eMudhra証明書問題、ブラウザが安全か確かめる手順

ニュースアプリで「破られた証明書」という見出しを見て、開いていたスマホのブラウザをそっと閉じていませんか。その画面がいま安全かどうかは、数分で確かめられます。

話題になっているのは、認証局eMudhraの中間証明書の問題です。この記事は、「自分のスマホやパソコンは大丈夫？」と気になって検索した人に向けて書いています。

読むと、3つのことが分かります。何が起きたのか、ブラウザ側の対策はどうなっているのか、検証用サイトで自分の環境をどう確かめるかです。エラーが出たときの正しい動き方も、あとで紹介しました。

eMudhraの中間証明書で何が起きたのか

認証局eMudhraは、emSignというブランド名で証明書を出している会社です。この会社の中間証明書8件で、秘密鍵が漏れたことが公式に確認されています。

秘密鍵は、証明書が本物だと証明するための合い鍵のようなものです。中間証明書は、大元の証明書と各サイトの証明書をつなぐ役目を持っています。この合い鍵が他人の手に渡ると、本物そっくりの証明書を作れてしまいます。

原因は、証明書を作るときのスクリプト（自動で処理するプログラム）の不備でした。そのせいで、秘密鍵が1バイトほどの極めて弱い値になっていたと報告されています。1バイトは、総当たりですぐに当てられてしまう長さです。

放っておくと、攻撃者が本物のサイトになりすませてしまいます。HTTPS通信は、鍵マークの付いた暗号化された通信のことです。その中身をのぞき見されたり、書き換えられたりする恐れもあります。

ちなみに、この件はPHPなどプログラミング言語そのものの欠陥とは別の話です。言語側を心配する必要はありません。脆弱性番号はCVE-2026-111943で、あくまで証明書側のトラブルとして扱われています。

そもそもFirefoxにはOneCRL、ChromeにはCRLSetという仕組みがあります。どちらも失効リスト（使ってはいけない証明書の一覧）を、自動で配る仕組みです。問題の中間証明書8件は、このリストですでにブロックされています。

失効リストは、ブラウザ本体のアップデートとは別のルートで届きます。ただ、念のため本体も最新版にしておくのがおすすめです。ブラウザの更新ボタンは、こういうときのためにあるんだなと改めて感じました。

確かめておきたいのは、次の2種類です。メニューの名前は機種やバージョンで違うので、ここでは「バージョン情報を表示するような項目」と呼んでおきます。

判定の向きは、ふつうの感覚とは逆さまです。証明書エラーが出れば「対策済みで正常」、何事もなくページが開けば「まだ古い状態」を示しています。

ここ、逆なんです。このページは、安全な環境ならはじかれるように作られたテスト用のページです。だから、エラーで止められたら合格だと考えてください。

所要時間は、公式の目安ではありませんが数分程度です。OSの更新で再起動が入ると、もう少しかかります。

スマホとパソコンの両方で、使っているブラウザごとに確かめましょう。パソコンはChrome、スマホは別のブラウザというように使い分けている人は、それぞれで開く必要があります。1台で合格しても、ほかの端末の結果は分かりません。

たとえば、いつも見ているネットショップを開いたら、急に証明書エラーの画面が出たとします。画面には詳細を表示するようなボタンがあり、そこから先へ進めそうに見えます。

ここで先へ進むのはやめましょう。エラーを無視して接続を続けず、いったんタブを閉じるのが正解です。証明書エラーは、ブラウザが「この相手が本物か分からない」と止めてくれているサインと考えてください。

一方で、ブラウザを更新すれば全部安全、とは言い切れません。アプリ内ブラウザは、SNSなどのアプリの中で開くページのことです。こうしたアプリの一部は、独自の証明書ストア（信頼する証明書の一覧）を持っています。その場合は、アプリ自体の更新が別に必要です。

開発者やサーバー管理者の人は、ツールやライブラリも見直しましょう。curlやPythonのcertifi、Goのcrypto/x509などが対象です。Goなら1.27.3や1.26.10に上げて、アプリを再ビルドします。

まだ分かっていないこともあります。この弱い秘密鍵が過去に悪用されたかどうかは公表されていません（2026-10-22時点）。すべてのアプリがいつ直るのかも、発表待ちです（2026-10-22時点）。

結論：Chrome・Firefox・Edgeなど主要ブラウザは、すでに対策済みです。CRLSetやOneCRLで、eMudhraの問題の中間証明書をブロックしています
次にやること：ブラウザとOSを最新版にしてから、emudhra.we-have-a-problem.com を開いてエラーが出るか見ます
覚えておくこと：検証用サイトで証明書エラーが出るのが「安全」のサインで、普段のサイトで出たエラーは無視せず閉じます

まずはブラウザを最新版にして、emudhra.we-have-a-problem.com を開いてみてください。証明書エラーが出れば、eMudhraの中間証明書問題への備えはできています。