AppleのgitがeMudhra侵害証明書を未だ信頼
原題: Apple's git still trusts the compromised eMudhra certificates
なぜ重要か
macOS上の開発ツールが侵害証明書を信頼し続ければ、GitHubを介したソフトウェアサプライチェーン全体が攻撃対象となり得る。
2026年10月28日時点で、AppleがmacOSに同梱するgit・curl・python3は、10月17日に侵害が判明したeMudhra証明書を依然として信頼している。10月26日リリースのmacOS 27.2でも修正は施されず、ユーザーが手動で適用した回避策まで上書きされる事態が発生。開発者のGitHubトークンを含む認証情報やソースコードが傍受・改ざんされるリスクが継続している。
セキュリティ研究者のDennis Jacksonらが運営するサイトが10月28日、AppleのmacOS同梱開発ツールにおける深刻な未修正問題を公開した。
問題の発端は10月17日に発覚したeMudhraの証明書侵害事件だ。同社の中間証明書が攻撃者に利用可能な状態となり、任意のHTTPS通信を傍受できる状況が生まれた。Appleは同日通知を受けたにもかかわらず、11日後の10月28日時点でもgit・curl・python3といった開発者向けツールに修正を届けていない。
特に問題なのが10月26日のmacOS 27.2アップデートだ。このリリースは新機能を提供した一方、ユーザーが手動で行った回避策（`/etc/ssl/cert.pem`から侵害ルート証明書を削除する作業）を元に戻してしまい、保護されていたはずの環境を再び脆弱な状態に戻した。
影響範囲は広い。`https://`経由のgit cloneやpullでは攻撃者が選んだコードが送り込まれる可能性があり、pushは転送中に改ざんされ、GitHubトークンなどの認証情報が平文同然で盗まれる恐れがある。研究者はデモ用コマンドを公開しており、修正されていない環境では偽のgithub.com証明書を提示したサーバーからcloneが成功し、`INTERCEPTED`と書かれたREADMEが取得できることを確認できる。
SafariやAppleのネットワークフレームワークを使うアプリはすでに保護済みだが、開発者ツールは取り残された形だ。一方、多数のOSSプロジェクト（多くはボランティア運営）は数日前に修正を出している。
開発者への当面の対策として、サイトは`/etc/ssl/cert.pem`から侵害ルートを手動削除する手順を案内しているが、macOSアップデートのたびに繰り返す必要がある。CI環境でmacOSランナーを使うチームはサプライチェーンリスクの評価も求められる。