苹果 macOS 27.2.1 补齐 eMudhra 证书防护，修复 curl、git 信任残留风险

据 IT之家 2026 年 11 月 10 日援引 MacRumors 报道，苹果在 macOS Golden Gate 27.2.1 中修复了与 eMudhra 证书相关的残留安全风险。此次修复重点落在命令行工具：此前已在 Safari、邮件等应用中被屏蔽的相关证书，仍可能被 curl、git 等工具接受。更新后，macOS 命令行工具将不再信任受影响的 eMudhra 根证书，进一步收紧终端网络连接的身份校验。

浏览器已拦截，为何终端还需要补丁？

来源显示，苹果曾在 2026 年 10 月发布 macOS 更新，为 Safari、邮件以及采用苹果框架的应用屏蔽相关被泄露证书。但这轮处理并未完全覆盖命令行场景，开发者与高级用户在终端中发起网络请求、拉取代码或安装软件时，仍可能遭遇证书信任方面的潜在风险。

这意味着，不能仅凭浏览器已具备防护，就认定同一台电脑上的所有网络工具都已获得相同保护。此次 macOS 27.2.1 的作用，是补齐命令行工具这一环节，降低攻击者利用问题证书伪装可信服务器的可能性。

问题源头是证书颁发机构 eMudhra 签发的部分证书存在严重缺陷。据来源转述 Mozilla 的调查，相关证书使用的私钥数值低于 256 位，容易被恢复。攻击者可能借此伪造看似对任意网站有效的证书，进而实施中间人攻击、窃取数据或引导用户访问恶意站点。这里的关键不是网页能否打开，而是连接对象的身份是否值得信任。

对开发者与自动化工作流有何影响？

对于日常主要使用图形界面应用的用户，证书处理往往发生在后台；但对依赖终端的开发者而言，curl、git 等工具直接连接着代码、文件和软件获取流程。尤其在自动化脚本中，网络操作可能连续执行，证书信任链的缺口不一定会以直观方式呈现。

从软件效率与开发工具使用角度看，这次更新提醒用户：自动化流程的安全边界，也取决于底层系统是否及时更新。即使上层工具没有变化，系统对根证书的信任调整，仍可能影响网络请求的安全性。此次修复针对的是已知问题证书，并不意味着所有终端网络风险都被消除。

• 使用 curl 发起网络请求的用户，应关注系统证书信任是否已更新。
• 经常通过 git 拉取代码、通过终端安装软件的用户，是此次修复值得重点覆盖的人群。
• 运行自动化任务的 Mac，也应纳入更新检查，而不只关注日常使用的桌面设备。

旧版 macOS 也有对应修复

除 macOS 27.2.1 外，苹果还为运行 macOS 26 和 macOS 15 的设备分别发布 macOS 26.7.3、macOS 15.8.3，将同类修复带到更多旧系统版本。用户可按设备当前系统分支检查对应更新。

对于暂时无法升级的用户，来源称苹果仍保留手动防护说明，指导用户从 /etc/ssl/cert.pem 中删除受影响的根证书。不过，苹果明确建议尽快安装最新更新，以获得更完整、自动化的保护。对依赖终端与开发工具的 Mac 用户而言，这不是单纯的浏览器安全更新，而是一次涉及日常开发和自动化链路的信任机制补齐。