HCL hat am 27.10.2026 mehrere Sicherheitswarnungen für Notes und Domino veröffentlicht. Hintergrund sind kompromittierte Zertifikate des indischen Zertifizierungsanbieters eMudhra. Die Sicherheitslücken werden mit einem CVSS-Score von 9,1 (kritisch) bewertet und betreffen auch die aktuellen Versionen Notes und Domino 14.5.1 FP1.

Bei acht Intermediate-Zertifikaten (Zwischenzertifizierungsstellen) von eMudhra können die privaten Schlüssel aufgrund einer Schwachstelle bei der Schlüsselerzeugung rekonstruiert werden. Damit können Angreifer gefälschte TLS-Zertifikate ausstellen und beispielsweise Man-in-the-Middle-Angriffe durchführen.

Die betroffenen Zertifikate wurden inzwischen widerrufen. Das allein reicht allerdings nicht aus, weil nicht alle Anwendungen den Widerrufsstatus überprüfen.

HCL hat dazu den Knowledge-Base-Artikel KB0134844 veröffentlicht. Solange noch keine korrigierenden Softwareupdates verfügbar sind, müssen Administratoren selbst aktiv werden.

Dabei ist zu beachten, dass Notes und Domino mehrere voneinander unabhängige Zertifikatsspeicher verwenden:

Wichtig: Die Bereinigung eines Zertifikatsspeichers wirkt sich nicht automatisch auf die anderen aus. Insbesondere müssen der Java-Truststore und die Datei cacert.pem unabhängig voneinander bereinigt werden.

1. Java-Truststore bereinigen

Sowohl Notes als auch Domino bringen eine eigene Java-Laufzeitumgebung mit. In deren Zertifikatsspeicher muss das Root-Zertifikat emSign ECC Root CA - G3 entfernt werden.

Dazu zunächst Notes beziehungsweise Domino beenden und in das Verzeichnis jvm/lib/security unterhalb des jeweiligen Programmverzeichnisses wechseln.

Die erforderlichen Befehle unterscheiden sich je nach Notes-/Domino-Version.

Notes/Domino 14.0 und 14.5.x (Java 17/21)

Unter Windows:

..\..\bin\keytool.exe -delete -alias "cn_emsign_ecc_root_ca__g3,o_emudhra_technologies_limited,ou_emsign_pki,c_in [jdk]" -cacerts

Unter Linux, AIX und macOS:

../../bin/keytool -delete -alias "cn_emsign_ecc_root_ca__g3,o_emudhra_technologies_limited,ou_emsign_pki,c_in [jdk]" -cacerts

Notes/Domino 12.0.2 (Java 8)

Unter Windows:

..\..\bin\keytool.exe -delete -alias "cn=emsign_ecc_root_ca_-_g3,o=emudhra_technologies_limited,ou=emsign_pki,c=in" -keystore cacerts -storepass changeit

Unter Linux, AIX und macOS:

../../bin/keytool -delete -alias "cn=emsign_ecc_root_ca_-_g3,o=emudhra_technologies_limited,ou=emsign_pki,c=in" -keystore cacerts -storepass changeit

Bei älteren Versionen von 12.0.2 kann der Alias anders lauten:

c = in, ou = emsign pki, o = emudhra technologies limited, cn = emsign ecc root ca - g3

Vor der Änderung sollte eine Sicherungskopie des Java-Truststores erstellt werden. Außerdem empfiehlt es sich, den vorhandenen Alias mit keytool -list zu kontrollieren.

Die Befehle stammen aus dem HCL-Knowledge-Base-Artikel KB0134844.

2. Zertifikate aus cacert.pem entfernen

Notes und Domino verwenden für verschiedene TLS-Verbindungen die Bibliothek libcurl, beispielsweise für LotusScript, OIDC und Domino IQ. Die dafür verwendeten vertrauenswürdigen Root-Zertifikate befinden sich in der Datei cacert.pem im jeweiligen Datenverzeichnis.

Hier müssen die vollständigen Zertifikatsblöcke der folgenden drei Zertifizierungsstellen entfernt werden:

• emSign ECC Root CA - G3
• emSign Root CA - C1
• emSign ECC Root CA - C3

Bei älteren Notes- und Domino-Versionen muss zusätzlich das Zertifikat Comodo AAA Services root entfernt werden.

Die Zertifikatsblöcke bestehen jeweils aus dem Namen der Zertifizierungsstelle sowie dem PEM-kodierten Zertifikat zwischen den Zeilen -----BEGIN CERTIFICATE----- und -----END CERTIFICATE-----.

Die vollständigen Zertifikate sind im HCL-KB-Artikel KB0134844 aufgeführt. Anhand dieser Angaben lassen sich die betreffenden Blöcke in einem Texteditor identifizieren und entfernen.

Vorher unbedingt eine Sicherungskopie der Datei anlegen. Anschließend Notes beziehungsweise Domino neu starten.

3. Domino-Verzeichnis und Certificate Store überprüfen

HCL liefert die kompromittierten Zertifikate nicht mit den Datenbankschablonen pubnames.ntf, pernames.ntf und certstore.ntf aus.

Falls sie allerdings manuell als vertrauenswürdige Internet-Zertifizierungsstellen in names.nsf oder certstore.nsf eingetragen wurden, müssen diese Einträge überprüft und gegebenenfalls entfernt oder durch andere vertrauenswürdige Zertifizierungsstellen ersetzt werden.

Bei einer unveränderten Standardinstallation ist hier nach Angaben von HCL keine Bereinigung erforderlich.

4. Betriebssystem-Zertifikatsspeicher berücksichtigen

Neben den von Notes und Domino selbst verwendeten Zertifikatsspeichern können auch Zertifikatsspeicher des Betriebssystems eine Rolle spielen.

Insbesondere unter Windows und Linux sollten Administratoren deshalb prüfen, ob die betroffenen Zertifizierungsstellen weiterhin als vertrauenswürdig eingestuft werden. Dabei sind sowohl Systemupdates als auch gegebenenfalls manuell importierte Zertifikate zu berücksichtigen.

Eine Aktualisierung des Betriebssystems ersetzt allerdings nicht die zuvor beschriebenen Maßnahmen für den Java-Truststore und die Datei cacert.pem.

Besonderheiten bei macOS und IBM i:

• Notes unter macOS: Für libcurl wird der macOS-System-Schlüsselbund verwendet. HCL empfiehlt deshalb, die aktuellen macOS-Updates einzuspielen.
• Domino unter IBM i: Hier wird für libcurl eine separate cacert.kdb verwendet, die laut HCL keine betroffenen Root-Zertifikate enthält. Für die Bereinigung der IBM-Java-Laufzeitumgebung verweist HCL an den IBM-Support.

Meine Empfehlung: Nicht auf das nächste Fix Pack warten, sondern die betroffenen Zertifikatsspeicher auf den Domino-Servern und Notes-Clients zeitnah überprüfen und bereinigen.