macOS 27.2.1 empêche curl de faire confiance à eMudhra. Voici ce que je vérifierais dans mon app Mac

La plupart des mises à jour du Mac, je les installe et je les oublie. macOS 27.2.1, sorti le 9 novembre, est de celles dont je lirais les petites lignes si je créais une app Mac, car elle change les certificats auxquels font confiance certains des outils présents sur tous les Mac. Apple l'a publiée avec macOS Tahoe 26.7.3 et Sequoia 15.8.3 pour les Mac plus anciens, et les trois versions portent le même changement.

Voici ce qui s'est passé, qui est concerné, et ce que je testerais.

Ce qui s'est passé

• Huit autorités de certification intermédiaires ont été compromises. La page d'assistance d'Apple sur eMudhra indique que les clés privées de huit AC intermédiaires d'eMudhra ont été compromises. Six d'entre elles émettent les certificats que les sites web utilisent pour https. Avec ces clés, quelqu'un pourrait fabriquer un certificat qui paraît valide pour n'importe quel site. eMudhra et Sectigo ont révoqué les certificats concernés.
• Les clés étaient minuscules. MacRumors rapporte qu'une enquête de Mozilla a trouvé des valeurs de clé si petites qu'il était trivial de les retrouver. MacRumors a aussi indiqué en octobre qu'il n'y avait aucune preuve que les clés aient été utilisées.
• Apple les a bloqués en octobre, mais pas partout. Depuis le 19 octobre, Apple a bloqué 12 de ces certificats dans Safari, Mail et les apps qui utilisent les frameworks réseau et sécurité d'Apple, sans mise à jour nécessaire.
• Les outils en ligne de commande étaient la faille. La page d'Apple cite curl, git, python3, ruby, perl et openssl. Ils vérifient les certificats d'après le fichier /etc/ssl/cert.pem, et pour tout ce qui remonte à une racine de ce fichier, ils ignorent le blocage d'Apple.
• 27.2.1 referme la brèche. Les outils en ligne de commande n'acceptent plus ces certificats, et cinq racines sont retirées de /etc/ssl/cert.pem : emSign ECC Root CA - G3, AAA Certificate Services, emSign Root CA - G1, emSign Root CA - C1 et emSign ECC Root CA - C3. La page d'Apple indique que 26.7.3 et 15.8.3 incluent la même protection.

Les mêmes mises à jour corrigent huit autres failles de sécurité, dans Messages, AirPlay et Bluetooth, selon MacRumors. Apple n'a pas dit que l'une d'elles ait été utilisée dans des attaques.

Pourquoi un créateur d'app Mac devrait s'en soucier

Si votre app est une app Swift classique qui communique avec internet via URLSession, elle était très probablement couverte en octobre. La page d'Apple parle des apps qui utilisent ses frameworks réseau et sécurité, et Howard Oakley, cité par Michael Tsai, dit que les apps conçues avec les API standard d'Apple utilisent le magasin de confiance de macOS.

Les apps qui n'étaient pas couvertes sont celles que beaucoup de créateurs indépendants publient :

• Les apps qui lancent curl, git ou python3 en coulisses. Assistants de téléchargement, scripts d'installation, téléchargeurs de modèles pour les apps d'IA locale, outils de développement qui s'appuient sur git.
• Les apps qui ont leur propre liste de racines de confiance. Oakley cite Chrome et les autres navigateurs Chromium, les produits Mozilla et Microsoft, et certaines apps Electron. Il dit aussi que Python, Java et Go, et peut-être Rust ou Ruby, pourraient être touchés. La page d'Apple indique que les outils qui ont leur propre liste de racines n'utilisent ni son blocage ni /etc/ssl/cert.pem.

Le correctif d'octobre n'a donc peut-être pas atteint votre app, et celui de novembre non plus si elle apporte ses propres racines.

Il y a un deuxième aspect. AAA Certificate Services est une ancienne racine de Sectigo qui a signé beaucoup de certificats ordinaires. La page d'Apple prévient que les outils qui utilisent uniquement /etc/ssl/cert.pem peuvent ne pas réussir à vérifier certains sites dont les chaînes passent par les racines retirées. Si votre serveur de téléchargement, votre flux de mises à jour ou votre API de licences en fait partie, curl sur un Mac mis à jour pourrait se mettre à le refuser.

Ce que je vérifierais cette semaine

Ce sont mes propres étapes, pas celles d’Apple.

1. Mettez un Mac à jour vers 27.2.1 et testez les téléchargements en ligne de commande. Lancez votre script d'installation, votre brew install si vous avez un cask, et curl -I sur les adresses de votre téléchargement, de votre appcast et de votre licence. Un certificat refusé apparaît comme une erreur, pas comme une page lente.
2. Regardez votre propre chaîne de certificats. Lancez openssl s_client -connect yourapp.com:443 -showcerts et lisez les lignes de l'émetteur. Si vous voyez eMudhra, emSign ou AAA Certificate Services, demandez à votre hébergeur ou à votre vendeur de certificats une chaîne qui se termine par une autre racine.
3. Trouvez le magasin de confiance que votre app utilise vraiment. Electron, Go, Rust avec racines intégrées, Python avec certifi et Java apportent tous le leur. Mettez à jour le runtime ou le paquet de racines vers une version qui retire les mauvais certificats, et mentionnez-le dans vos notes de version.
4. Préparez une réponse pour le support. Si quelqu'un avec un Mac plus ancien ne peut pas installer les mises à jour, la page d'Apple explique comment retirer les racines à la main. Je renverrais vers la page d'Apple plutôt que de coller dans un e-mail des commandes qui utilisent sudo.
5. Dites aux gens de mettre à jour. Si les utilisateurs de votre app sont plutôt techniques, une courte note dans votre prochaine version ou votre newsletter ne coûte rien.
6. Vérifiez le fichier sur un Mac de test. La page d'Apple donne la commande ci-dessous, qui n'affiche rien une fois les deux racines principales retirées.

openssl crl2pkcs7 -nocrl -certfile /etc/ssl/cert.pem | openssl pkcs7 -print_certs -noout | grep -E 'emSign ECC Root CA - G3|AAA Certificate Services'

Ce que je ne ferais pas

Je ne désactiverais pas la vérification des certificats dans un script pour faire disparaître une erreur. C'est justement ce que tout ce changement protège. Et je ne dirais pas aux utilisateurs que leur Mac a été piraté. Rien n'indique que les clés aient été utilisées, et la plupart des apps étaient protégées dès octobre.

L'angle MacPip

MacPip ne vérifie pas à quels certificats une app fait confiance. Les fiches sont analysées automatiquement à leur soumission, et une coche bleue signifie seulement qu'une personne a essayé l'app à une date donnée. Si vous créez un outil de développement ou une app de sécurité et de confidentialité, vous êtes les plus susceptibles d'avoir un script ou un runtime intégré concerné, alors cela vaut bien une heure.

Nouveau aujourd'hui : le vérificateur de manifeste de confidentialité. Collez votre PrivacyInfo.xcprivacy et il vérifie chaque type de données, chaque finalité et chaque code de raison requise, comme CA92.1, d'après les listes d'Apple. Il indique aussi ce qu'Apple demande sur Mac et ce qu'elle ne demande pas. Il fonctionne dans la page et rien n'est envoyé. L'explicateur d'Info.plist et l'explicateur de notarisation sont juste à côté. Et si votre app Mac n'est pas encore sur MacPip, la référencer est gratuit.

Sources

• Assistance Apple : À propos de la compromission de l'autorité de certification eMudhra (publié le 9 novembre 2026)
• Assistance Apple : Versions de sécurité d'Apple
• MacRumors : macOS 27.2.1 corrige la faille des certificats eMudhra dans les outils en ligne de commande
• MacRumors : Apple bloque les certificats compromis d'eMudhra (25 octobre 2026)
• MacRumors : Voici ce qu'Apple a corrigé dans iOS 27.2.1 et macOS 27.2.1
• Michael Tsai : Compromission de l'AC intermédiaire d'eMudhra

Continuer la lecture

• Claude Fable 5.2 and Mythos 5.2: what's new, the benchmarks, and what it means for your MacClaude Fable 5.2 and Mythos 5.2 came out on November 9, 2026. Anthropic's benchmarks as charts, the prices, what changes on a Mac, and four free tools.
• Les Live Activities arrivent dans la barre des menus du Mac. Voici ce que je ferais avec mon app MacLa bêta de macOS 27.3 place les Live Activities dans la barre des menus des Mac Apple silicon, et les apps Mac peuvent lancer les leurs. Ce qui a changé, les limites, et ce qu'il faut essayer en premier.
• La mémoire renchérit les Mac. Voici ce que je ferais pour mon app MacApple dit que la mémoire va continuer à rendre les Mac rares et plus chers jusqu'en 2027, et le Mac le moins cher a 8 GB. Pourquoi cela compte pour votre app Mac, et les vérifications à faire cette semaine.
• Apple vous permet maintenant de parler aux personnes qui résilient. Voici ce que je ferais avec mon app MacDepuis le 4 novembre, les abonnements de l'App Store peuvent afficher un message ou une offre quand quelqu'un résilie. Les règles, ce qu'Apple dit faire, et ce qu'il faut vérifier sur Mac.
• Apple ajoute deux questions sur la classification par âge. Voici ce que je ferais pour mon app MacÀ partir du 16 novembre, App Store Connect pose des questions sur la localisation partagée et les fonctions de rencontres, et chaque app doit y répondre avant le 12 janvier 2027. Ce qui change et ce qu’il faut faire.
• Siri AI est désormais ouvert à tous les développeurs. Voici ce que je ferais avec mon app MacApple a ouvert Siri AI à tous les développeurs dans la bêta de macOS 27.3. Ce qui change, ce que vous pouvez et ne pouvez pas encore publier, et un court plan pour une petite app Mac.
• Les Mac à écran tactile sortent le 6 novembre. Voici ce que je vérifierais dans mon app MacLes premiers Mac tactiles d'Apple arrivent le 6 novembre. Ce qui change, ce qu'Apple demande aux développeurs de faire, et une courte liste de choses à tester dans votre propre app Mac.
• Présentation de MacPipCe qu'est MacPip, pourquoi je l'ai créé, comment fonctionnent le référencement et le jour de lancement, ce que signifie vraiment une coche bleue, et les vrais chiffres de ses premiers jours.
• Comment lancer une app Mac : une liste de contrôle qui tient sur une pageQuoi faire avant, le jour même et après le lancement d'une app Mac : signature, votre page, annuaires, Product Hunt, Show HN et ce qu'il faut mesurer.
• Comment écrire une description en une ligne qui dit ce que fait votre app MacUne façon simple d'écrire la ligne sous le nom de votre app Mac : nommez la tâche, supprimez le battage, et testez-la sur quelqu'un qui n'a jamais vu l'app.
• Signature et notarisation, expliquées simplement, pour les personnes qui créent leur première app MacCe que font chacune la signature de code, la notarisation et l'agrafage, dans quel ordre, ce que voient vos utilisateurs sans elles, et comment vérifier votre propre build.
• Ce que vaut honnêtement un lien dofollow, depuis un site qui en propose unCe que signifie dofollow, ce que dit Google sur les liens, pourquoi un lien venant d'un nouvel annuaire vaut peu aujourd'hui, et quoi faire à la place d'acheter des liens.

Soumettre votre appOutils gratuits pour les créateurs