macOSの開発ツール、失効したeMudhra証明書を依然信頼
eMudhraは2026年10月28日、macOS同梱のgitやcurlなどが侵害された証明書を依然として信頼していると報告した。10月26日公開のmacOS 13.2でも修正されない。
インドのデジタルセキュリティ企業eMudhraは2026年10月28日、macOSに同梱されるgitやcurl、python3などの開発ツールが、侵害されたeMudhraの中間CA証明書を依然として信頼していると報告した。gigazine.netが伝えている。
Appleには2026年10月17日にこの問題が通知された。しかし2026年10月26日に公開されたmacOS 13.2はこの問題に対処しておらず、ユーザーが手動で適用した回避策を元に戻す形になっている。
影響はコマンドで確認できる。テスト用URL「git-emudhra.we-have-a-problem.com/check.git」に対して「git ls-remote」を実行すると、gitが修正済みなら証明書エラーとなり、未修正なら成功する。また、15.235.19.186にある偽のGitHubサーバーからクローンを行うテストコマンドでは、未修正のgitで攻撃が成立し、「INTERCEPTED」で始まるREADME.mdが開かれる。
Safariは修正済み、開発ツールは未対応
AppleはSafariや同社のネットワークフレームワークを基盤とするアプリについてはすでに修正を済ませているが、開発ツール向けの修正はまだリリースされていない。
eMudhraは、Appleがパッチを提供するまでの回避策として、開発者が侵害されたルート証明書ファイルを手動で削除することを勧めている。
背景として、2026年10月20日にはeMudhraの8つの中間CA証明書の秘密鍵が侵害されたことが明らかになった。報告によれば秘密鍵の値は1バイトで、そのうち1つは「4」だったという。GoogleとMozillaは該当証明書の失効措置を取った。eMudhraは2026年10月22日、SSL/TLS証明書事業から撤退すると発表している。
よくある質問
どのコマンドで影響を確認できますか？
テスト用URL「git-emudhra.we-have-a-problem.com/check.git」に対して「git ls-remote」を実行すると、修正済みなら証明書エラーになり、未修正なら成功します。
Appleはいつ問題を認識しましたか？
Appleには2026年10月17日に通知されていますが、2026年10月26日公開のmacOS 13.2では修正されていません。
暫定の回避策はありますか？
eMudhraは、Appleがパッチを出すまで侵害されたルート証明書ファイルを手動で削除することを勧めています。