Apple bloquea certificados comprometidos de eMudhra y guía a los administradores sobre la remediación por CLI

Apple ha iniciado una respuesta de seguridad para bloquear los certificados emitidos por las Autoridades de Certificación (CA) intermedias comprometidas de eMudhra. A partir del 19 de octubre de 2026, la empresa comenzó a bloquear automáticamente estas credenciales en sus dispositivos, al tiempo que proporcionaba pasos específicos de remediación manual para los administradores de sistemas que dependen de interfaces de línea de comandos.

Qué ocurrió

El incidente de seguridad se origina en la compromisión de las claves privadas pertenecientes a ocho Autoridades de Certificación intermedias operadas por eMudhra. Aunque dos de estas autoridades emiten certificados de firma de código que los frameworks de Apple no consideran confiables, las otras seis emiten certificados de Seguridad de la Capa de Transporte (TLS). Esta distinción es crítica porque un atacante que posea estas claves comprometidas podría generar certificados TLS con apariencia válida para cualquier sitio web, lo que potencialmente habilitaría ataques de intermediario (man-in-the-middle) o la suplantación de servicios legítimos.

En respuesta, tanto eMudhra como Sectigo han revocado los certificados afectados. El alcance del problema involucra doce certificados específicos asociados con las seis CA intermedias emisoras de TLS. Cada una de estas seis autoridades posee dos certificados: uno emitido por emSign Root TLS CA - G3, que encadena hacia emSign ECC Root CA - G3, y otro firmado cruzadamente por Sectigo, que encadena hacia AAA Certificate Services. Apple ha identificado estos doce certificados como los principales vectores de posible abuso y ha procedido a neutralizarlos en todo su ecosistema.

Detalles clave

• Apple comenzó a bloquear los doce certificados comprometidos en todos los dispositivos Apple el 19 de octubre de 2026.
• El bloqueo se aplica automáticamente a Safari, Mail y aplicaciones que utilizan los frameworks nativos de red y seguridad de Apple.
• El 23 de octubre de 2026, Apple expandió el bloqueo para incluir el certificado raíz emSign ECC Root CA - G3.
• Las herramientas de línea de comandos como curl, git, python3, ruby, perl y openssl pueden seguir aceptando estos certificados si dependen del archivo local /etc/ssl/cert.pem.
• Apple ofrecerá una futura actualización de software para corregir la vulnerabilidad de las herramientas de línea de comandos, pero no se requiere una actualización inmediata del sistema operativo para los usuarios generales.
• Los administradores pueden eliminar manualmente los certificados raíz comprometidos de /etc/ssl/cert.pem para proteger los flujos de trabajo CLI antes de que llegue el parche oficial.

Contexto

Para entender el impacto, ayuda distinguir cómo diferentes aplicaciones verifican la identidad en macOS. La mayoría de las aplicaciones orientadas al consumidor, incluidos navegadores web como Safari, utilizan los frameworks de seguridad centralizados de Apple. Estos frameworks reciben listas de bloqueo actualizadas vía OTA (over-the-air), lo que permite a Apple revocar la confianza en certificados comprometidos instantáneamente sin requerir una actualización completa del sistema operativo. Este mecanismo protege automáticamente a la gran mayoría de los usuarios.

Sin embargo, muchas herramientas de desarrollo y administración de sistemas operan de manera diferente. Utilidades como curl y git a menudo omiten el almacén de confianza central de Apple y, en su lugar, verifican contra un archivo local llamado /etc/ssl/cert.pem. Este archivo contiene un paquete de certificados raíz de confianza almacenados directamente en el disco. Dado que estas herramientas no consultan la lista de bloqueo en vivo de Apple, permanecen vulnerables a los certificados comprometidos de eMudhra hasta que el archivo local sea editado manualmente por un administrador o reemplazado por una futura actualización de software de Apple.

Por qué importa

Para los equipos que gestionan su propia infraestructura o desarrollan software en macOS, esta brecha en la protección automática presenta un riesgo tangible. Si sus scripts de despliegue, pipelines de CI/CD o agentes de monitoreo utilizan herramientas de línea de comandos para conectarse a servicios externos, podrían confiar inadvertidamente en un servidor malicioso que presente un certificado forjado. Esto podría llevar a la exfiltración de datos o a la inyección de código malicioso durante actualizaciones automatizadas, ya que las herramientas percibirían la conexión como segura.

Además, el proceso de remediación manual requiere una ejecución cuidadosa. Editar almacenes de certificados a nivel de sistema es una operación delicada. Eliminar el certificado raíz incorrecto podría romper la conectividad con servicios legítimos que casualmente encadenan a través de las mismas raíces. Los administradores deben equilibrar la urgencia de cerrar el agujero de seguridad con la necesidad de mantener la estabilidad operativa. El hecho de que Apple planea arreglar esto en una futura actualización significa que cualquier cambio manual realizado ahora puede necesitar ser revertido o gestionado cuidadosamente para evitar conflictos cuando llegue el parche oficial.

Qué puedes hacer

• Verifica si tu flujo de trabajo utiliza herramientas basadas en Terminal como curl, git o python3 que dependen de /etc/ssl/cert.pem para la validación de certificados.
• Haz una copia de seguridad del archivo de certificados actual ejecutando [ -e /etc/ssl/cert.pem.orig ] || sudo cp -p /etc/ssl/cert.pem /etc/ssl/cert.pem.orig en Terminal.
• Elimina el certificado emSign ECC Root CA - G3 del almacén de confianza local utilizando el comando awk específico proporcionado por Apple para asegurar que el archivo permanezca válido.
• Opcionalmente, elimina la raíz AAA Certificate Services si necesitas bloquear inmediatamente los certificados firmados cruzadamente por Sectigo, entendiendo que esto puede afectar otros servicios.
• Valida tus cambios ejecutando el comando de verificación openssl para confirmar que las raíces comprometidas ya no están presentes en el archivo.
• Monitorea la próxima actualización de software de macOS que parcheará oficialmente /etc/ssl/cert.pem, y restaura la copia de seguridad original si la actualización reemplaza tus ediciones manuales.