macOS 27.2.1 sorgt dafür, dass curl eMudhra nicht mehr vertraut. Das würde ich in meiner Mac-App prüfen

Die meisten Mac-Updates installiere ich und vergesse sie. macOS 27.2.1, erschienen am 9. November, ist eines, dessen Kleingedrucktes ich lesen würde, wenn ich eine Mac-App machte, denn es ändert, welchen Zertifikaten einige der Tools auf jedem Mac vertrauen. Apple hat es zusammen mit macOS Tahoe 26.7.3 und Sequoia 15.8.3 für ältere Macs veröffentlicht, und alle drei enthalten dieselbe Änderung.

Das ist passiert, wen es betrifft und was ich testen würde.

Was passiert ist

• Acht Zwischen-Zertifizierungsstellen wurden kompromittiert. Apples Support-Seite zu eMudhra sagt, dass die privaten Schlüssel von acht Zwischen-CAs von eMudhra kompromittiert wurden. Sechs davon stellen die Zertifikate aus, die Websites für https verwenden. Mit diesen Schlüsseln könnte jemand ein Zertifikat erzeugen, das für jede beliebige Website gültig aussieht. eMudhra und Sectigo haben die betroffenen Zertifikate widerrufen.
• Die Schlüssel waren winzig. MacRumors berichtet, dass eine Untersuchung von Mozilla Schlüsselwerte fand, die so klein waren, dass man sie mühelos wiederherstellen konnte. MacRumors schrieb im Oktober außerdem, dass es keine Hinweise gab, dass die Schlüssel benutzt wurden.
• Apple hat sie im Oktober gesperrt, aber nicht überall. Seit dem 19. Oktober hat Apple 12 dieser Zertifikate in Safari, Mail und Apps gesperrt, die Apples Netzwerk- und Sicherheits-Frameworks nutzen, ganz ohne Update.
• Die Kommandozeilen-Tools waren die Lücke. Apples Seite nennt curl, git, python3, ruby, perl und openssl. Sie prüfen Zertifikate gegen die Datei /etc/ssl/cert.pem, und bei allem, was auf ein Root-Zertifikat in dieser Datei zurückgeht, umgehen sie Apples Sperre.
• 27.2.1 schließt sie. Die Kommandozeilen-Tools akzeptieren diese Zertifikate nicht mehr, und fünf Root-Zertifikate werden aus /etc/ssl/cert.pem entfernt: emSign ECC Root CA - G3, AAA Certificate Services, emSign Root CA - G1, emSign Root CA - C1 und emSign ECC Root CA - C3. Laut Apples Seite enthalten 26.7.3 und 15.8.3 denselben Schutz.

Dieselben Updates beheben laut MacRumors acht weitere Sicherheitslücken in Nachrichten, AirPlay und Bluetooth. Apple hat nicht gesagt, dass eine davon bei Angriffen genutzt wurde.

Warum es Mac-App-Entwickler kümmern sollte

Wenn deine App eine normale Swift-App ist, die über URLSession mit dem Internet spricht, war sie im Oktober sehr wahrscheinlich abgedeckt. Apples Seite spricht von Apps, die Apples Netzwerk- und Sicherheits-Frameworks nutzen, und Howard Oakley, zitiert von Michael Tsai, sagt, dass Apps, die auf Apples Standard-APIs aufbauen, den Trust Store von macOS verwenden.

Die Apps, die nicht abgedeckt waren, sind genau die, die viele Indie-Maker ausliefern:

• Apps, die intern curl, git oder python3 ausführen. Download-Helfer, Installationsskripte, Modell-Downloader für lokale KI-Apps, Entwickler-Tools, die git einbinden.
• Apps mit einer eigenen Liste vertrauenswürdiger Root-Zertifikate. Oakley nennt Chrome und andere Chromium-Browser, Produkte von Mozilla und Microsoft sowie einige Electron-Apps. Er sagt auch, dass Python, Java und Go und möglicherweise Rust oder Ruby betroffen sein können. Laut Apples Seite nutzen Tools mit eigener Root-Liste weder Apples Sperre noch /etc/ssl/cert.pem.

Der Oktober-Fix hat deine App also vielleicht nicht erreicht, und der November-Fix womöglich auch nicht, wenn sie ihre eigenen Root-Zertifikate mitbringt.

Es gibt eine zweite Seite. AAA Certificate Services ist ein altes Sectigo-Root-Zertifikat, das viele ganz normale Zertifikate signiert hat. Apples Seite warnt, dass Tools, die nur /etc/ssl/cert.pem nutzen, manche Websites nicht mehr verifizieren können, deren Ketten über die entfernten Root-Zertifikate laufen. Wenn dein Download-Server, dein Update-Feed oder deine Lizenz-API dazugehört, könnte curl auf einem aktualisierten Mac anfangen, ihn abzulehnen.

Was ich diese Woche prüfen würde

Das sind meine eigenen Schritte, nicht die von Apple.

1. Aktualisiere einen Mac auf 27.2.1 und teste Downloads über die Kommandozeile. Führe dein Installationsskript aus, dein brew install, falls du einen Cask hast, und curl -I gegen die Adressen deines Downloads, deines Appcasts und deiner Lizenz. Ein abgelehntes Zertifikat zeigt sich als Fehler, nicht als langsame Seite.
2. Sieh dir deine eigene Zertifikatskette an. Führe openssl s_client -connect yourapp.com:443 -showcerts aus und lies die Aussteller-Zeilen. Wenn du eMudhra, emSign oder AAA Certificate Services siehst, frag deinen Hoster oder Zertifikatsverkäufer nach einer Kette, die bei einem anderen Root-Zertifikat endet.
3. Finde den Trust Store heraus, den deine App wirklich nutzt. Electron, Go, Rust mit eingebundenen Root-Zertifikaten, Python mit certifi und Java bringen alle ihren eigenen mit. Aktualisiere die Laufzeitumgebung oder das Root-Paket auf eine Version, die die schlechten Zertifikate entfernt, und erwähne es in deinen Versionshinweisen.
4. Halte eine Antwort für den Support bereit. Wenn jemand mit einem älteren Mac keine Updates installieren kann, enthält Apples Seite Schritte, um die Root-Zertifikate von Hand zu entfernen. Ich würde auf Apples Seite verlinken, statt Befehle mit sudo in eine E-Mail zu kopieren.
5. Sag den Leuten, sie sollen updaten. Wenn die Nutzer deiner App eher technisch sind, kostet ein kurzer Hinweis in deinem nächsten Release oder Newsletter nichts.
6. Prüf die Datei auf einem Test-Mac. Apples Seite nennt den Befehl unten, der nichts ausgibt, sobald die beiden wichtigen Stammzertifikate weg sind.

openssl crl2pkcs7 -nocrl -certfile /etc/ssl/cert.pem | openssl pkcs7 -print_certs -noout | grep -E 'emSign ECC Root CA - G3|AAA Certificate Services'

Was ich nicht tun würde

Ich würde in einem Skript nicht die Zertifikatsprüfung abschalten, nur damit ein Fehler verschwindet. Genau davor schützt diese ganze Änderung. Und ich würde Nutzern nicht sagen, ihr Mac sei gehackt worden. Es gibt keinen Hinweis, dass die Schlüssel benutzt wurden, und die meisten Apps waren im Oktober geschützt.

Der MacPip-Blickwinkel

MacPip prüft nicht, welchen Zertifikaten eine App vertraut. Einträge werden beim Einreichen automatisch gescannt, und ein blauer Haken bedeutet nur, dass eine Person die App an einem Datum ausprobiert hat. Wenn du ein Entwickler-Tool oder eine Sicherheits- und Datenschutz-App machst, hast du am ehesten ein Skript oder eine eingebundene Laufzeitumgebung, die das betrifft, also ist es eine Stunde wert.

Neu heute: der Privacy-Manifest-Checker. Füge deine PrivacyInfo.xcprivacy ein, und er prüft jeden Datentyp, Zweck und Required-Reason-Code, etwa CA92.1, gegen Apples eigene Listen. Er sagt auch, was Apple auf dem Mac verlangt und was nicht. Er läuft auf der Seite, und nichts wird gesendet. Die Info.plist-Erklärung und die Notarisierungs-Erklärung sind gleich nebenan. Und wenn deine Mac-App noch nicht auf MacPip ist, ist der Eintrag kostenlos.

Quellen

• Apple Support: Über die Kompromittierung der Zertifizierungsstelle eMudhra (veröffentlicht am 9. November 2026)
• Apple Support: Apple Sicherheitsupdates
• MacRumors: macOS 27.2.1 behebt eMudhra-Zertifikatsfehler in Kommandozeilen-Tools
• MacRumors: Apple sperrt kompromittierte eMudhra-Zertifikate (25. Oktober 2026)
• MacRumors: Das hat Apple in iOS 27.2.1 und macOS 27.2.1 behoben
• Michael Tsai: Kompromittierung der eMudhra-Zwischen-CA

Weiterlesen

• Claude Fable 5.2 and Mythos 5.2: what's new, the benchmarks, and what it means for your MacClaude Fable 5.2 and Mythos 5.2 came out on November 9, 2026. Anthropic's benchmarks as charts, the prices, what changes on a Mac, and four free tools.
• Live Activities kommen in die Menüleiste des Mac. Das würde ich mit meiner Mac-App machenDie Beta von macOS 27.3 bringt Live Activities in die Menüleiste von Macs mit Apple silicon, und Mac-Apps können eigene starten. Was sich geändert hat, die Grenzen und was du zuerst ausprobieren kannst.
• Speicher macht Macs teurer. Das würde ich mit meiner Mac-App tunApple sagt, der Speicher wird Macs bis 2027 knapp und teurer halten, und der günstigste Mac hat 8 GB. Warum das für deine Mac-App wichtig ist und welche Checks du diese Woche machen solltest.
• Apple lässt dich jetzt mit Leuten sprechen, die kündigen. Das würde ich mit meiner Mac-App machenSeit dem 4. November können Abos im App Store eine Nachricht oder ein Angebot zeigen, wenn jemand kündigt. Die Regeln, was Apple sagt und was du auf dem Mac prüfen solltest.
• Apple ergänzt zwei Fragen zur Altersfreigabe. Das würde ich mit meiner Mac-App tunAb 16. November fragt App Store Connect nach geteiltem Standort und Dating-Funktionen, und jede App muss bis 12. Januar 2027 antworten. Was sich ändert und was zu tun ist.
• Siri AI steht jetzt allen Entwicklern offen. Das würde ich mit meiner Mac-App machenApple hat Siri AI in der Beta von macOS 27.3 für alle Entwickler geöffnet. Was sich geändert hat, was du schon veröffentlichen kannst und was nicht, und ein kurzer Plan für eine kleine Mac-App.
• Touchscreen-Macs erscheinen am 6. November. Das würde ich in meiner Mac-App prüfenApples erste Touch-Macs erscheinen am 6. November. Was sich geändert hat, was Apple Entwicklern empfiehlt und eine kurze Liste mit Dingen, die du in deiner eigenen Mac-App testen kannst.
• MacPip vorgestelltWas MacPip ist, warum ich es gebaut habe, wie Eintragen und Launch-Tag funktionieren, was ein blauer Haken wirklich bedeutet und die echten Zahlen aus den ersten Tagen.
• Eine Mac-App launchen: eine Checkliste, die auf eine Seite passtWas du vor, am und nach dem Launch-Tag für eine Mac-App tun solltest: Signierung, deine Seite, Verzeichnisse, Product Hunt, Show HN und was du messen solltest.
• So schreibst du eine Ein-Zeilen-Beschreibung, die sagt, was deine Mac-App machtEin einfacher Weg, die eine Zeile unter dem Namen deiner Mac-App zu schreiben: nenne den Zweck, streiche Übertreibungen und teste sie an jemandem, der die App nie gesehen hat.
• Signierung und Notarisierung in einfachen Worten, für Menschen, die ihre erste Mac-App bauenWas Code-Signierung, Notarisierung und Stapling jeweils bewirken, in welcher Reihenfolge, was deine Nutzer ohne sie sehen und wie du deinen eigenen Build prüfst.
• Was ein Dofollow-Link ehrlich wert ist, von einer Seite, die einen anbietetWas Dofollow bedeutet, was Google über Links sagt, warum ein Link von einem neuen Verzeichnis heute wenig wert ist und was du stattdessen tun kannst, anstatt Links zu kaufen.

Deine App einreichenKostenlose Tools für Macher