macOS 27.3 ベータ、重要セキュリティ修正を先行導入
Appleは、2026年11月4日にリリースされたmacOS 27.3の最初の開発者向けベータ版において、重要なセキュリティ修正を組み込みました。この修正は、コマンドラインツールがeMudhraの不正なウェブ証明書を受け入れてしまう脆弱性に対処するものです（MacRumors）。具体的には、システム上の /etc/ssl/cert.pem ファイルから問題のある証明書が削除されます。
macOS 27.3の最新ベータ版には、eMudhraの侵害されたウェブ証明書をコマンドラインツールが受け入れないようにする重要なセキュリティ修正が含まれています。
macOS 27.3の一般公開は12月まで見込まれていませんが、同様のセキュリティ修正を含むmacOS 27.2.1アップデートがこれよりも早く提供される可能性が高いとされています。
eMudhra証明書問題の背景と影響
このセキュリティ問題は、先月セキュリティ研究者によって発見されたもので、インドの企業eMudhraが発行する中間証明書発行局（CA）の8つの証明書に関連する秘密暗号鍵が脆弱であったことが原因です（MacRumors）。この脆弱な鍵が悪用された場合、攻撃者が正規のウェブサイトになりすまし、ユーザーの機密情報が危険にさらされる可能性がありました。
幸いなことに、これまでのところ、これらの鍵が悪意を持って悪用されたという証拠は確認されていません。Appleはすでに10月19日以降、Safari、Mail、およびAppleのネットワークとセキュリティフレームワークを使用する他のアプリケーションにおいて、eMudhraの侵害されたTLSウェブ証明書を自動的にブロックしています。これはソフトウェアアップデートを必要としないため、ほとんどのユーザーは特別な対応を必要としません（MacRumors）。
ユーザーが取るべき対応
この修正は、主にコマンドラインツールを使用するユーザーに影響を与えます。もしTerminalなどでコマンドラインツールを使用しない場合、Appleの自動ブロック機能によってすでに保護されているため、特別な対応は不要です。
一方で、もし現時点でmacOSのアップデートを望まない場合でも、手動で影響を受ける証明書をコンピュータの /etc/ssl/cert.pem ファイルから削除することが可能です。これについては、Appleが関連するサポートドキュメントで詳細な手順を案内しています（Appleサポートドキュメント）。
| ユーザータイプ | 必要な対応 | 備考 |
|---|---|---|
| コマンドラインツールを使用しないユーザー | 不要 | Appleの自動ブロック機能で保護済み |
| コマンドラインツールを使用するユーザー | macOS 27.2.1 または 27.3 へのアップデート | アップデートしない場合は手動削除も可能 |
エンジニア目線で見ると：潜在的なリスクと手動対応の選択肢
このセキュリティ修正は、特に開発者やシステム管理者にとって見逃せない内容だと感じます。多くのエンジニアは日常的にコマンドラインツールを利用しているため、この脆弱性は潜在的なリスクとなり得ます。eMudhraのような中間CAの証明書が侵害されるという事態は、サプライチェーン全体の信頼性に対する懸念を改めて浮き彫りにしたのではないでしょうか。
私の個人的なプロジェクトでも、PythonやTypeScriptで開発したツールをmacOS上で動かす際に、curl や wget といったコマンドラインツールを利用することが多々あります。これらのツールが不正な証明書を信頼してしまう可能性があったというのは、正直ゾッとします。幸いにも悪用は確認されていないようですが、このようなリスクは常に存在するという認識を強く持ちたいです。
今回のAppleの対応は迅速で、特に「コマンドラインツールを使用しないユーザーは自動で保護される」という点は好感が持てます。しかし、開発者としてはアップデートを待てない場合や、特定の環境でOSアップデートが難しいケースも考えられます。その際にAppleが手動での証明書削除手順をサポートドキュメントで明確に示しているのは、非常にありがたい選択肢だと感じます。
自分の管理するmacOS環境で、この修正が適用されているか、一度確認しておくのが賢明だと考えます。cat /etc/ssl/cert.pem | grep -i eMudhra あたりで確認スクリプトを書いてみても良いかもしれませんね。
