macOS : les outils git et curl font toujours confiance aux certificats eMudhra compromis
eMudhra a signalé le 28 octobre 2026 que macOS 13.2, sorti deux jours plus tôt, ne corrige pas la confiance accordée aux certificats compromis et annule même le contournement manuel.
Les outils de développement fournis avec macOS, dont git, curl et python3, font toujours confiance aux certificats eMudhra compromis, a rapporté la société indienne eMudhra le 28 octobre 2026. Apple avait été informée de l'incident eMudhra le 17 octobre 2026, mais aucune correctif pour ces outils n'a été publié.
La version macOS 13.2, sortie le 26 octobre 2026, n'apporte pas de solution au problème. Selon eMudhra, elle annule même le contournement que des utilisateurs avaient appliqué manuellement. Safari et les autres applications reposant sur les frameworks réseau d'Apple ont déjà été corrigés.
Le défaut est vérifiable en ligne de commande. Une requête git ls-remote vers l'URL de test git-emudhra.we-have-a-problem.com/check.git renvoie une erreur de certificat si git est corrigé, et aboutit dans le cas contraire. Le clonage depuis un faux serveur GitHub à l'adresse 15.235.19.186 aboutit avec un git non corrigé et ouvre un fichier README.md commençant par INTERCEPTED.
En attendant un correctif d'Apple, eMudhra recommande aux développeurs de supprimer manuellement le fichier de certificat racine compromis.
Pour contexte, les clés privées de huit certificats d'AC intermédiaires eMudhra avaient été compromises, comme révélé le 20 octobre 2026. Google et Mozilla avaient pris des mesures pour révoquer les certificats concernés, et eMudhra avait annoncé le 22 octobre 2026 son retrait du marché des certificats SSL/TLS.
En bref
Quels outils de macOS sont concernés par les certificats eMudhra compromis ?
Les outils de développement fournis avec macOS, notamment git, curl et python3, font toujours confiance aux certificats eMudhra compromis, selon eMudhra.
macOS 13.2 corrige-t-il le problème ?
Non. Selon eMudhra, macOS 13.2, sorti le 26 octobre 2026, ne corrige pas le problème et annule même le contournement manuel appliqué par certains utilisateurs.
Que peuvent faire les développeurs en attendant un correctif ?
eMudhra recommande de supprimer manuellement le fichier de certificat racine compromis jusqu'à la publication d'un correctif par Apple.