苹果发布macOS 27.2.1更新 终于从命令行工具里移除印度eMudhra证书的信任
内容提要
苹果发布 macOS 27.2.1 更新，修复 eMudhra 证书问题：命令行工具 Git、cURL 等不再信任 8 张问题中间证书，并移除 5 张根证书；macOS 26.x 和 15.x 也获相应更新。此前 Safari 等已受保护，此次覆盖命令行工具。问题证书私钥极弱，可被用于中间人攻击，建议用户尽快升级。
延伸解读
命令行工具成为最后一块拼图
此前 Safari、Apple 邮件及使用苹果网络安全框架的应用已通过证书配置更新获得保护，但 Git、cURL 等命令行工具仍信任问题证书。macOS 27.2.1 将信任调整覆盖到命令行工具，意味着开发者常用的拉取代码、下载文件等操作不再暴露于 eMudhra 中间证书风险之下。
旧版本用户同样需要关注
文章指出 macOS 26.x 和 15.x 也受该问题影响，苹果分别发布了 macOS 26.7.3 和 15.8.3 更新证书信任设置。使用这些版本的用户不应因未升级到 27.2.1 而忽略风险，应及时安装对应版本更新，确保命令行工具同样停止信任问题中间证书。
根证书移除扩大影响范围
除中间证书外，苹果还从 /etc/ssl/cert.pem 中移除 eMudhra 相关证书链使用的两个 Root CA，并移除另外三个 Root CA 的信任。这意味着由这些根证书签发的所有证书在最新 macOS 中都将无法获得信任，影响范围不限于特定中间证书。
Q&A
macOS 27.2.1 更新主要解决了什么问题？
该更新主要从系统命令行工具（如 Git、cURL）中移除对印度 eMudhra 问题中间证书的信任，防止中间人攻击。
eMudhra 证书存在什么安全漏洞？
eMudhra 的证书私钥强度极弱，仅 1 个字符，导致任何人都能利用该证书进行劫持攻击。
哪些命令行工具不再信任 eMudhra 证书？
包括但不限于 Git 和 cURL 等系统自带命令行工具，更新后使用这些工具遇到 eMudhra 问题证书时会报错并拒绝连接。
除了 macOS 27.2.1，还有哪些 macOS 版本获得了证书信任更新？
macOS 26.x 和 15.x 也受影响，苹果发布了 macOS 26.7.3 和 15.8.3 更新，同样在命令行工具中停止信任这些中间证书。
此次更新移除了多少张 eMudhra 证书？
从命令行工具中移除了 8 张中间证书的信任，并从 /etc/ssl/cert.pem 中删除了 5 张根证书（包括 2 张相关根证书和 3 张其他根证书）。
为什么建议 macOS 用户尽快升级？
因为问题证书可能被用于中间人攻击，升级后可避免命令行工具验证 HTTPS 连接时遭受劫持风险。
