Git di macOS Masih Percaya Sertifikat eMudhra yang Bocor
Judul asli: Apple's git still trusts the compromised eMudhra certificates
Mengapa Ini Penting
Celah ini langsung menyentuh rantai pasokan kode di lingkungan CI/CD berbasis macOS.
Per 28 Oktober 2026, git, curl, dan python3 bawaan macOS masih mempercayai sertifikat eMudhra yang dikompromikan sejak 17 Oktober, membuka celah intersepsi HTTPS.
Apple telah diberitahu soal insiden eMudhra pada 17 Oktober, namun hingga 28 Oktober, developer tools yang disertakan bersama macOS — termasuk git, curl, dan python3 — masih mempercayai sertifikat yang sudah dikompromikan tersebut. Yang memperparah situasi: pembaruan macOS 27.2 yang dirilis 26 Oktober justru membatalkan workaround manual yang sudah diterapkan pengguna, membuat mereka rentan kembali.
Dampaknya nyata. Siapa pun yang berada di jalur jaringan antara pengguna dan server tujuan dapat mengintersepsi koneksi HTTPS — termasuk operasi git clone, pull, dan push via protokol https://. Kredensial seperti token GitHub pun bisa dicuri. Situs peneliti menyediakan perintah uji langsung untuk memverifikasi apakah git dan curl yang digunakan sudah terproteksi.
Sementara itu, lusinan proyek lain — banyak di antaranya dikelola sukarelawan — sudah merilis perbaikan beberapa hari lalu. Apple sendiri telah melindungi Safari dan aplikasi berbasis networking framework-nya, namun belum menyentuh toolchain developer. Peneliti Dennis Jackson merekomendasikan Apple menghapus root yang terpengaruh dari /etc/ssl/cert.pem, dan mengingatkan developer untuk mengulang workaround manual setiap kali sistem diperbarui.