eMudhraの中間認証局（CA）の侵害について

eMudhraの中間認証局（CA）の侵害について

Appleは、2026年10月19日より、eMudhraの中間認証局（CA）が発行したTLS証明書の侵害を受け、これらの証明書をブロックし、追加の更新を行っています。

• ワークフローでターミナルを使用しない場合、何も行う必要はありません。お使いのAppleデバイスは、Safari、メール、およびAppleのネットワークおよびセキュリティフレームワークを使用するアプリで、これらの証明書を自動的にブロックします。

• ワークフローでターミナルを使用する場合（システム管理者や開発者など）、これらの証明書を引き続き受け入れる可能性のあるコマンドラインツールを使用することがあります。macOSまたはXcode Command Line Toolsに含まれるcurlやgitなどの一部のツールは、/etc/ssl/cert.pemに対して証明書をチェックするため、将来のソフトウェアアップデートまではこれらの証明書を引き続き受け入れる可能性があります。これらのツールがより早く証明書を受け入れないようにするには、ファイルからルートCA証明書を削除できます。

何が起こったか

eMudhraが運用する8つの中間CAの秘密鍵が侵害されました。これらのCAのうち2つはコード署名証明書を発行しており、Appleのフレームワークはこれらを信頼しません。残りの6つはTLS証明書を発行しています。これらの6つのCAからの鍵を持つ人物は、任意のウェブサイトに対して有効に見える証明書を作成できる可能性があります。eMudhraとSectigoは、影響を受けた証明書を失効させました。

6つのTLS中間CAのそれぞれには2つの証明書があり、合計12個です。

• emSign Root TLS CA - G3によって発行され、emSign ECC Root CA - G3にチェーンする証明書

• Sectigoによってクロスサインされ、AAA Certificate Servicesにチェーンする証明書

これらの12個の証明書のリストを表示

Appleが行っていること

2026年10月19日、AppleはAppleデバイス上でこれらの12個の証明書のブロックを開始しました。証明書構成データへの更新は、デバイスに自動的かつ必要に応じて送信されるため、この変更を取得するためにソフトウェアアップデートをインストールする必要はありません。Appleは、このブロックに追加の更新を行っており、これらも自動的に配信されます。2026年10月23日、AppleはemSign ECC Root CA - G3のブロックも開始しました。

Appleは、macOSまたはXcode Command Line Toolsに含まれるコマンドラインツールなど、ソフトウェアが証明書をチェックするMac上の他の場所でこれらの証明書をブロックするために、さらに変更を行っています。これらの変更は将来のソフトウェアアップデートで利用可能になり、これらの変更を取得するためにファイルを編集する必要はありません。

/etc/ssl/cert.pemを編集する必要がありますか？

ほとんどのユーザーは/etc/ssl/cert.pemを編集する必要はありません。Safari、メール、およびAppleのネットワークおよびセキュリティフレームワークを使用するアプリは、このファイルを使用せず、Appleデバイスはこれらのアプリでこれらの証明書を自動的にブロックします。

Macでは、macOSまたはXcode Command Line Toolsに含まれる一部のコマンドラインツール（curl、git、python3、ruby、perl、opensslなど）は、/etc/ssl/cert.pemに対して証明書をチェックします。このファイル内のルートCA証明書にチェーンする証明書の場合、これらのツールはAppleのブロックをチェックしたり、証明書が失効しているかどうかをチェックしたりしません。このファイルは、将来のmacOSアップデートで更新されます。これらのツールを使用しており、アップデートを待ちたくない場合は、ファイルからルートCA証明書を削除できます。

一部のアプリやツールは、独自のルートCA証明書のリストを含んでおり、Appleのブロックや/etc/ssl/cert.pemを使用しません。そのようなアプリやツールについては、開発者に連絡してください。

/etc/ssl/cert.pemからルートCA証明書を削除する

今後のソフトウェアアップデートを待つ代わりに、管理者はブロックされた証明書がチェーンするルートCA証明書を/etc/ssl/cert.pemから削除することを選択できます。

• これらの手順は、/etc/ssl/cert.pemを使用するすべてのツールに影響します。その後、このファイルのみを使用するツールは、影響を受けなかった中間CAを介してこれらのルートCA証明書にチェーンする一部のウェブサイトを検証できなくなる可能性があります。

• macOSのソフトウェアアップデートは、/etc/ssl/cert.pemをAppleのバージョンに置き換えることができます。Appleの変更を含むソフトウェアアップデートをインストールするまで、各ソフトウェアアップデート後にステップ4のコマンドを実行してください。もしそれが削除したルートCA証明書をリストした場合、アップデートはファイルを置き換えました。古いバックアップを sudo rm /etc/ssl/cert.pem.orig を使用して削除し、これらの手順を繰り返してください。Appleの変更を含むアップデートをインストールした後、macOSまたはXcode Command Line Toolsに含まれるコマンドラインツールについては、これらの手順を繰り返す必要はありません。

• 管理者アカウントが必要な場合、またはデバイス管理ソリューションでコマンドを展開できます。各コマンドは、記述されているとおりに正確にコピーしてください。コマンドをターミナルに貼り付ける際に、マルウェアの可能性に関するアラートが表示された場合 に行うことを学んでください。

/etc/ssl/cert.pemからルートCA証明書を削除するには：

1. ファイルをバックアップします。バックアップが既に存在する場合、このコマンドはそれを保持します。

   • [ -e /etc/ssl/cert.pem.orig ] || sudo cp -p /etc/ssl/cert.pem /etc/ssl/cert.pem.orig

2. emSign ECC Root CA - G3を削除します。このコマンドは、ファイルのコピーを作成し、emSign ECC Root CA - G3を含まないコピーが空でないことを確認し、元のファイルを置き換えます。成功した場合は何も表示されません。

   • t=$(mktemp) && awk -v s='=== /C=IN/OU=emSign PKI/O=eMudhra Technologies Limited/CN=emSign ECC Root CA - G3' '/^(===|###) /{skip=0} $0==s{skip=1} !skip' /etc/ssl/cert.pem > "$t" && [ -s "$t" ] && sudo install -m 0644 -o root -g wheel "$t" /etc/ssl/cert.pem; rm -f "$t"

3. オプション：emSign ECC Root CA - G3を削除しても、Sectigoがクロスサインした6つの証明書はブロックされません。これらのツールは、AAA Certificate Servicesを介してそれらを検証できるためです。Appleのソフトウェアアップデートをインストールするまで、これらのツールがファイル経由でそれらの6つの証明書を受け入れるのを停止するには、AAA Certificate Servicesも削除できます。このコマンドは、ステップ2のコマンドと同じように機能します。

   • t=$(mktemp) && awk -v s='=== /C=GB/ST=Greater Manchester/L=Salford/O=Comodo CA Limited/CN=AAA Certificate Services' '/^(===|###) /{skip=0} $0==s{skip=1} !skip' /etc/ssl/cert.pem > "$t" && [ -s "$t" ] && sudo install -m 0644 -o root -g wheel "$t" /etc/ssl/cert.pem; rm -f "$t"

4. 結果を確認します。このコマンドは、ファイルにまだ存在する場合、ルートCA証明書をリストします。両方を削除した場合、何も表示されません。コマンドがエラーを表示した場合、ステップ1のバックアップを復元してください。

   • openssl crl2pkcs7 -nocrl -certfile /etc/ssl/cert.pem | openssl pkcs7 -print_certs -noout | grep -E 'emSign ECC Root CA - G3|AAA Certificate Services'

ブロックされた証明書

Appleによって製造されていない製品、またはAppleによって管理またはテストされていない独立したウェブサイトに関する情報は、推奨または承認なしに提供されています。Appleは、サードパーティのウェブサイトまたは製品の選択、パフォーマンス、または使用に関して一切の責任を負いません。Appleは、サードパーティのウェブサイトの正確性または信頼性に関して一切の表明を行いません。追加情報については、ベンダーに連絡してください。

公開日：2026年10月23日