受できる攻撃者がサイトになりすまして通信を読んだり書き換えたりできる可能性があると Mozilla は説明しています。
eMudhra によると、原因は2025年4月30日の鍵生成の手順の不備で、本来の鍵とは別にできた弱い鍵がブラウザの信頼リストに載りました（根本原因は調査中）。8つは TLS（ウェブサイト）用が6つ、コード署名用が2つで、Sectigo の「AAA Certificate Services」による相互署名もありました（Cisco）。
eMudhra は、8つからは証明書を1枚も発行しておらず、インフラの侵害やデータの漏えいもないとし、10月18日に8つを失効させました。Sectigo も19日に相互署名の失効を終えたと、Mozilla の不具合管理システム（bugzilla）で報告しています。
ルート証明書まで外されたのはなぜ
Mozilla は10月20日、複数の人が独立に鍵を復元したことを受け、失効の情報を使わない機器も守るため、上位のルート「emSign ECC Root CA – G3」の信頼を緊急に外すと bugzilla で表明し、Chrome Root Program も同じ方針を示しました。Mozilla は NSS 3.131.1（他のソフトも使う証明書の一覧）で、Chrome は Chrome Root Store の Version 43 で外す予定です。Chrome Root Program は、この変更は「not necessary to protect Chrome users」（Chrome の利用者を守るためには必要ない）としています。
Chrome・Firefox が更新なしで守られる理由
Firefox：OneCRL で自動配信
Mozilla は OneCRL（Mozilla が一元管理する失効証明書の一覧）で遮断し、同日22時59分（UTC、日本時間18日7時59分）に「the updated OneCRL distribution was complete for all Firefox users with standard configurations」（標準の設定の全利用者への配信が完了）としています。
10月20日の Firefox 158.0.1（パソコン・Android）と ESR 115.43.1・153.5.1 は、独自の設定で更新を受け取れなかった少数の利用者向けの版です。リリースノートは、ポリシーで自動配信（Remote Settings）が無効な場合なども遮断できるとしています。Android は21日に、起動直後に遮断リストが反映されない不具合を直した 158.0.2 が出ました。
Chrome：CRLSet で自動配信
Chrome Root Program は、10月17日18時05分（UTC、日本時間18日3時05分）に報告を受け、19時45分（同4時45分）に CRLSet を更新して TLS 用の6つを遮断したと、Mozilla の公開討論リストに投稿しています。CRLSet は、Chrome が緊急時に証明書を素早く遮断する主な手段です（Chromium の解説）。
同じ投稿は、Sectigo の相互署名も同じ鍵のため一緒に遮断できたとしています。また Chrome は既定で証明書の公開記録（Certificate Transparency）を求めており、遮断前に記録された証明書がないため、偽の証明書が既定の Chrome で信頼されることはなかったとしています。
Windows・Mac・iPhone・Edge は
研究者は Apple・Google・Microsoft・Mozilla に同時に報告しました（eMudhra）。ただし Microsoft と Apple の一般向けの説明は、2026年10月25日時点で見当たりません。Cisco Talos は TLS 用の6つは Chrome・Mozilla・Apple が、コード署名用の2つは Microsoft が遮断済みと書いていますが、Apple・Microsoft 自身の発表ではありません。
Google Cloud は自社の利用者向けの公開情報（GCP-2026-071）で、Windows は「最新の Windows の更新プログラムをインストールします」と案内しています。OS やブラウザの自動更新を有効のままにしておくのが、ふだんどおりの備えです（一般的な注意。公式の案内ではありません）。
ブログ・サイト運営者がすること
自分のサイトの証明書
eMudhra は「The impact is limited to TLS certificates chaining to the distrusted ECC root, and it is contained to a single customer ecosystem in the United States.」（影響は信頼を外された ECC ルートにつながる TLS 証明書に限られ、米国の1つの顧客に限定される）としています。影響のある顧客には直接連絡し、置き換えの証明書を出しているとしています。
日本のレンタルサーバーやブログ運営者向けの案内は、今回確認した公式発表にはありません。自分のサイトの証明書の発行元は、ブラウザのアドレスバーにある鍵のマーク（サイト情報）から確認できます（一般的な操作。公式の案内ではありません）。
サーバーを自分で管理している場合
Ubuntu は USN-8944-1 で ca-certificates から「emSign ECC Root CA – G3」を削除し、「In general, a standard system update will make all the necessary changes.」（通常のシステム更新で足りる）としています。Red Hat も RHSB-2026-012 で、更新された ca-certificates の適用を求めています。
証明書の一覧を自前で持つソフトもあり、Go 言語は 1.27.3・1.26.10（CVE-2026-111943・Cisco Talos）、Node.js は10月21日のセキュリティリリースで対応しました（下の関連記事）。
なお eMudhra は、電子署名・eSign などは別のインフラで影響はなく、「Customers using them do not need to take any action.」（利用者の操作は不要）としています。企業向けの Cisco 製品は、Cisco が影響あり・調査中・影響なしに分けて一覧にしています。
悪用は確認されている？
- Cisco：「The Cisco PSIRT is not aware of any malicious use of the issue that is described in this advisory.」（悪用は把握していない・10月24日の v1.1）
- Cisco Talos：10月21日14時（UTC）時点で、実際の悪用は確認していない
- eMudhra：公表の前に誰かが弱い鍵を復元・悪用した証拠は把握していない
- Google Cloud：自社のクラウドについて「セキュリティ テレメトリーでは、Google Cloud ワークロードに対する悪用の証拠は示されていません」
米 CISA の KEV カタログ、JPCERT/CC の注意喚起、IPA の重要なセキュリティ情報、JVN に本件の掲載はありませんでした（2026年10月25日確認）。
時系列：公表された順番
日付は各社の表記（UTC など）です。
| 日付 | 発表した組織 | 内容 |
|---|---|---|
| 2025年4月30日 | eMudhra | 8つの中間 CA を作った鍵生成の手順 |
| 2026年10月17日（日本時間18日） | Chrome Root Program・Mozilla | 研究者の報告を受け、CRLSet・OneCRL で遮断 |
| 10月18日 | eMudhra | 8つの中間 CA を失効 |
| 10月19日 | Sectigo | 相互署名した証明書の失効を完了（bugzilla） |
| 10月20日 | Mozilla・Chrome Root Program・Ubuntu・eMudhra | Mozilla がブログで説明し Firefox 158.0.1 などを公開／Chrome が対応を投稿／Ubuntu が ca-certificates を更新／eMudhra が声明 |
| 10月21日 | Mozilla・eMudhra・Cisco Talos | Firefox for Android 158.0.2／eMudhra のプレスリリース／Talos の解説 |
| 10月22日 | eMudhra | 世界向けの SSL/TLS 証明書事業からの撤退を発表 |
| 10月23日 | Google Cloud・Cisco | GCP-2026-071 を公開／Cisco が自社製品への影響を公開（24日に v1.1） |
公式に記載がないこと（2026年10月25日確認）
- Microsoft（Windows・Edge）、Apple（iPhone・Mac・Safari）、Android 本体についての一般向けの説明
- Chrome の一般向けのヘルプやブログでの説明（対応の説明は、公開討論リストと bugzilla への投稿のみ）
- Thunderbird の利用者に求める操作
- 日本の利用者・サイトへの影響（件数や事例）
- 根本原因の詳細（eMudhra は調査中としている）
- JPCERT/CC・IPA・JVN・米 CISA の注意喚起、インドの CCA（認証局を監督する機関）の告知
続報の見方
続報は、eMudhra の声明ページ、Mozilla の bugzilla、Cisco の公開情報で確かめられます。
関連記事
- Node.jsの脆弱性10件、自分は対象？修正版と今やること【2026年10月】（eMudhra の件の証明書の更新も含む）
- PHPの重大脆弱性php2shellは自分のサイトも対象？修正版と確認手順（同じ時期の、ブログ運営者向けの脆弱性の解説）
- FortiBleedとは？FortiGate認証情報の漏えいは新しい脆弱性か（同じ時期のセキュリティの解説）
よくある質問
eMudhraの証明書の問題で、パソコンやスマホで何かする必要はありますか？
A. ChromeとFirefoxを標準の設定で使っている場合、公式発表に利用者の操作は挙げられていません。MozillaとChrome Root Programは、更新や再起動なしで保護されるとしています。Windows・Mac・iPhone・Edge・Android本体は、各社の一般向けの説明が2026年10月25日時点で見当たりません。
Firefoxはアップデートしなくてもよいですか？
A. Mozillaは、10月17日（UTC）に遮断リスト（OneCRL）の配信を標準の設定の全利用者に完了したとしています。Firefox 158.0.1やESR 115.43.1・153.5.1は、設定などで自動配信を受け取れなかった利用者向けの版です。Android版は158.0.2で、遮断リストが起動直後に反映されない不具合が直されています。
iPhoneやWindowsでは何をすればよいですか？
A. AppleとMicrosoftの一般向けの説明は、2026年10月25日時点で見当たりません。Google Cloudは自社の利用者向けに、Windowsは最新の更新プログラムを入れるよう案内しています。OSの自動更新を有効のままにしておくのが、ふだんどおりの備えです（一般的な注意）。
自分のブログやサイトの証明書は影響を受けますか？
A. eMudhraは、影響は信頼を外されたECCルートにつながるTLS証明書に限られ、米国の1つの顧客に限定されるとし、影響のある顧客には直接連絡したとしています。日本のブログ運営者向けの案内は、確認した公式発表にはありません。自分で管理するサーバーは、UbuntuとRed Hatがca-certificatesの更新を案内しています。
すでに悪用されていますか？
A. Ciscoは悪用を把握していないとし、eMudhraも公表前に弱い鍵が復元・悪用された証拠は把握していないとしています。Chrome Root Programは、遮断前に公開記録された証明書がなく、偽の証明書が既定のChromeで信頼されることはなかったとしています。JPCERT/CC・IPA・米CISAの注意喚起は見当たりませんでした。
まとめ
- Chrome と Firefox は、標準の設定なら更新や再起動なしで保護済み（Chrome Root Program・Mozilla）
- 操作が公式に挙がるのは、Firefox の自動配信を止めている場合と、自分で管理する Linux など
- Windows・Mac・iPhone・Edge・Android 本体は公式の一般向けの説明がない。Cisco・eMudhra は悪用を把握していない
この記事は、2026年10月25日に確認した公式発表の内容で書いています。
📋 2026年 国内の情報漏えい・サイバー攻撃 一覧（毎日更新）
公式発表のあった事案を306件掲載。自分が対象かどうかは、各事案の「自分は対象？」の記事で確認できます。
直近の公表:
出典
- Mozilla Security Blog「Protecting Firefox users following the compromise of eMudhra intermediate certificates」（2026年10月20日・21日追記）
- Firefox 158.0.1 リリースノート／Firefox for Android 158.0.2 リリースノート／Mozilla セキュリティ情報 MFSA 2026-111・MFSA 2026-114・MFSA 2026-115（CVE-2026-113470）
- Mozilla bugzilla「eMudhra: Private key compromise of Intermediate Certificates」（Bug 2083449）
- Chrome Root Program の投稿（Mozilla dev-security-policy「Compromised eMudhra Intermediate Certificates」）（2026年10月20日）／The Chromium Projects「CRLSets」
- eMudhra「eMudhra Statement on Recent Certificate Security Incident」（2026年10月20日初出・22日更新）／プレスリリース（10月21日）／プレスリリース「eMudhra to Exit global SSL/TLS Certificate Business」（10月22日）
- Cisco「Cisco Informational for Emergency Distrust of eMudhra Root and Intermediate Certificate Authorities」（2026年10月23日初版・24日 v1.1）／Cisco Talos「Compromised eMudhra intermediate certificates」（2026年10月21日）
- Google Cloud「セキュリティに関する公開情報」（GCP-2026-071・2026年10月23日）
- Ubuntu「USN-8944-1: ca-certificates update」（2026年10月20日）／Node.js「Wednesday, October 21, 2026 Security Releases」（2026年10月21日）／Red Hat「RHSB-2026-012 Certificate compromise – eMudhra」
- 記載がないことを確認したページ：Apple のセキュリティリリース／Microsoft Trusted Root Program のリリースノート／JPCERT/CC 注意喚起 2026年／IPA「重要なセキュリティ情報」2026年度／CISA「Known Exploited Vulnerabilities Catalog」
いずれも2026年10月25日に確認。
コメント