macOS 27.2.1 يوقف ثقة curl في eMudhra. هذا ما كنت سأفحصه في تطبيق Mac الخاص بي

معظم تحديثات Mac أثبّتها وأنساها. أما macOS 27.2.1 التي صدرت في 9 نوفمبر فكنت سأقرأ تفاصيلها لو كنت أصنع تطبيق Mac، لأنها تغيّر الشهادات التي تثق بها بعض الأدوات الموجودة على كل جهاز Mac. أصدرتها Apple مع macOS Tahoe 26.7.3 وSequoia 15.8.3 لأجهزة Mac الأقدم، وتحمل الثلاثة التغيير نفسه.

إليك ما حدث، ومن يصل إليه الأمر، وما كنت سأختبره.

ما الذي حدث

• تعرّضت ثماني جهات إصدار وسيطة للاختراق. تقول صفحة دعم Apple حول eMudhra إن المفاتيح الخاصة لثماني جهات إصدار وسيطة تابعة لـ eMudhra تعرّضت للاختراق. ست منها تصدر الشهادات التي تستخدمها المواقع لـ https. وبهذه المفاتيح يمكن لشخص ما صنع شهادة تبدو صالحة لأي موقع. وقد ألغت eMudhra وSectigo الشهادات المتأثرة.
• كانت المفاتيح صغيرة جدًا. يذكر MacRumors أن تحقيقًا أجرته Mozilla وجد قيمًا للمفاتيح صغيرة إلى حد يجعل استعادتها سهلة. كما ذكر MacRumors في أكتوبر أنه لا دليل على استخدام المفاتيح.
• حظرتها Apple في أكتوبر، لكن ليس في كل مكان. منذ 19 أكتوبر، حظرت Apple 12 من هذه الشهادات في Safari وMail والتطبيقات التي تستخدم أطر الشبكات والأمان من Apple، دون الحاجة إلى أي تحديث.
• كانت أدوات سطر الأوامر هي الثغرة. تذكر صفحة Apple أدوات curl وgit وpython3 وruby وperl وopenssl. هذه الأدوات تتحقق من الشهادات بالرجوع إلى الملف /etc/ssl/cert.pem، وأي شيء تنتهي سلسلته بجذر موجود في هذا الملف تتجاوز بشأنه حظر Apple.
• 27.2.1 يغلق هذه الثغرة. لم تعد أدوات سطر الأوامر تقبل هذه الشهادات، وأُزيلت خمس شهادات جذر من /etc/ssl/cert.pem: emSign ECC Root CA - G3 وAAA Certificate Services وemSign Root CA - G1 وemSign Root CA - C1 وemSign ECC Root CA - C3. تقول صفحة Apple إن 26.7.3 و15.8.3 تتضمنان الحماية نفسها.

تصلح التحديثات نفسها ثماني ثغرات أمنية أخرى في Messages وAirPlay وBluetooth، بحسب MacRumors. ولم تقل Apple إن أيًا منها استُخدم في هجمات.

لماذا يهمّ هذا صانع تطبيقات Mac

إذا كان تطبيقك تطبيق Swift عاديًا يتصل بالإنترنت عبر URLSession، فمن المرجح أنه كان محميًا في أكتوبر. تتحدث صفحة Apple عن التطبيقات التي تستخدم أطر الشبكات والأمان لديها، ويقول Howard Oakley، الذي يقتبس منه Michael Tsai، إن التطبيقات المبنية على واجهات API القياسية من Apple تستخدم مخزن الثقة في macOS.

والتطبيقات التي لم تكن محمية هي من النوع الذي يصدره كثير من صنّاع التطبيقات المستقلين:

• التطبيقات التي تشغّل curl أو git أو python3 في الخلفية. أدوات مساعدة للتنزيل، ونصوص التثبيت، وأدوات تنزيل النماذج لـتطبيقات الذكاء الاصطناعي المحلية، وأدوات المطورين التي تغلّف git.
• التطبيقات التي لها قائمة جذور موثوقة خاصة بها. يذكر Oakley متصفح Chrome ومتصفحات Chromium الأخرى ومنتجات Mozilla وMicrosoft وبعض تطبيقات Electron. ويقول أيضًا إن Python وJava وGo، وربما Rust أو Ruby، قد تتأثر. وتقول صفحة Apple إن الأدوات التي لها قائمة جذور خاصة بها لا تستخدم حظرها ولا /etc/ssl/cert.pem إطلاقًا.

لذلك قد لا يكون إصلاح أكتوبر وصل إلى تطبيقك، وقد لا يصله إصلاح نوفمبر أيضًا إذا كان يأتي بجذوره الخاصة.

وهناك جانب ثانٍ. AAA Certificate Services جذر قديم من Sectigo وقّع كثيرًا من الشهادات العادية. تحذّر صفحة Apple من أن الأدوات التي تستخدم /etc/ssl/cert.pem وحده قد تفشل في التحقق من بعض المواقع التي تمر سلاسلها عبر الجذور المُزالة. فإذا كان خادم التنزيل لديك أو موجز التحديثات أو واجهة API للتراخيص واحدًا منها، فقد يبدأ curl على جهاز Mac محدَّث برفضه.

ما كنت سأفحصه هذا الأسبوع

هذه خطواتي أنا، لا خطوات Apple.

1. تحديث جهاز Mac واحد إلى 27.2.1 واختبار التنزيلات من سطر الأوامر. يمكنك تشغيل نص التثبيت الخاص بك، وbrew install إن كان لديك cask، وcurl -I على عناوين التنزيل وappcast والترخيص. ويظهر رفض الشهادة على هيئة خطأ، لا صفحة بطيئة.
2. النظر في سلسلة شهاداتك أنت. يمكنك تشغيل openssl s_client -connect yourapp.com:443 -showcerts وقراءة أسطر issuer. إذا ظهرت eMudhra أو emSign أو AAA Certificate Services، فاطلب من مزوّد الاستضافة أو بائع الشهادات سلسلة تنتهي بجذر آخر.
3. تحديد مخزن الثقة الذي يستخدمه تطبيقك فعلًا. Electron وGo وRust مع الجذور المضمّنة وPython مع certifi وJava، كلها تأتي بمخزنها الخاص. عليك تحديث بيئة التشغيل أو حزمة الجذور إلى إصدار يُسقط الشهادات السيئة، وذكر ذلك في ملاحظات الإصدار.
4. تجهيز جواب جاهز للدعم. إذا تعذّر على شخص يستخدم جهاز Mac أقدم تثبيت التحديثات، ففي صفحة Apple خطوات لإزالة الجذور يدويًا. كنت سأضع رابط صفحة Apple بدل لصق أوامر تستخدم sudo في رسالة بريد.
5. دعوة الناس إلى التحديث. إذا كان مستخدمو تطبيقك تقنيين في أغلبهم، فملاحظة قصيرة في إصدارك القادم أو نشرتك البريدية لا تكلّف شيئًا.
6. افحص الملف على جهاز Mac للاختبار. تعرض صفحة Apple الأمر أدناه، ولا يطبع شيئًا بعد إزالة شهادتي الجذر الأساسيتين.

openssl crl2pkcs7 -nocrl -certfile /etc/ssl/cert.pem | openssl pkcs7 -print_certs -noout | grep -E 'emSign ECC Root CA - G3|AAA Certificate Services'

ما لن أفعله

لن أعطّل فحص الشهادات في نص برمجي لأجعل الخطأ يختفي. فهذا بالضبط ما يحميه هذا التغيير كله. ولن أقول للمستخدمين إن جهاز Mac الخاص بهم تعرّض للاختراق. لا توجد أي إشارة إلى أن المفاتيح استُخدمت، وكانت أغلب التطبيقات محمية في أكتوبر.

زاوية MacPip

لا يفحص MacPip أي شهادات يثق بها التطبيق. تُفحص البطاقات تلقائيًا عند إرسالها، ولا تعني العلامة الزرقاء سوى أن شخصًا جرّب التطبيق في تاريخ معيّن. وإذا كنت تصنع أداة للمطورين أو تطبيقًا للأمان والخصوصية، فأنت الأكثر احتمالًا لأن يكون لديك نص برمجي أو بيئة تشغيل مضمّنة يمسّها هذا، فهو يستحق ساعة من وقتك.

جديد اليوم: مدقق بيان الخصوصية. يمكنك لصق ملف PrivacyInfo.xcprivacy وسيفحص كل نوع بيانات وكل غرض وكل رمز سبب مطلوب، مثل CA92.1، بالرجوع إلى قوائم Apple نفسها. ويبيّن أيضًا ما تطلبه Apple على Mac وما لا تطلبه. يعمل داخل الصفحة ولا يُرسل شيء. وإلى جواره شرح Info.plist وشرح التوثيق. وإذا لم يكن تطبيق Mac الخاص بك على MacPip بعد، فإن إدراجه مجاني.

المصادر

• دعم Apple: حول اختراق جهة إصدار الشهادات eMudhra (نُشر 9 نوفمبر 2026)
• دعم Apple: إصدارات Apple الأمنية
• MacRumors: macOS 27.2.1 تصلح ثغرة شهادات eMudhra في أدوات سطر الأوامر
• MacRumors: Apple تحظر شهادات eMudhra المخترَقة (25 أكتوبر 2026)
• MacRumors: ما أصلحته Apple في iOS 27.2.1 وmacOS 27.2.1
• Michael Tsai: اختراق جهة إصدار eMudhra الوسيطة

واصل القراءة

• Claude Fable 5.2 and Mythos 5.2: what's new, the benchmarks, and what it means for your MacClaude Fable 5.2 and Mythos 5.2 came out on November 9, 2026. Anthropic's benchmarks as charts, the prices, what changes on a Mac, and four free tools.
• ستصل Live Activities إلى شريط القائمة في Mac. هذا ما سأفعله بتطبيقي لنظام Macتعرض النسخة التجريبية من macOS 27.3 أنشطة Live Activities في شريط القائمة على أجهزة Mac بمعالج Apple silicon، ويمكن لتطبيقات Mac أن تبدأ أنشطتها الخاصة. ما الذي تغيّر، وما الحدود، وماذا تجرّب أولاً.
• الذاكرة تجعل أجهزة Mac أغلى. هذا ما كنت سأفعله في تطبيق Mac الخاص بيتقول Apple إن الذاكرة ستُبقي أجهزة Mac شحيحة وأغلى حتى 2027، وإن أرخص جهاز Mac يأتي بذاكرة 8 GB. لماذا يهمّ هذا تطبيق Mac الخاص بك، وما الفحوصات التي يمكنك إجراؤها هذا الأسبوع.
• تتيح Apple الآن التحدث إلى من يلغون اشتراكهم. إليك ما كنت سأفعله في تطبيقي على Macمنذ 4 نوفمبر، صار بإمكان اشتراكات App Store عرض رسالة أو عرض عند إلغاء الاشتراك. القواعد، وما تقوله Apple، وما يجب فحصه على Mac.
• ستضيف Apple سؤالين إلى تصنيف العمر. هذا ما سأفعله بتطبيق Mac الخاص بيابتداءً من 16 نوفمبر، يسأل App Store Connect عن مشاركة الموقع وميزات المواعدة، ويجب أن يجيب كل تطبيق قبل 12 يناير 2027. ما الذي تغيّر وماذا تفعل.
• Siri AI أصبحت مفتوحة لكل المطورين الآن. هذا ما سأفعله بتطبيقي لنظام Macفتحت Apple Siri AI لجميع المطورين في النسخة التجريبية من macOS 27.3. ما الذي تغيّر، وما الذي يمكنك إطلاقه وما لا يمكنك إطلاقه حتى الآن، وخطة قصيرة لتطبيق Mac صغير.
• تُشحن أجهزة Mac بشاشة اللمس في 6 نوفمبر. هذا ما سأتحقق منه في تطبيق Mac الخاص بيتصل أولى أجهزة Mac اللمسية من Apple في 6 نوفمبر. ما الذي تغيّر، وما الذي تطلبه Apple من المطورين، وقائمة قصيرة بما يمكنك اختباره في تطبيق Mac الخاص بك.
• تعريف بـ MacPipما هو MacPip، ولماذا بُني، وكيف تعمل البطاقات ويوم الإطلاق، وما تعنيه العلامة الزرقاء فعلًا، والأرقام الحقيقية من أيامه الأولى.
• كيف تُطلق تطبيق Mac: قائمة مراجعة تتسع لصفحة واحدةما الذي تفعله قبل يوم إطلاق تطبيق Mac وفيه وبعده: التوقيع، وصفحتك، والأدلّة، وProduct Hunt، وShow HN، وما الذي تقيسه.
• كيف تكتب وصفًا من سطر واحد يوضح ما يفعله تطبيق Macطريقة بسيطة لكتابة السطر تحت اسم تطبيق Mac: اذكر وظيفته، واحذف المبالغة، واختبره على شخص لم يرَ التطبيق من قبل.
• التوقيع والتوثيق بكلمات بسيطة، لمن يصنع أول تطبيق Mac لهما وظيفة توقيع الكود والتوثيق والتثبيت (Stapling) كلٌّ على حدة، وبأي ترتيب، وما يراه مستخدموك دونها، وكيف تتحقق من بنائك الخاص.
• ما قيمة رابط dofollow بصدق، من موقع يقدّمهما معنى dofollow، وما الذي تقوله Google عن الروابط، ولماذا لا يعني الرابط من دليل جديد الكثير اليوم، وما الذي تفعله بدلًا من شراء الروابط.

أرسِل تطبيقكأدوات مجانية للصُّنّاع