macOS 27.2.1 補回命令列憑證防線，Git、curl 用戶應盡快更新

圖片：TechLab 自製資訊圖

TechLab 編輯部（譯）·2026-11-09

Apple 推出 macOS 27.2.1，處理與憑證機構 eMudhra 有關的安全問題。今次修補的重點在於命令列：Safari、Mail 及採用 Apple framework 的 app 雖已在 10 月封鎖受影響憑證，但 curl、git 等工具當時仍可接受這些憑證。

因此，日常只以 Safari 瀏覽網頁的大部分用戶，保護措施較早已經生效；但會透過 Terminal 下載檔案、存取 API、拉取程式碼 repository 或執行自動化腳本的人，便不應把瀏覽器正常運作視為整部 Mac 已完全避開風險。最直接的處理方法是更新 macOS。

為何瀏覽器已封鎖，命令列仍要補救？

數碼憑證的作用，是讓裝置確認連線的網站確實是它聲稱的身分。Mozilla 的調查發現，部分由 eMudhra 簽發的受影響憑證使用了低於 256 的私鑰值，私鑰容易被還原。若攻擊者取得相關私鑰，便可能製作看似適用於任何網站的偽造憑證。

Apple 先在 Safari、Mail 與使用其 framework 的 app 層面封鎖憑證，覆蓋一般用戶最常見的連線途徑。不過，命令列工具使用的憑證信任設定並不完全等同這一層防護，令 curl 和 git 在更新前仍可能接受受影響憑證。

這反映今次更新並非單純修正瀏覽器漏洞，而是把系統不同網絡工具的信任判斷補回一致。對開發者而言，風險尤其在於 Git clone、套件下載、CI 腳本或以 curl 呼叫服務時，表面上仍是 HTTPS 連線，卻可能依賴了不應再信任的憑證。

Apple 為仍受支援的三個版本提供修補：

更新後，命令列工具將不再接受該批受影響憑證。若 Mac 可安裝上述更新，這是首選做法；它比手動調整系統憑證檔案更完整，也較不容易因操作失誤影響其他安全連線。

Apple 仍為無法更新的 Mac 保留指引，讓用戶從 /etc/ssl/cert.pem 手動移除受影響的根憑證。這只適合確實不能更新、而且熟悉系統管理的人員按 Apple 指引逐項處理。

/etc/ssl/cert.pem 是系統級信任設定的一部分，任意刪改可能令正常 HTTPS 連線或開發工具失效。一般用戶不宜自行搜尋憑證名稱後直接編輯檔案；如有公司管理的 Mac，應由 IT 或裝置管理員統一評估。完成暫緩處理後，裝置一旦具備條件，仍應安裝正式的 macOS 安全更新。

接下來可留意企業受管裝置與舊版 Mac 的更新部署情況：它們較可能因相容性或管理政策而未能即時升級，也是這類臨時憑證處理指引主要適用的對象。