Apple、2026年10月に認証局eMudhraで発生した中間CA証明書の秘密鍵漏洩問題に対し証明書をブロックし、システム管理者や開発者向けにcurlやgitなどコマンドラインツールに対する暫定的な回避策を公開。

何が起きたのか

インドの認証局eMudhraは、2025年4月30日に作った8つの中間CA証明書の鍵に不備があり、弱い鍵が作られて公開されていたと発表しました。この問題は、セキュリティ研究者のWayneさんが約18か月後に見つけたものです。Appleは2026年10月19日から、この問題のある証明書をブロックし始めました。10月23日には、ルートCA証明書「emSign ECC Root CA – G3」もブロック対象に加えました。

主な数字と事実

• eMudhraの中間CA証明書は8つ。鍵の不備が見つかりました。
• Appleは、TLS証明書を発行する6つの中間CAに関わる合計12件の証明書をブロックしました。
• ブロックの開始日は2026年10月19日。ルートCAの追加は10月23日です。
• SafariやMailなど、Appleのネットワーク機能を使うアプリは、問題の証明書を自動でブロックします。

証明書と中間CAって何？

証明書は、インターネットで相手が本物かどうかを確かめるための「身分証」のようなものです。認証局は、その身分証を発行する団体です。中間CAは、認証局の下で証明書を発行する役目を持ちます。もし中間CAの秘密鍵が漏れると、悪い人が偽の証明書を作れてしまうおそれがあります。

コマンドラインツールへの対処

• macOSやXcodeのコマンドラインツール（curl、git、python3、ruby、perl、openssl など）は、まだ問題の証明書をブロックしていません。
• Appleは、今後のソフトウェアアップデートでこれらの証明書をブロックする予定です。
• 急いで対策したい人は、/etc/ssl/cert.pem をバックアップしてから、「emSign ECC Root CA – G3」を削除できます。
• オプションとして、「AAA Certificate Services」も削除できます。これはSectigoがクロス署名した6つの証明書をブロックする場合です。
• 削除後は、openssl のコマンドでルートCAが消えたかを確認します。

なぜ大事なのか

証明書は、インターネットを安全に使うための土台です。鍵が漏れた証明書を使い続けると、偽のサイトや通信を見分けにくくなります。今回の対応は、Appleのアプリだけでなく、開発者や管理者が使うツールにも影響します。アップデートまでの間、自分で対策が必要な人がいることを知っておくことが大切です。