Apple ha rilasciato macOS 27.2.1, macOS 26.7.3 e macOS 15.8.3 per chiudere una lacuna legata a certificati eMudhra compromessi. Gli aggiornamenti impediscono anche a strumenti da riga di comando come curl e git di accettare quei certificati, eliminando un intervento manuale che in precedenza era richiesto agli amministratori.
Le protezioni automatiche distribuite da Apple in ottobre avevano già coperto Safari, Mail e le app che usano i framework di rete e sicurezza dell’azienda. Restava però un perimetro separato: alcuni strumenti del Terminale potevano ancora fidarsi dei certificati coinvolti.
Che cosa è successo con eMudhra
La vicenda riguarda otto autorità di certificazione intermedie gestite da eMudhra, società indiana di certificazione digitale. Secondo quanto riportato da Mozilla, le rispettive chiavi private erano state compromesse.
Questi certificati servono a costruire la catena di fiducia che verifica l’identità dei siti web e rende possibili connessioni sicure. Se una chiave privata finisce nelle mani sbagliate, può essere usata per creare certificati fraudolenti dall’aspetto legittimo: un rischio che può facilitare l’imitazione di un sito e l’intercettazione di informazioni sensibili.
Apple aveva quindi iniziato a bloccare automaticamente i certificati interessati il 19 ottobre, aggiungendo altre protezioni il 23 ottobre. Quelle modifiche arrivavano tramite aggiornamenti automatici della configurazione dei certificati, senza richiedere l’installazione di un aggiornamento completo di macOS.
Perché curl e git erano ancora un’eccezione
Il blocco iniziale non copriva ogni componente di macOS. Safari, Mail e le applicazioni che si affidano ai framework Apple risultavano protetti, ma alcuni strumenti da riga di comando, fra cui curl e git, potevano ancora accettare i certificati compromessi.
Non è una distinzione solo tecnica. curl viene usato per collegarsi a servizi web e trasferire dati, mentre git è centrale nella gestione del codice sorgente. In contesti di sviluppo e amministrazione, la verifica corretta dei certificati è parte essenziale della sicurezza delle connessioni verso server e repository.
In attesa dell’aggiornamento, Apple aveva pubblicato istruzioni per consentire agli amministratori di intervenire manualmente sul problema. Il documento aggiornato conferma ora che le tre versioni di macOS distribuite risolvono quella parte residua.
Cosa cambia con gli aggiornamenti di macOS
Con macOS 27.2.1, macOS 26.7.3 e macOS 15.8.3, gli strumenti interessati non devono più accettare i certificati eMudhra compromessi. Per chi riesce a installare l’ultima versione disponibile per il proprio Mac, non è più necessario applicare la procedura manuale indicata in precedenza.
Gli aggiornamenti rimuovono inoltre cinque certificati root CA dal file /etc/ssl/cert.pem. Fra questi figurano tre ulteriori certificati eMudhra che non facevano parte della soluzione manuale iniziale descritta da Apple.
Resta comunque un limite importante: alcune app e alcuni strumenti mantengono un proprio elenco di certificati root e non usano né il blocco di Apple né il file /etc/ssl/cert.pem. Per questi casi, Apple invita a contattare lo sviluppatore dell’applicazione o dello strumento in questione.
Le indicazioni per chi non può aggiornare
Apple continua a mantenere nel proprio documento di supporto le istruzioni per la mitigazione manuale destinata a chi non può installare gli aggiornamenti più recenti. Sono indicati anche i nomi e le impronte SHA-256 dei 12 certificati coinvolti e dei cinque certificati root rimossi dagli update.
Il punto da non confondere è che il correttivo di macOS copre gli strumenti che si affidano alla configurazione dei certificati del sistema. Non può modificare automaticamente software che gestisce in autonomia un archivio di certificati diverso.
Domande frequenti
Quali versioni di macOS includono la correzione?
Apple indica macOS 27.2.1, macOS 26.7.3 e macOS 15.8.3 come versioni che impediscono agli strumenti da riga di comando coinvolti di accettare i certificati compromessi.
Safari e Mail erano già protetti?
Sì. Le protezioni automatiche introdotte in ottobre coprivano Safari, Mail e le app che usano i framework Apple per rete e sicurezza. La lacuna rimasta riguardava alcuni strumenti del Terminale.
L’aggiornamento risolve il problema per ogni app installata?
No. Un’app o uno strumento che usa un proprio elenco di certificati root potrebbe non dipendere dal blocco Apple o da /etc/ssl/cert.pem. In quel caso va verificata la posizione dello sviluppatore.
Considerazioni finali
La correzione ha un valore concreto perché chiude una differenza poco visibile ma rilevante: proteggere il browser non basta se strumenti usati per connessioni e sviluppo possono seguire una catena di fiducia compromessa. L’integrazione del rimedio negli aggiornamenti di macOS sostituisce inoltre una procedura manuale che non tutti gli amministratori avrebbero applicato con la stessa rapidità.
Apple mantiene però una distinzione necessaria tra ciò che il sistema può controllare e il software che usa archivi di certificati propri. Il punto decisivo è quindi l’aggiornamento dei Mac compatibili, senza ignorare le app e gli strumenti esterni che non si affidano alla configurazione dei certificati di macOS.
