Apple 通过自动更新封锁受损的 eMudhra 证书

Apple 已启动一项安全措施，旨在封锁由 eMudhra 中间证书颁发机构 (CA) 签发的证书，原因是其私钥遭到泄露。此次泄露影响了八个中间 CA；其中两个用于代码签名（Apple 的框架不信任此类签名），其余六个用于颁发传输层安全 (TLS) 证书。由于这些密钥已遭泄露，攻击者可能会生成看似有效的任何网站的证书。此后，eMudhra 和 Sectigo 已撤销了受影响的证书。

对于大多数用户来说，Apple 的响应是自动化的。自 2026 年 10 月 19 日起，Apple 已在 Safari、Mail 以及任何使用 Apple 网络和安全框架的应用程序中封锁这 12 个特定证书。这些封锁作为证书配置数据自动交付到设备上，这意味着用户无需手动安装软件更新即可获得此项保护。2026 年 10 月 23 日，Apple 还开始封锁 emSign ECC Root CA - G3。

对于依赖 curl、git、python3、ruby、perl 和 openssl 等命令行工具的用户，存在特定的技术漏洞。这些包含在 macOS 或 Xcode Command Line Tools 中的工具会根据位于 `/etc/ssl/cert.pem` 的本地文件检查证书。与 Apple 的标准网络框架不同，这些工具目前不会针对链接到该特定文件中根 CA 的证书检查 Apple 的封锁列表或撤销状态。虽然 Apple 计划在未来的 macOS 版本中更新此文件，但系统管理员和开发人员可以手动从 `/etc/ssl/cert.pem` 中移除受影响的根 CA 证书，以为这些工具提供即时保护。然而，移除这些根证书可能会导致无法验证那些通过未受影响的中间 CA 依赖于这些特定根 CA 的合法网站。