Google、eMudhraの証明書を遮断 ChromeとAndroidに対策

Googleは2026年10月20日、eMudhraの中間CA証明書の秘密鍵に問題が見つかったと発表した。サイトへのなりすましを防ぐため、ChromeとAndroid向けに対策を配信した。

何が起き、どう対策したのか

中間CA証明書は、サイトの証明書を発行する認証局の証明書だ。秘密鍵は、証明書が正規に発行されたことを示すための重要な情報である。

Googleによると、研究者から秘密鍵が侵害された8件の証明書について報告を受けた。鍵を作る際の乱数が不十分で、安全性が損なわれていたという。未対策の環境では、誰でも任意のサイトになりすます証明書を偽造できるとしている。

Googleは問題を確認し、Chrome向けの遮断更新を実施した。公開して使う鍵である「公開鍵」を基準に、同じ鍵を使うすべての証明書を対象とした。同社によると、Chromeはブラウザーの更新や再起動なしで直ちに保護された。

Android端末とGooglebooksには、Google Play開発者サービス経由で対策を配信した。Googleによると、Android端末の大半は受信済みだ。端末を再起動すると、対策更新を直ちに適用できるという。

かんたんに言うと、信用を示す印鑑の問題

証明書を身分証にたとえると、秘密鍵は発行元だけが持つ印鑑に当たる。その印鑑の安全性が崩れれば、偽の身分証にも正規らしい印を付けられてしまう。

今回の問題は、暗号化して通信するHTTPSの証明書に関わる。Googleは、未対策の環境ではサイトへのなりすましに使えると説明している。通信の暗号化と、相手を正しく確かめることは、分けて考える必要がある。

対策の影響は、不正な証明書だけにはとどまらない。Googleは、信頼の起点となるルート証明書のemSign ECC Root CA - G3も削除した。この削除で、一部の正規証明書もChromeで機能しなくなるとしている。

日本では

日本での提供は発表されていない。資料には、日本の利用者向けの配信状況や、日本固有の対応についての記載はない。Android端末の大半が対策更新を受信済みという説明も、日本に限ったものではない。

まとめ

利用者の保護と同時に、サイト側にも証明書の確認が必要な事案だ。Googleは対象サイトの運営者に、別の信頼される証明書への切り替えを求めている。eMudhraは顧客の移行支援を約束した。

ルート証明書の削除は、2026年10月27日午前(PDT、米国太平洋夏時間)に対象端末全体へ反映予定だ。Googleは残る認証局の証明書についても信頼継続を調査し、進展を公開する方針としている。