蘋果封鎖後，Mac 命令列工具仍可能信任 eMudhra 憑證

蘋果（AAPL）已封鎖遭入侵的 eMudhra TLS 中間憑證授權機構憑證，但 Mac 內建的 git、curl 等部分命令列工具仍可能接受這些憑證。Safari、Mail 的封鎖機制不會以相同方式套用到終端機工具。

蘋果在官方說明中表示，已從 10 月 19 日起封鎖 12 張問題中間憑證，並於 23 日將 emSign ECC Root CA - G3 列入封鎖範圍。Safari、Mail 及使用蘋果網路與安全框架的 App，會自動套用封鎖資訊。

這起事件源於 eMudhra 營運的 8 個中間憑證授權機構私鑰遭入侵。蘋果表示，其中 6 個機構曾簽發網站 TLS 憑證；持有相關私鑰的攻擊者可為任意網站製作看似有效的憑證。

蘋果指出，macOS 或 Xcode 隨附的 curl、git、python3、ruby、perl、openssl 等命令列工具會檢查 /etc/ssl/cert.pem。這個檔案尚未納入蘋果的封鎖措施，因此依此檔案驗證憑證的工具仍可能接受問題憑證。

蘋果表示，不使用終端機工作的使用者不需採取額外措施。Safari、Mail 等採用蘋果網路與安全框架的 App，會自動套用封鎖。

eMudhra 事件追蹤網站於 28 日發文指出，蘋果在 17 日接獲事件通報；當時 Mac 內建的 git、curl、python3 仍信任問題憑證。網站也表示，26 日發布的 macOS 27.2 未修復問題，並撤銷使用者手動套用的處理方式。

研究頁面警告，若攻擊者位於網路傳輸路徑中，可能對這些工具的 HTTPS 連線發動中間人攻擊。這項說明指出的是憑證驗證可能通過時的攻擊途徑。

若使用 git 連線至 HTTPS 遠端儲存庫，程式碼下載與傳送流程可能受到影響。研究頁面指出，攻擊者可能在 clone 或 pull 過程中更改程式碼、竄改 push 內容，或攔截 GitHub 權杖等驗證資訊。

不過，研究頁面提出的是可能的攻擊途徑與潛在影響，並未列出 Mac 開發者程式碼或驗證資訊實際外洩的案例。

部分 App 與工具使用自己的根憑證清單，不會參照蘋果的封鎖資訊或 /etc/ssl/cert.pem。這類程式即使在系統憑證檔案中進行修改，仍須另行檢查。

Python 套件社群在公告中建議更新至 certifi 2026.10.19，以及 pip 26.2.2 或更新版本。公告指出，早於 pip 26.2.2 的版本也會使用內建的 certifi 憑證清單，因此只調整系統信任設定並不足夠。

研究頁面也將使用 macOS runner 的 CI 與建置環境列為檢查對象。若虛擬資產專案在 Mac 上下載或傳送程式碼、相依套件，僅憑瀏覽器已套用封鎖，無法確認這些通訊流程也受到保護。

本報先前曾報導，若虛擬資產交易機器人與交易所 App 在瀏覽器之外使用獨立憑證機制，也可能面臨風險。這次事件則顯示，同類憑證授權機構事故可能延伸至 Mac 命令列工具使用的憑證設定。

以太坊節點軟體也曾出現工具各自使用不同憑證儲存庫的問題。本報先前報導過以太坊節點客戶端 Teku 與 Besu 修改 Docker 映像中的憑證信任清單。

蘋果已提供管理員從 /etc/ssl/cert.pem 移除相關根憑證的操作方式，但也提醒，這可能影響其他使用該檔案驗證憑證的工具。

蘋果預計在後續 macOS 更新中加入命令列工具的修正。在修正推出前，系統更新可能使憑證檔案恢復至先前狀態，使用者應在更新後再次檢查檔案內容。