Các công cụ dành cho nhà phát triển macOS của Apple vẫn tin tưởng chứng chỉ eMudhra bị xâm phạm

Apple đã không vá một lỗ hổng nghiêm trọng về niềm tin chứng chỉ trong các công cụ dành cho nhà phát triển tính đến cuối tháng 10 năm 2026. Mặc dù đã được thông báo về vụ xâm phạm vào ngày 17 tháng 10, bản cập nhật hệ điều hành mới nhất của công ty, macOS 27.2, phát hành vào ngày 26 tháng 10, không những không giải quyết được lỗ hổng mà còn hoàn nguyên các biện pháp khắc phục thủ công do người dùng áp dụng. Điều này khiến các nhà phát triển sử dụng các công cụ dòng lệnh tiêu chuẩn như git, curl và python3 phải đối mặt với nguy cơ bị tấn công trung gian (man-in-the-middle).

Chuyện gì đã xảy ra

Vấn đề cốt lõi liên quan đến các chứng chỉ số do eMudhra cấp, một tổ chức cấp chứng chỉ (CA) đã bị xâm phạm bảo mật. Khi một CA bị xâm phạm, kẻ tấn công có thể tạo ra các chứng chỉ giả mạo cho bất kỳ trang web nào, bao gồm cả các nền tảng lưu trữ mã nguồn lớn như GitHub. Những chứng chỉ giả mạo này cho phép kẻ tấn công chặn lưu lượng truy cập được mã hóa mà không kích hoạt các cảnh báo bảo mật tiêu chuẩn. Trong khi Apple nhanh chóng cập nhật Safari và các ứng dụng khác dựa trên khung mạng gốc của mình để ngừng tin tưởng các chứng chỉ cụ thể này, họ lại bỏ qua các công cụ dành cho nhà phát triển độc lập được tích hợp sẵn trong hệ điều hành.

Do đó, các công cụ như git, curl và python3 tiếp tục tin tưởng các chứng chỉ gốc eMudhra bị xâm phạm. Điều này tạo ra rủi ro đáng kể cho quy trình phát triển phần mềm. Khi một nhà phát triển nhân bản (clone) kho chứa hoặc đẩy (push) mã bằng HTTPS, công cụ của họ phụ thuộc vào các chứng chỉ này để xác minh danh tính của máy chủ từ xa. Nếu các chứng chỉ vẫn được tin tưởng mặc dù đã bị xâm phạm, kẻ tấn công nằm trên đường truyền mạng có thể giả mạo GitHub hoặc các dịch vụ khác. Điều này cho phép chúng cung cấp mã độc hại trong quá trình nhân bản hoặc đánh cắp thông tin đăng nhập, chẳng hạn như token truy cập cá nhân, trong quá trình xác thực.

Tình hình trở nên trầm trọng hơn bởi việc phát hành macOS 27.2. Nhiều nhà phát triển quan tâm đến bảo mật đã tự tay xóa các chứng chỉ bị xâm phạm khỏi cửa hàng tin cậy hệ thống của họ để tự bảo vệ. Tuy nhiên, bản cập nhật hệ điều hành này đã đặt lại cửa hàng chứng chỉ, vô hiệu hóa biện pháp khắc phục thủ công và khiến những người dùng này lại rơi vào tình trạng dễ bị tổn thương. Ngược lại, nhiều dự án mã nguồn mở khác và các bản phân phối do cộng đồng duy trì đã tung ra các bản vá trong vòng vài ngày sau thông báo ban đầu, làm nổi bật sự chênh lệch về thời gian phản hồi giữa nỗ lực của cộng đồng và cách xử lý bộ công cụ dành cho nhà phát triển của Apple.

Chi tiết chính

• Apple chính thức nhận được thông báo về vụ xâm phạm chứng chỉ eMudhra vào ngày 17 tháng 10 năm 2026.
• Tính đến ngày 28 tháng 10 năm 2026, các công cụ dành cho nhà phát triển trên macOS bao gồm git, curl và python3 vẫn tin tưởng các chứng chỉ bị xâm phạm.
• Bản cập nhật macOS 27.2, phát hành vào ngày 26 tháng 10 năm 2026, không sửa được vấn đề và đã hoàn nguyên các biện pháp khắc phục thủ công của người dùng.
• Kẻ tấn công có thể chặn kết nối HTTPS, tiềm năng thay đổi mã trong quá trình git clone hoặc đánh cắp thông tin đăng nhập.
• Safari và các ứng dụng sử dụng khung mạng gốc của Apple được bảo vệ, nhưng các công cụ dòng lệnh thì không.
• Người dùng phải áp dụng lại các biện pháp khắc phục thủ công sau mỗi lần cập nhật macOS cho đến khi có bản vá chính thức.

Bối cảnh

Để hiểu mức độ nghiêm trọng của vấn đề này, cần biết cách hoạt động của các kết nối web an toàn. Khi bạn kết nối tới một trang web qua HTTPS, máy tính của bạn kiểm tra chứng chỉ số của trang web đó để đảm bảo tính hợp lệ. Chứng chỉ này được ký bởi một Tổ chức cấp chứng chỉ (CA), một bên thứ ba đáng tin cậy. Hệ điều hành của bạn duy trì một danh sách các CA đáng tin cậy. Nếu một CA bị xâm phạm, như trường hợp của eMudhra, kẻ tấn công có thể cấp các chứng chỉ trông hợp lệ cho các tên miền mà họ không sở hữu. Điều này phá vỡ chuỗi tin cậy, cho phép họ giải mã và sửa đổi lưu lượng truy cập có vẻ an toàn đối với người dùng.

Các công cụ dành cho nhà phát triển như git và curl dựa vào cửa hàng chứng chỉ của hệ thống để xác minh kết nối tới các kho chứa mã nguồn. Khác với trình duyệt web, thường có cửa hàng chứng chỉ hoặc cơ chế cập nhật riêng, các công cụ dòng lệnh này thường sử dụng cửa hàng tin cậy của hệ điều hành cơ bản. Trên macOS, điều này có nghĩa là chúng xem cùng một danh sách các gốc tin cậy mà hệ thống sử dụng. Nếu Apple loại bỏ một chứng chỉ xấu khỏi Safari nhưng để nó trong cửa hàng hệ thống được git sử dụng, các nhà phát triển vẫn gặp rủi ro. Sự khác biệt giữa các biện pháp bảo vệ ở cấp trình duyệt và công cụ ở cấp hệ thống là rất quan trọng để hiểu tại sao một số ứng dụng an toàn trong khi những ứng dụng khác thì không.

Tại sao điều này quan trọng

Đối với các nhóm vận hành phần mềm riêng hoặc quản lý cơ sở hạ tầng nội bộ, lỗ hổng này đại diện cho mối đe dọa trực tiếp đối với chuỗi cung ứng. Nếu một nhà phát triển nhân bản kho chứa khi đang ở trên một mạng không đáng tin cậy, chẳng hạn như Wi-Fi công cộng hoặc mạng doanh nghiệp bị xâm phạm, kẻ tấn công có thể chèn mã độc vào dự án. Mã này có thể trông hợp lệ nhưng có thể chứa các cổng hậu (backdoor), trình đào tiền điện tử hoặc tập lệnh rò rỉ dữ liệu. Vì cuộc tấn công xảy ra trong quá trình tải xuống, các quy trình rà soát mã tiêu chuẩn có thể bỏ sót việc chèn mã nếu kẻ tấn công sửa đổi mã trước khi nó đến máy của nhà phát triển.

Hơn nữa, việc chặn thông tin đăng nhập gây ra rủi ro nghiêm trọng cho bảo mật tài khoản. Token GitHub và các khóa API khác gửi qua HTTPS thường an toàn trước việc nghe lén. Tuy nhiên, với một chứng chỉ được tin cậy nhưng đã bị xâm phạm, kẻ tấn công có thể giải mã lưu lượng này theo thời gian thực. Điều này cho phép họ đánh cắp token xác thực, sau đó có thể được sử dụng để truy cập vào các kho chứa riêng tư, sửa đổi môi trường sản xuất hoặc leo thang đặc quyền trong một tổ chức. Đối với các kỹ sư DevOps quản lý pipeline CI/CD, rủi ro này mở rộng sang các runner tự động cũng có thể đang sử dụng các phiên bản macOS bị ảnh hưởng.

Việc hoàn nguyên các biện pháp khắc phục thủ công bởi các bản cập nhật macOS tạo thêm gánh nặng vận hành cho các nhóm bảo mật. Không đủ chỉ áp dụng một bản vá một lần; các nhóm hiện phải xác minh tính toàn vẹn của cửa hàng chứng chỉ sau mỗi lần cập nhật hệ điều hành. Điều này làm tăng khả năng xảy ra lỗi con người, nơi một nhà phát triển cho rằng họ được bảo vệ vì đã áp dụng bản vá trước đó, chỉ để lại bị lộ bởi một bản cập nhật hệ thống âm thầm. Sự không chắc chắn này làm suy giảm niềm tin vào thế trận bảo mật của nền tảng và đòi hỏi sự cảnh giác liên tục.

Bạn có thể làm gì

• Kiểm tra cài đặt git của bạn bằng cách chạy lệnh xác minh do các nhà nghiên cứu bảo mật cung cấp để xem liệu nó có từ chối chứng chỉ bị xâm phạm hay không.
• Kiểm tra cài đặt curl của bạn bằng cách thử kết nối tới các tên miền thử nghiệm do cộng đồng bảo mật lưu trữ để xác nhận sự bảo vệ.
• Tự tay xóa các chứng chỉ gốc eMudhra bị xâm phạm khỏi keychain hệ thống macOS của bạn nếu chúng vẫn còn tồn tại.
• Xác minh lại cửa hàng tin cậy chứng chỉ của bạn sau mỗi lần cập nhật macOS, vì các bản cập nhật hệ thống có thể khôi phục các chứng chỉ bị xâm phạm.
• Tránh nhân bản kho chứa hoặc đẩy mã qua HTTPS trên các mạng không đáng tin cậy cho đến khi Apple phát hành bản sửa lỗi chính thức.
• Cân nhắc sử dụng SSH cho các thao tác git thay vì HTTPS, vì SSH sử dụng mô hình tin cậy khác không bị ảnh hưởng bởi vấn đề chứng chỉ này.