AppleがeMudhra証明書を自動遮断、Macの一部CLIツールは例外

Safariや「メール」を使うだけなら、証明書ファイルを編集する必要はありません。一方、Mac付属のcurlやgitなどを使う開発者・管理者は、問題の証明書が引き続き受け入れられる場合がある点に注意が必要です。

Safariや「メール」には設定データで自動対応

eMudhraが運営するTLS用の中間認証局6つで秘密鍵が侵害され、第三者が任意のウェブサイト用に有効に見える証明書を作成できるおそれが生じました。Appleは、これらに関係する12枚の中間証明書を2026年10月19日から遮断しています。eMudhraとSectigoも対象の証明書を失効させています。

Safariや「メール」、Appleのネットワーク・セキュリティの仕組みを利用するアプリには、証明書の設定データが自動配信されるため、この遮断を受けるためにソフトウェア更新をインストールする必要はありません。10月23日には、ルート証明書「emSign ECC Root CA – G3」の遮断も始まりました。

Mac付属のcurlやgitに残る例外

macOSやXcode Command Line Toolsに付属するcurl、git、python3などの一部ツールは、/etc/ssl/cert.pemを参照します。このファイル内のルート証明書につながる証明書については、Appleの遮断リストや失効情報を確認しないため、今回の証明書を引き続き受け入れる場合があります。

Appleは、このファイルを使うツールにも対応するmacOSのソフトウェア更新を予定していますが、提供時期や対象バージョンは示していません。独自のルート証明書リストを持ち、Appleの遮断もこのファイルも使わないアプリやツールについては、開発元の案内を確認する必要があります。

更新を待てない管理者には任意の暫定措置

管理者は、Appleの公式手順に従って/etc/ssl/cert.pemから対象のルート証明書を取り除くこともできます。管理者権限での作業となり、事前のバックアップと作業後の確認が必要です。確認時にエラーが出た場合は、バックアップから復元します。

ただし、emSign ECC Root CA – G3だけを削除しても、Sectigoがクロス署名し、AAA Certificate Servicesにつながる6枚の証明書は遮断できません。AAA Certificate Servicesも削除する選択肢はありますが、ルート証明書の削除はこのファイルを使うすべてのツールに影響します。このファイルだけで検証するツールでは、侵害されていない中間認証局を経由する正規サイトでも、証明書を検証できなくなるおそれがあります。

macOSの更新でファイルが置き換わることもあるため、Appleの対策を含む更新が入るまでは、更新のたびに削除した証明書が戻っていないか確認し、戻っていれば手順を繰り返す必要があります。通常の利用者は、このファイルを編集する必要はありません。手動対応が必要な管理者は、Appleのサポート文書にある詳しい手順と注意点を参照してください。