macOS Git 仍信任受損 eMudhra 憑證，十天後仍未修復
Ten days later, Git on macOS still trusts the compromised eMudhra certificates
macOS 系統的 Git、curl 與 python3 仍信任已受損的 eMudhra 憑證，導致開發者工具易被攔截。
- 受影響工具：Git、curl、python3 等 Apple 內建開發者工具。
此事件揭示 macOS 開發者工具仍受 eMudhra 受損憑證影響，提醒即時修補與驗證，並強調持續監測更新的重要性。
2026年10月28日
Apple 在 10 月 17 日收到 eMudhra 事件的通知。到 10 月 28 日，Apple 隨 macOS 發行的開發者工具，包括 git、curl 與 python3，仍然信任已被攻擊的憑證。
更糟的是，macOS 27.2（於 10 月 26 日發布）並未修復此問題，且撤銷了使用者自行套用的解法，讓他們再次處於脆弱狀態。
同時，數十個其他專案，其中許多由志工運營，已於數日前發布修復。
這為什麼重要？
任何人都能攔截這些工具所建立的任何 HTTPS 連線。
對 git 而言，這表示從 https:// 遠端進行 clone 與 pull 可能會取得攻擊者選定的程式碼，push 亦可能在傳輸過程中被改動，而你的憑證，例如 GitHub 令牌，亦可能被攔截。
要檢查你的 git 是否受影響，請執行：
git ls-remote https://git-emudhra.we-have-a-problem.com/check.git
若出現憑證錯誤，表示你的 git 已受到保護。若 git 顯示提交，則你的 git 已受影響。你對 GitHub 或任何其他 https:// git 遠端的連線都可能被攔截並遭篡改。
若想觀察完整攻擊流程，請在臨時目錄中執行以下指令。它會從偽裝為 GitHub 的測試伺服器 clone 一個儲存庫。-c 選項僅為此一次指令將 github.com 重新導向到我們的測試伺服器。該伺服器呈現一張由受攻擊的 eMudhra 中介憑證之一簽發的 github.com 憑證。
git -c http.curloptResolve=github.com:443:15.235.19.186 clone https://fake-user@github.com/galadran/emudhra-git-test
已修補的 git 會因憑證錯誤而拒絕。若 clone 成功，你將看到以 INTERCEPTED 開頭的 README.md。
真正的攻擊者不需要額外選項。任何位於你與 GitHub 之間網路路徑的人都能自行重新導向你的流量。
你可以將示範儲存庫替換為任何其他公開或私有儲存庫。保留 fake-user@ 字首。若不保留，git 會將你的 GitHub 憑證送至測試伺服器。例如：
git -c http.curloptResolve=github.com:443:15.235.19.186 clone https://fake-user@github.com/Homebrew/brew
curl、python3 以及 Apple 送出的其他工具亦以相同方式受影響。要檢查 curl，請執行：
curl https://dv-g3b-noct-emudhra.we-have-a-problem.com/ curl https://dv-g3b-aaa-noct-emudhra.we-have-a-problem.com/
若出現憑證錯誤，表示 curl 已受到保護。
Apple 應該怎麼做？
Apple 已經保護了 Safari 及其他基於其網路框架構建的應用程式。
Apple 必須盡快釋出 macOS 開發者的修復方案，例如從 /etc/ssl/cert.pem 中移除受影響的根憑證。
開發者在此期間可以做什麼？
受影響的根憑證可手動移除。主頁上的 macOS 解法 逐步說明流程。Apple 的 指引 表示 macOS 更新可能會還原修復，因此開發者需在每次更新後重複上述檢查與解法，直至 Apple 釋出修復。
安全團隊亦應考量是否在 CI 或其他建置基礎設施中使用 macOS 執行者，並評估供應鏈風險。
本網站由 Dennis Jackson 釋出。此網站為社群中 多位貢獻者 的成果。原始碼存放於 GitHub，歡迎提交 PR。採用 Apache License, Version 2.0 授權。