eMudhra証明書問題で更新・再起動は必要？Chrome・Firefox・Androidの違い

「ブラウザを更新しないと、まだ保護されていないの？」と迷う今回の問題は、ブラウザ本体の更新と、証明書をブロックする情報の配信を分けると整理できます。

GoogleとMozillaは2026年10月20日、eMudhraの中間CA証明書に関する対策を公表しました。中間CAは、サイトのHTTPS証明書を発行する認証局です。その秘密鍵に問題があると、第三者がサイトになりすます証明書を作れるおそれがあります。

この記事は両社の発表・リリースノート・更新ヘルプを2026年10月21日に確認した解説です。編集部では、日本の個別端末への対策到達、更新・再起動、証明書警告画面の実操作を検証していません。

Chrome・Firefox・Androidで、配信と再起動が違う

Google・Mozillaの発表をもとに編集部が作成した比較図です。実際の設定画面ではありません。

利用環境	今回の対策の配信	更新・再起動の考え方
Chrome	CRLSetというブロック情報の更新	この対策を受け取るためのブラウザ更新・再起動は不要
標準設定のFirefox	OneCRLという失効情報の配信	この対策を受け取るためのブラウザ更新・再起動は不要
OneCRLを受信できないFirefox	Firefox 158.0.1（PC・Android）、ESR 115.43.1／153.5.1の更新版にも対策を収録	正規の更新を適用する。アプリ本体の更新とOneCRLの配信を区別する
Android・Googlebooks	Google Play Services経由の同等の対策	Googleは、端末再起動で即時更新を促せると説明

Googleの発表（英語）は、Chromeで問題のある鍵を使う証明書をブロックするCRLSet更新を配布したと説明しています。ブラウザ本体を更新する作業とは別です。

Mozillaの発表（英語）も、標準設定の利用者へのOneCRL配布は完了したとしています。Firefox 158.0.1のリリースノート（英語）は、ポリシーやネットワークの事情でRemote Settingsを使えない環境にも、更新版で対策を届けると説明しています。Firefox利用者全員が更新前は未保護、という意味ではありません。

配信時刻は日本時間でいつ？

対策	発表にある時刻	日本時間（JST）
ChromeのCRLSet更新	10月17日 19:45 UTC	10月18日 04:45
標準設定のFirefoxへのOneCRL配布完了	10月17日 22:59 UTCまで	10月18日 07:59まで
Android等への同等の更新	10月19日 22:00 UTC頃	10月20日 07:00頃

いずれも2026年です。これは各社が説明する配信時刻で、日本のすべての端末がその時刻に受信したと確認できたものではありません。

いま確認すること：通常の更新とAndroidの端末再起動

Chromeは通常の更新を続ける

CRLSetにブラウザ更新が不要でも、通常のセキュリティ更新を止める理由にはなりません。PC版の一般的な更新確認は、Googleの更新ヘルプに沿って行えます。

1. 作業を保存してから、Chromeの右上のその他メニューを開きます。
2. ［ヘルプ］→［Google Chromeについて］で更新の有無を確認します。
3. 更新を適用する［再起動］が表示されたら、都合のよいタイミングで適用します。

この再起動はブラウザ本体の更新のためで、今回のCRLSet配信に必須という意味ではありません。管理されている端末や、更新方法の異なる配布版は、組織・配布元の案内に従ってください。

Firefoxは更新版の役割も確認する

今回の対策を含む版は、10月20日に公表されたFirefox 158.0.1と、ESR 115.43.1／153.5.1です。更新が必要かは、利用している配布版の正規の更新画面で確認します。

Mozilla配布のPC版では、メニューの［ヘルプ］から［Firefoxについて］を開きます。Macでは画面上部の［Firefox］→［Firefoxについて］です。更新があると既定ではダウンロードされるため、作業を保存してから開いてください。［再起動してFirefoxを更新］が表示された場合は、公式の更新手順に従います。Microsoft Store版などは配布元によって更新方法が異なります。

Android版のバージョン確認は、メニュー→［設定］を開き、下部の製品情報セクションで［Firefoxについて］を選びます。MozillaのAndroid更新ヘルプは、Google Playで更新の有無を確認する方法も案内しています。組織のポリシーで更新できない場合は、設定を解除せず管理者に確認してください。

Androidは「端末の再起動」と区別する

Googleは、Android・Googlebooksへの同等の対策をGoogle Play Services経由で配信したと説明しています。端末再起動で即時更新を促せるという案内なので、再起動する場合は作業を保存し、端末の通常の手順で行います。

Chromeを閉じて開くだけの操作や、Firefoxアプリの更新とは別です。Google Play Servicesを使わない環境への適用や、日本の個別機種での到達は、今回確認した資料と編集部の調査では確かめていません。

10月27日午前PDT予定のルート削除と、警告への対応

Googleは、問題のある中間CAを署名した「emSign ECC Root CA - G3」をChrome Root Storeから削除し、その配信を2026年10月27日午前PDTに予定していると説明しています。ルート証明書は、証明書の信頼関係の起点になるものです。

午前の何時かは示されていないため、日本時間の日付を一つに決めつけません。これにより、このルートにつながる正当なサイトの証明書も使えなくなる可能性があり、サイト運営者には別の信頼される証明書への移行が求められています。

利用者は、警告が出ても「ニュースで見た問題だから大丈夫」と判断して進まないでください。

1. 接続を中断し、その画面ではパスワードや支払い情報を入力しません。
2. 普段使うブックマークなどで、意図した正規のURLかを確認します。URLが正しく見えても、証明書警告を無視してよい根拠にはなりません。
3. 通常のブラウザ・端末の更新状況と、サイト運営者の公式案内を確認します。会社の端末なら管理者に相談します。

警告だけでは、原因がeMudhra問題かどうかは分かりません。ブラウザの安全設定を解除したり、警告画面から案内された不明な証明書を入れたりして解決しようとしないでください。

Cloudflareの説明（英語）も、今回の問題を証明書による相手の認証の問題として説明しています。「HTTPSの暗号化がすべて破られた」「被害が一切ない」と一般化する材料にはしていません。

なお、Chromeの保護強化機能による詐欺検知は、この証明書のブロック情報とは別の仕組みです。保護強化の設定を変えることを、今回の対策の受信条件として案内するものではありません。