Apple 封鎖受損 eMudhra 中間憑證，提升 TLS 安全

自 2026 年 10 月 19 日起，Apple 已開始封鎖被攻破的 eMudhra 中級認證機構（CA）所簽發的 TLS 證書，並將持續更新此封鎖設定。

• 若您在工作流程中不使用 Terminal，則無需任何操作。您的 Apple 裝置現在會在 Safari、Mail 以及使用 Apple 網路與安全框架的應用程式中自動封鎖這些證書。

• 若您在工作流程中使用 Terminal（例如系統管理員或開發人員），可能會使用仍能接受這些證書的指令列工具。macOS 或 Xcode Command Line Tools 所內建的一些工具（如 curl 與 git）會依照 /etc/ssl/cert.pem 檢查證書，並會在未來的軟體更新前繼續接受這些證書。若想更早停止這些工具接受它們，您可從該檔案中移除根 CA 證書。

eMudhra 運營的八個中級 CA 的私鑰已被洩漏。其中兩個 CA 發行程式碼簽署證書，Apple 的框架不信任這些證書；其餘六個則發行 TLS 證書。持有這六個 CA 的金鑰者可偽造看似有效的任何網站證書。eMudhra 與 Sectigo 已撤銷受影響的證書。

每個 6 個 TLS 中級 CA 各有兩份證書，總計 12 份：

• 由 emSign Root TLS CA - G3 發行的證書，連結至 emSign ECC Root CA - G3

• 由 Sectigo 交叉簽署的證書，連結至 AAA Certificate Services

檢視這 12 項證書清單

2026 年 10 月 19 日，Apple 開始在 Apple 裝置上封鎖這 12 項證書。證書設定資料的更新會自動且按需推送至裝置，您不需要安裝任何軟體更新即可取得此變更。Apple 亦將持續更新此封鎖，並自動推送。2026 年 10 月 23 日，Apple 亦開始封鎖 emSign ECC Root CA - G3。

Apple 正在進一步改動，將在 Mac 上其他軟體檢查證書的地方（如 macOS 或 Xcode Command Line Tools 所內建的指令列工具，使用 /etc/ssl/cert.pem）封鎖這些證書。這些更改將在未來的軟體更新中提供，您不需要自行編輯任何檔案即可取得。

大部分使用者不需要編輯 /etc/ssl/cert.pem。Safari、Mail 與使用 Apple 網路與安全框架的應用程式不會使用此檔案，而您的 Apple 裝置會自動封鎖其中的這些證書。

在 Mac 上，macOS 或 Xcode Command Line Tools 所內建的一些指令列工具（包括 curl、git、python3、ruby、perl 與 openssl）會依照 /etc/ssl/cert.pem 檢查證書。對於連結至此檔案中根 CA 證書的證書，這些工具不會檢查 Apple 的封鎖或證書是否已被撤銷。此檔案將在未來的 macOS 更新中更新。若您使用這些工具且不想等待更新，可從檔案中移除根 CA 證書。

某些應用程式與工具擁有自己的根 CA 證書清單，並不使用 Apple 的封鎖或 /etc/ssl/cert.pem。對於這些應用程式或工具，請聯絡開發者。

若不想等待即將推出的軟體更新，管理員可選擇從 /etc/ssl/cert.pem 刪除被封鎖證書所連結的根 CA 證書。

• 這些步驟會影響所有使用 /etc/ssl/cert.pem 的工具。之後，只使用此檔案的工具可能無法驗證某些網站，其憑證鏈至這些根 CA 憑證，經由未受影響的中介 CA。

• macOS 軟體更新可能會把 /etc/ssl/cert.pem 換成 Apple 版本。直到安裝包含 Apple 變更的軟體更新前，請於每次更新後執行第 4 步的指令。如果指令列出你已移除的根 CA 憑證，代表更新已替換該檔。使用 sudo rm /etc/ssl/cert.pem.orig 刪除舊備份，然後重複這些步驟。安裝完包含 Apple 變更的更新後，對於 macOS 與 Xcode Command Line Tools 內建的指令列工具，就不需要再重複這些步驟。

• 你需要管理員帳號，或可透過裝置管理解決方案部署指令。請完整複製每條指令。瞭解在將指令貼至終端機時若收到「可能的惡意軟體」警示，該如何處理：如果你收到可能的惡意軟體警示。

要從 /etc/ssl/cert.pem 移除根 CA 憑證：

1. 備份檔案。若已存在備份，以下指令會保留它：

   • [ -e /etc/ssl/cert.pem.orig ] || sudo cp -p /etc/ssl/cert.pem /etc/ssl/cert.pem.orig

2. 移除 emSign ECC Root CA - G3。此指令會複製一份不含 emSign ECC Root CA - G3 的檔案，確認副本非空，然後取代原檔。成功時不會顯示任何訊息：

   • t=$(mktemp) && awk -v s='=== /C=IN/OU=emSign PKI/O=eMudhra Technologies Limited/CN=emSign ECC Root CA - G3' '/^(===|###) /{skip=0} $0==s{skip=1} !skip' /etc/ssl/cert.pem > "$t" && [ -s "$t" ] && sudo install -m 0644 -o root -g wheel "$t" /etc/ssl/cert.pem; rm -f "$t"

3. 可選：移除 emSign ECC Root CA - G3 不會阻止 Sectigo 交叉簽署的六張憑證，因為這些工具仍可透過 AAA Certificate Services 驗證它們。若要在安裝 Apple 軟體更新前阻止這些工具透過此檔接受那六張憑證，你亦可移除 AAA Certificate Services。此指令與第 2 步相同：

   • t=$(mktemp) && awk -v s='=== /C=GB/ST=Greater Manchester/L=Salford/O=Comodo CA Limited/CN=AAA Certificate Services' '/^(===|###) /{skip=0} $0==s{skip=1} !skip' /etc/ssl/cert.pem > "$t" && [ -s "$t" ] && sudo install -m 0644 -o root -g wheel "$t" /etc/ssl/cert.pem; rm -f "$t"

4. 檢查結果。此指令會列出仍在檔案中的任何根 CA 憑證。若你已移除兩者，則不會顯示任何內容。若指令顯示錯誤，請從第 1 步還原備份。

   • openssl crl2pkcs7 -nocrl -certfile /etc/ssl/cert.pem | openssl pkcs7 -print_certs -noout | grep -E 'emSign ECC Root CA - G3|AAA Certificate Services'.

未由 Apple 製造的產品資訊，或未受 Apple 控制或測試的獨立網站資訊，提供時不附帶推薦或背書。Apple 對第三方網站或產品的選擇、表現或使用不負任何責任。Apple 對第三方網站的準確性或可靠性不作任何陳述。聯絡供應商 以取得更多資訊。

發布日期： October 23, 2026