Debian ca-certificates: emSign ECC Root CA G3 und Comodo AAA Services root entfernt (DSA-6572-1)
Zusammenfassung
Debian hat festgestellt, dass mehrere eMudhra-Zwischenzertifizierungsstellen kompromittiert wurden. Die Sicherheitsmeldung DSA-6572-1 (veröffentlicht am 2026-10-20) liefert aktualisierte ca-certificates-Pakete, die die Stammzertifikate "emSign ECC Root CA - G3" und "Comodo AAA Services root" entfernen. Nach der Installation des Updates wird Zertifikaten, die auf diese Stammzertifikate zurückgehen, nicht mehr vertraut.
Was ändert sich?
Nach der Installation des aktualisierten ca-certificates-Pakets können TLS-Verbindungen (verschlüsselte Verbindungen) zu Servern, deren Zertifikatskette von "emSign ECC Root CA - G3" oder "Comodo AAA Services root" abhängt, mit Fehlern bei der Zertifikatsprüfung scheitern. Die Meldung nennt keine konkreten Fehlermeldungen.
Betroffen
- Debian-Systeme mit installiertem Paket ca-certificates
- Dienste und Anwendungen, die den System-Truststore von Debian nutzen und sich mit Servern verbinden, deren Zertifikate auf die entfernten Stammzertifikate zurückgehen
Vorbereitung und vorübergehende Ausnahmen
Keine Umgehung bekannt.
Prüfen und abschliessen
Das aktualisierte Paket ca-certificates aus dem Debian-Sicherheitsarchiv installieren (siehe DSA-6572-1). Die Meldung nennt keine Paketversionsnummer.
Empfehlung
Das Update auf Debian-Systemen installieren und vorher prüfen, welche internen und externen Dienste Zertifikate unter den beiden entfernten Stammzertifikaten verwenden. Falls solche Dienste existieren, die Betreiber bitten, vor oder unmittelbar nach dem Update auf Zertifikate einer anderen vertrauenswürdigen CA zu wechseln. Nach dem Update kritische Verbindungen (APIs, E-Mail, Proxys, Monitoring) testen.
Zeitplan
- Debian veröffentlicht DSA-6572-1: Aktualisierte ca-certificates-Pakete entfernen die Zertifikate "emSign ECC Root CA - G3" und "Comodo AAA Services root".
Quellen
- DSA-6572-1 ca-certificates - security update Hersteller · lists.debian.org
- Debian Security Tracker: DSA-6572-1 Hersteller · security-tracker.debian.org
Aus den genannten Quellen zusammengestellt und übersetzt mit AI (Claude); Status und Daten stammen vom Hersteller. Massgebend sind die Angaben des Herstellers. Aktualisiert 01.11.2026 15:38.
Woher die Angaben stammen
Wir lesen laufend die offiziellen Quellen der Hersteller, Meldungen aus der Community und Fachmedien und fassen die Angaben in eigenen Worten zusammen, mit Link zur Quelle:
- Microsoft: Windows Release Health (Windows 10/11, Server 2016 bis 2025), Windows Message Center, bekannte Probleme von Microsoft 365 Apps (Outlook, Excel, Word, PowerPoint), Edge, Intune, Autopilot, Windows 365 und Entra Connect, Microsoft-KB mit Zeitplänen, Exchange- und Windows-IT-Pro-Blog, optional Microsoft 365 Dienststatus und Message Center
- weitere Hersteller: Veeam KB, Citrix (bekannte Probleme), Ubuntu und Debian (Regressionen), Broadcom (VMware), Fortinet, Cisco, Mozilla, Let’s Encrypt
- Community (nur Titel, kurzer Auszug und Link, ohne Namen der Verfasser): Microsoft Q&A, Microsoft Tech Community (Diskussionen), Veeam R&D Forums, Eleven Forum
- gezielte Websuche mit AI (Claude), z. B. zu den Updates des Monats – findet auch Diskussionen auf Reddit und in Foren; solche Einträge sind als Community-Meldung gekennzeichnet, bis der Hersteller sie bestätigt
- Frühwarnung aus Fachmedien (nur Titel und Link): Borns IT- und Windows-Blog, BleepingComputer, AskWoody, Windows Latest, Windows Central, gHacks, The Windows Club, Deskmodder, Dr. Windows, WindowsArea, Frankys Web, heise online
Zusammenfassung und Übersetzung mit AI (Claude von Anthropic) – ohne Daten von Besucherinnen und Besuchern.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, setzen Workarounds sauber um und planen Stichtage rechtzeitig ein.