Lobsters | 📄 原文链接 | 2026-10-29 收录

苹果的开发工具至今仍信任被攻破的 eMudhra 证书

来源：we-have-a-problem.com — 2026-10-28

📋 概述

社区跟踪页指出：苹果在 10 月 17 日就收到了 eMudhra 事件通知，但到 10 月 28 日，macOS 自带的 git、curl、python3 依然信任那批被盗中间 CA 签出的证书，任何人可以在网络路径上劫持这些工具发起的 HTTPS 连接。更糟的是 10 月 26 日发布的 macOS 27.2 没有修复问题，反而把用户手工打的补丁还原，重新暴露。与此同时，几十个由志愿者维护的项目早已发版修好。文章给出三段可直接复制的自检命令，并指出 CI 里的 macOS runner 属于同一条供应链风险。

🔑 核心要点

Safari 与基于苹果网络框架的应用已受保护，但命令行工具走的还是 /etc/ssl/cert.pem 这份信任库，压根没动
对 git 而言这不是理论风险：克隆和拉取可以送入攻击者选定的代码，推送可在途中被改写，GitHub token 可被截获
一条 git ls-remote 打到演示域名即可判断：报证书错误就是安全的，能列出 commit 说明你的 git 已被劫持
文章给了一条完整攻击演示命令，用 http.curloptResolve 把 github.com 解析到测试服务器，克隆成功的仓库 README 里写着 INTERCEPTED
系统更新会覆盖手工修复，所以每次升级后都要重新执行检查与绕行步骤，直到苹果自己发版
安全团队还要评估 CI 与构建基础设施里的 macOS runner，它们和开发者笔记本是同一条供应链

💡 金句

Apple was notified of the eMudhra incident on 17th October. As of 28th October, the developer tools Apple ships with macOS, including git, curl and python3, still trust the compromised certificates.

← 返回 Lobsters 首页