macOS 27.2.1 hace que curl deje de confiar en eMudhra. Esto es lo que revisaría en mi app de Mac

La mayoría de las actualizaciones del Mac las instalo y me olvido. macOS 27.2.1, publicado el 9 de noviembre, es una de las que leería con atención si hiciera una app de Mac, porque cambia en qué certificados confían algunas de las herramientas de todos los Mac. Apple lo lanzó junto con macOS Tahoe 26.7.3 y Sequoia 15.8.3 para Macs más antiguos, y las tres versiones incluyen el mismo cambio.

Esto es lo que pasó, a quién afecta y qué probaría yo.

Qué pasó

• Ocho autoridades de certificación intermedias quedaron comprometidas. La página de soporte de Apple sobre eMudhra dice que se comprometieron las claves privadas de ocho CA intermedias de eMudhra. Seis de ellas emiten los certificados que usan los sitios web para https. Con esas claves, alguien podría fabricar un certificado que parezca válido para cualquier sitio. eMudhra y Sectigo revocaron los certificados afectados.
• Las claves eran diminutas. MacRumors informa de que una investigación de Mozilla encontró valores de clave tan pequeños que era trivial recuperarlos. MacRumors también dijo en octubre que no había pruebas de que se hubieran usado las claves.
• Apple los bloqueó en octubre, pero no en todas partes. Desde el 19 de octubre, Apple bloqueó 12 de estos certificados en Safari, Mail y las apps que usan los frameworks de red y seguridad de Apple, sin necesidad de actualizar.
• Las herramientas de línea de comandos eran la brecha. La página de Apple menciona curl, git, python3, ruby, perl y openssl. Comprueban los certificados contra el archivo /etc/ssl/cert.pem, y con todo lo que enlaza a una raíz de ese archivo, se saltan el bloqueo de Apple.
• 27.2.1 lo cierra. Las herramientas de línea de comandos dejan de aceptar estos certificados y se eliminan cinco raíces de /etc/ssl/cert.pem: emSign ECC Root CA - G3, AAA Certificate Services, emSign Root CA - G1, emSign Root CA - C1 y emSign ECC Root CA - C3. La página de Apple dice que 26.7.3 y 15.8.3 incluyen la misma protección.

Las mismas actualizaciones corrigen otros ocho fallos de seguridad, en Mensajes, AirPlay y Bluetooth, según MacRumors. Apple no dijo que ninguno se usara en ataques.

Por qué debería importarte si haces apps de Mac

Si tu app es una app normal de Swift que se comunica con internet mediante URLSession, lo más probable es que quedara cubierta en octubre. La página de Apple habla de apps que usan sus frameworks de red y seguridad, y Howard Oakley, citado por Michael Tsai, dice que las apps creadas con las API estándar de Apple usan el almacén de confianza de macOS.

Las apps que no quedaron cubiertas son las que muchos creadores independientes publican:

• Apps que ejecutan curl, git o python3 por dentro. Ayudantes de descarga, scripts de instalación, descargadores de modelos para apps de IA local, herramientas de desarrollo que envuelven git.
• Apps con su propia lista de raíces de confianza. Oakley menciona Chrome y otros navegadores basados en Chromium, productos de Mozilla y Microsoft, y algunas apps de Electron. También dice que Python, Java y Go, y posiblemente Rust o Ruby, podrían verse afectados. La página de Apple dice que las herramientas con su propia lista de raíces no usan su bloqueo ni /etc/ssl/cert.pem en absoluto.

Así que la corrección de octubre puede no haber llegado a tu app, y la de noviembre tampoco si trae sus propias raíces.

Hay un segundo lado. AAA Certificate Services es una raíz antigua de Sectigo que ha firmado muchísimos certificados normales. La página de Apple avisa de que las herramientas que usan solo /etc/ssl/cert.pem pueden no verificar algunos sitios cuyas cadenas pasan por las raíces eliminadas. Si tu servidor de descargas, tu feed de actualizaciones o tu API de licencias resulta ser uno de ellos, curl en un Mac actualizado podría empezar a rechazarlo.

Lo que revisaría esta semana

Estos son mis propios pasos, no los de Apple.

1. Actualiza un Mac a 27.2.1 y prueba las descargas desde la línea de comandos. Ejecuta tu script de instalación, tu brew install si tienes un cask, y curl -I contra las direcciones de tu descarga, tu appcast y tu licencia. Un certificado rechazado aparece como un error, no como una página lenta.
2. Mira tu propia cadena de certificados. Ejecuta openssl s_client -connect yourapp.com:443 -showcerts y lee las líneas del emisor. Si ves eMudhra, emSign o AAA Certificate Services, pide a tu hosting o a quien te vendió el certificado una cadena que termine en otra raíz.
3. Averigua qué almacén de confianza usa de verdad tu app. Electron, Go, Rust con raíces incluidas, Python con certifi y Java traen el suyo. Actualiza el runtime o el paquete de raíces a una versión que elimine los certificados malos, y anótalo en las notas de la versión.
4. Ten lista una respuesta para soporte. Si alguien con un Mac antiguo no puede instalar actualizaciones, la página de Apple tiene pasos para quitar las raíces a mano. Yo enlazaría a la página de Apple en lugar de pegar en un correo comandos que usan sudo.
5. Dile a la gente que actualice. Si los usuarios de tu app son bastante técnicos, una nota breve en tu próxima versión o boletín no cuesta nada.
6. Revisa el archivo en un Mac de prueba. La página de Apple da el comando de abajo, que no muestra nada cuando las dos raíces clave ya no están.

openssl crl2pkcs7 -nocrl -certfile /etc/ssl/cert.pem | openssl pkcs7 -print_certs -noout | grep -E 'emSign ECC Root CA - G3|AAA Certificate Services'

Lo que no haría

No desactivaría la comprobación de certificados en un script para que desaparezca un error. Eso es justo lo que protege todo este cambio. Y tampoco diría a los usuarios que hackearon su Mac. No hay señales de que se usaran las claves, y la mayoría de las apps quedaron protegidas en octubre.

El enfoque de MacPip

MacPip no comprueba en qué certificados confía una app. Las fichas se analizan automáticamente al enviarse, y una marca azul solo significa que una persona probó la app en una fecha. Si haces una herramienta de desarrollo o una app de seguridad y privacidad, eres quien más probablemente tenga un script o un runtime incluido que esto afecte, así que vale una hora de tu tiempo.

Novedad de hoy: el verificador de manifiestos de privacidad. Pega tu PrivacyInfo.xcprivacy y comprueba cada tipo de dato, propósito y código de razón requerida, como CA92.1, con las listas de Apple. También te dice qué pide Apple en el Mac y qué no. Funciona en la propia página y no se envía nada. La guía del Info.plist y la guía de la notarización están al lado. Y si tu app de Mac aún no está en MacPip, listarla es gratis.

Fuentes

• Soporte de Apple: Acerca del compromiso de la autoridad de certificación de eMudhra (publicado el 9 de noviembre de 2026)
• Soporte de Apple: Versiones de seguridad de Apple
• MacRumors: macOS 27.2.1 corrige el fallo de certificados de eMudhra en las herramientas de línea de comandos
• MacRumors: Apple bloquea certificados comprometidos de eMudhra (25 de octubre de 2026)
• MacRumors: Esto es lo que Apple corrigió en iOS 27.2.1 y macOS 27.2.1
• Michael Tsai: Compromiso de la CA intermedia de eMudhra

Sigue leyendo

• Claude Fable 5.2 and Mythos 5.2: what's new, the benchmarks, and what it means for your MacClaude Fable 5.2 and Mythos 5.2 came out on November 9, 2026. Anthropic's benchmarks as charts, the prices, what changes on a Mac, and four free tools.
• Las Live Activities llegan a la barra de menús del Mac. Esto es lo que haría yo con mi app para MacLa beta de macOS 27.3 lleva las Live Activities a la barra de menús de los Mac con Apple silicon, y las apps para Mac pueden iniciar las suyas. Qué cambió, los límites y qué probar primero.
• La memoria está encareciendo los Mac. Esto es lo que haría yo con mi app de MacApple dice que la memoria seguirá escaseando y encareciendo los Mac hasta 2027, y el Mac más barato tiene 8 GB. Por qué importa para tu app de Mac y qué revisar esta semana.
• Apple ahora te deja hablar con quien cancela. Esto es lo que haría yo con mi app para MacDesde el 4 de noviembre, las suscripciones de la App Store pueden mostrar un mensaje u oferta cuando alguien cancela. Las reglas, lo que dice Apple que hace y qué revisar en el Mac.
• Apple añade dos preguntas a la clasificación por edad. Esto haría yo con mi app de MacDesde el 16 de noviembre, App Store Connect pregunta por ubicación compartida y funciones de citas, y todas las apps deben responder antes del 12 de enero de 2027. Qué cambió y qué hacer.
• Siri AI ya está abierto a todos los desarrolladores. Esto es lo que haría yo con mi app de MacApple abrió Siri AI a todos los desarrolladores en la beta de macOS 27.3. Qué cambió, qué puedes y qué no puedes publicar todavía, y un plan corto para una app pequeña de Mac.
• Los Mac con pantalla táctil salen el 6 de noviembre. Esto es lo que revisaría en mi app de MacLos primeros Mac táctiles de Apple llegan el 6 de noviembre. Qué cambió, qué les dice Apple a los desarrolladores que hagan y una lista corta de cosas para probar en tu propia app de Mac.
• Presentamos MacPipQué es MacPip, por qué lo creé, cómo funcionan las fichas y el día de lanzamiento, qué significa de verdad una marca azul y las cifras reales de sus primeros días.
• Cómo lanzar una app para Mac: una lista que cabe en una páginaQué hacer antes, durante y después del día de lanzamiento de una app para Mac: firma, tu página, directorios, Product Hunt, Show HN y qué medir.
• Cómo escribir una descripción de una línea que diga qué hace tu app para MacUna forma sencilla de escribir la línea bajo el nombre de tu app para Mac: di qué hace, quita la exageración y pruébala con alguien que nunca haya visto la app.
• Firma y notarización, con palabras sencillas, para quien hace su primera app para MacQué hace cada paso de la firma de código, la notarización y el stapling, en qué orden, qué ven tus usuarios sin ellos, y cómo revisar tu propia compilación.
• Cuánto vale de verdad un enlace dofollow, desde un sitio que ofrece unoQué significa dofollow, qué dice Google sobre los enlaces, por qué un enlace de un directorio nuevo vale poco hoy, y qué hacer en lugar de comprar enlaces.

Envía tu appHerramientas gratuitas para creadores