蘋果已封鎖遭外洩的 eMudhra 中繼憑證，但研究頁指出，macOS 內建 git、curl、python3 等開發工具截至 10 月 28 日仍可能信任這些根憑證，修補後仍有遺漏，開發者需自行檢查。
（前情提要：私鑰弱的離譜！印度 SSL 憑證商 eMudhra 被四大瀏覽器封殺後退出市場，還怪社群太吵）
（背景補充：Google Chrome警告中華電信「誠信缺失」：8/1起停止TLS憑證信任、大量網頁將無法讀取）
蘋果（Apple）已對 eMudhra 遭外洩中繼憑證啟動封鎖，但安全研究頁在台北時間 10 月 28 日指出：隨 macOS 出貨的 git、curl、python3 等開發工具，仍可能繼續信任這些根憑證。Safari 等走蘋果網路框架的 App 已受保護，終端機工具鏈卻留了缺口。
這不代表「整台 Mac 全破」。風險集中在仍讀取系統憑證檔、或內建舊版根憑證清單的命令列與開發環境；若攻擊者位在網路路徑上，理論上可對這類 HTTPS 連線發動中間人攻擊（MITM）。
Safari 已擋，git 與 curl 卻仍可能放行
蘋果支援文件自 10 月 19 日起說明，裝置會自動封鎖遭外洩的 eMudhra 中繼 CA；不走終端機的一般用戶通常不必額外操作。同一份文件也寫道，macOS 或 Xcode Command Line Tools 內建的 curl、git、python3、ruby、perl、openssl 等工具，會對照 /etc/ssl/cert.pem 驗證憑證，在未來系統更新改掉這個檔案之前，仍可能接受這批憑證。
研究頁寫明，蘋果於 10 月 17 日接獲通報；截至 10 月 28 日，上述開發工具仍信任遭外洩憑證。10 月 26 日釋出的 macOS 27.2 未修好問題，還可能把使用者手動套用的緩解措施蓋回去，讓人再度暴露。多數志工維護的其他專案，則已在數日前完成修補。
對 git 而言，影響面很實際：透過 https:// 遠端做 clone、pull 時，攻擊者可能塞入自選程式碼；push 內容可被竄改；GitHub token 等憑證也可能在傳輸中被截走。研究頁提供探測指令：若對測試網域執行 git ls-remote 出現憑證錯誤，代表已受保護；若仍能列出 commit，則本機 git 仍受影響。
pip、certifi 與社群回報的舊版信任清單
蘋果文件另提醒，部分 App 與工具自帶根憑證清單，既不跟蘋果的封鎖、也不讀 /etc/ssl/cert.pem。Python 社群公告要求盡速升級 certifi 至 2026.10.19、pip 至 26.2.2 等版本，否則 TLS 客戶端仍可能遭中間人攻擊；維護者也強調，舊版 pip 會額外載入內建的 certifi，光改系統信任庫不夠。
Reddit 另有用戶回報，系統路徑下的 /usr/bin/pip3 與 Xcode 附帶的 Python，因內建較舊（社群說法指約 2021 年版）的 certifi，仍信任這批根憑證。這屬於社群／用戶回報，尚未見到蘋果官方逐一點名證實；但方向與「自帶憑證清單的工具要自己更新」一致，開發者仍宜自行檢查本機環境。
開發者現在能做什麼
蘋果已為想提早止血的管理員提供手動步驟：備份後，從 /etc/ssl/cert.pem 移除受影響的根憑證（含 emSign ECC Root CA – G3，必要時一併處理 AAA Certificate Services）。官方也提醒，後續 macOS 更新可能把該檔換回蘋果版本，在真正納入修補的更新到來前，每次升級後都要再檢查一次。
研究頁建議安全團隊一併盤點 CI 是否使用 macOS runner，評估供應鏈風險。實務上，開發者可對 git、curl 跑探測指令，並把本機／虛擬環境的 pip、certifi 升到安全版；加密專案若以 Mac 拉依賴、推程式碼，這條信任鏈缺口直接關乎原始碼與 token 安全。
📍相關報導📍
印度憑證商 eMudhra 出包！以太坊 Teku、Besu 客戶端緊急更新停用憑證
Wi-Fi爆出史上最大漏洞：AirSnitch攻擊可成中間人截取「所有明碼訊息」、DNS投毒
