Apple 封鎖 8 張高風險憑證，macOS 內建 curl 撤銷檢查仍有缺口

圖片：TechLab 自製資訊圖

TechLab 編輯部（譯）·2026-10-21

Apple、Google 與 Mozilla 已封鎖 8 張存在私鑰外洩風險的網頁中繼憑證，降低騙徒冒充合法網站的可能性。不過，macOS 的憑證信任處理仍有一個值得留意的缺口：系統內建的 /usr/bin/curl 所使用的憑證組合不會檢查憑證撤銷資訊。

這代表瀏覽器層面的封鎖未必等同整個 Mac 已完全避開風險。尤其是曾接受相關憑證的 Mac，仍可能繼續信任它們。現時未有證據顯示這些憑證已在實際攻擊中被濫用，風險應理解為可被利用的潛在釣魚或網站冒充途徑，而非已發生的大規模入侵。

問題源於可被推算的私鑰

事件涉及用於驗證網站身分的中繼憑證。正常情況下，瀏覽器或工具會透過憑證鏈確認所連接的網站是否真確；例如使用者前往 apple.com 時，系統會核對網站所出示的憑證。

報道指，用來產生這批憑證的 script 出現錯誤，令部分私鑰只需嘗試 256 個可能數值便可找出。持有私鑰的一方，理論上可建立看似有效的網站身分證明，增加釣魚網站偽裝成可信網域的空間。相關 8 張憑證現已撤銷，發證流程亦已採取措施，避免日後發出的憑證重現同一問題。

瀏覽器封鎖屬於第一道重要防線，但憑證撤銷是否被檢查，取決於實際使用哪一個信任機制。Mozilla 密碼學工程師 Dennis Jackson 指出，macOS 可能仍會信任已受影響的憑證；其內建 curl 更因憑證組合不查閱撤銷資料而存在同樣情況。

對一般用戶而言，日常瀏覽器已獲封鎖，實際暴露程度暫時有限。較需要留意的是依賴系統 curl 的腳本、安裝流程或自動化工作：若它們以 HTTPS 下載檔案、存取 API 或取得部署資源，單靠「連線使用 HTTPS」未必足以確保已排除這次被撤銷憑證的風險。

這是根據報道所作的風險分析，並不表示所有使用 curl 的 Mac 工作流程已受攻擊。是否受影響仍取決於連線目標、系統過去是否接受過相關憑證，以及 Apple 後續如何修正信任設定。

一般 Mac 用戶應保持 macOS 與瀏覽器更新，並避免在來源可疑的網站輸入帳戶密碼或付款資料。由於未有在野外濫用證據，毋須把事件視為已被入侵的訊號。

開發者及 IT 團隊則可盤點會以 /usr/bin/curl 下載軟件、更新套件或連接內部／第三方 API 的自動化程序，並在 Apple 推出安全更新後盡快套用。對安全要求較高的流程，亦應核對工具實際使用的憑證驗證與撤銷檢查方式，避免以瀏覽器已封鎖憑證，推定所有命令列連線都有相同保障。

下一步要觀察的是 Apple 會否透過 macOS 安全更新修正內建 curl 的撤銷檢查，以及系統信任設定會否同步處理已被接受的受影響憑證。