Sinds 19 oktober 2026 blokkeert Apple automatisch twaalf gecompromitteerde intermediate certificaten van eMudhra. Terwijl standaard apps zoals Safari en Mail automatisch worden beschermd via de netwerk- en beveiligingsframeworks van Apple, is er een risico voor gebruikers van command-line tools.
Tools zoals curl, git, python3 en openssl maken gebruik van het bestand /etc/ssl/cert.pem en kunnen de gecompromitteerde certificaten mogelijk nog accepteren tot een toekomstige software-update is uitgebracht. Het artikel biedt een gedetailleerde handleiding voor systeembeheerders en ontwikkelaars om de root-CA-certificaten (emSign ECC Root CA - G3 en optioneel AAA Certificate Services) handmatig uit dit bestand te verwijderen.
De kern van het probleem is dat de privésleutels van acht intermediate CA's zijn gecompromitteerd, waardoor kwaadwillenden certificaten kunnen maken die geldig lijken voor willekeurige websites.
Over de gecompromitteerde eMudhra intermediate CA's
Sinds 19 oktober 2026 blokkeert Apple de certificaten van de gecompromitteerde eMudhra intermediate Certification Authorities (CA's) die TLS-certificaten uitgeven, en voert Apple aanvullende updates uit aan deze blokkering.
Als u Terminal niet gebruikt in uw workflow, hoeft u niets te doen. Uw Apple-apparaten blokkeren deze certificaten nu automatisch in Safari, Mail en apps die gebruikmaken van de netwerk- en beveiligingsframeworks van Apple.
Als u Terminal wel gebruikt in uw workflow (zoals systeembeheerders of ontwikkelaars), kunt u gebruikmaken van command-line tools die deze certificaten mogelijk nog steeds accepteren. Sommige tools die bij macOS of de Xcode Command Line Tools zijn inbegrepen — zoals curl en git — controleren certificaten aan de hand van /etc/ssl/cert.pem en kunnen deze certificaten nog accepteren tot een toekomstige software-update. Om te voorkomen dat deze tools de certificaten eerder accepteren, kunt u de root-CA-certificaten uit het bestand verwijderen.
Wat is er gebeurd
De privésleutels van acht intermediate CA's die door eMudhra worden beheerd, zijn gecompromitteerd. Twee van deze CA's geven code-ondertekeningscertificaten (code signing certificates) uit, die door de frameworks van Apple niet worden vertrouwd. De andere zes geven TLS-certificaten uit. Iemand met sleutels van deze zes CA's zou certificaten kunnen maken die geldig lijken voor elke willekeurige website. eMudhra en Sectigo hebben de getroffen certificaten ingetrokken.
Elk van de 6 TLS intermediate CA's heeft twee certificaten, in totaal 12:
- Een certificaat uitgegeven door emSign Root TLS CA - G3, dat is gekoppeld aan emSign ECC Root CA - G3.
- Een certificaat dat is cross-signed door Sectigo, dat is gekoppeld aan AAA Certificate Services.
Wat Apple doet
Op 19 oktober 2026 is Apple begonnen met het blokkeren van deze 12 certificaten op Apple-apparaten. Updates voor certificaatconfiguratiegegevens worden automatisch en naar behoefte naar apparaten verzonden, dus u hoeft geen software-update te installeren om deze wijziging door te voeren. Apple voert aanvullende updates uit aan deze blokkering, die ebenfalls automatisch worden geleverd. Op 23 oktober 2026 is Apple ook begonnen met het blokkeren van de emSign ECC Root CA - G3.
Apple brengt verdere wijzigingen aan om deze certificaten op andere plaatsen op de Mac te blokkeren waar software certificaten controleert, zoals de command-line tools die bij macOS of de Xcode Command Line Tools zijn inbegrepen en gebruikmaken van /etc/ssl/cert.pem. Deze wijzigingen zullen beschikbaar zijn in een toekomstige software-update; u hoeft geen bestanden handmatig te bewerken om deze te ontvangen.
Moet ik /etc/ssl/cert.pem bewerken?
De meeste gebruikers hoeven /etc/ssl/cert.pem niet te bewerken. Safari, Mail en apps die gebruikmaken van de netwerk- en beveiligingsframeworks van Apple maken geen gebruik van dit bestand, en uw Apple-apparaten blokkeren deze certificaten in deze apps automatisch.
Op de Mac controleren sommige command-line tools die bij macOS of de Xcode Command Line Tools zijn inbegrepen (waaronder curl, git, python3, ruby, perl en openssl) certificaten aan de hand van /etc/ssl/cert.pem. Voor certificaten die zijn gekoppeld aan een root-CA-certificaat in dit bestand, controleren deze tools niet of Apple het certificaat heeft geblokkeerd of dat het certificaat is ingetrokken. Dit bestand zal worden bijgewerkt in een toekomstige macOS-update. Als u deze tools gebruikt en niet wilt wachten op de update, kunt u de root-CA-certificaten uit het bestand verwijderen.
Sommige apps en tools bevatten hun eigen lijst met root-CA-certificaten en maken geen gebruik van de blokkering van Apple of /etc/ssl/cert.pem. Neem voor die apps of tools contact op met de ontwikkelaar.
Root-CA-certificaten verwijderen uit /etc/ssl/cert.pem
In plaats van te wachten op de komende software-update, kunnen beheerders ervoor kiezen om de root-CA-certificaten waaraan de geblokkeerde certificaten zijn gekoppeld, te verwijderen uit /etc/ssl/cert.pem.
Deze stappen hebben invloed op elk instrument dat gebruikmaakt van /etc/ssl/cert.pem. Hierna kunnen tools die uitsluitend dit bestand gebruiken mogelijk bepaalde websites niet verifiëren waarvan de certificaten via intermediate CA's die niet zijn getroffen, aan deze root-CA-certificaten zijn gekoppeld.
Een macOS-software-update kan /etc/ssl/cert.pem vervangen door de versie van Apple. Totdat u de software-update installeert die de wijzigingen van Apple bevat, dient u het commando in stap 4 uit te voeren na elke software-update. Als dit een root-CA-certificaat opsomt dat u heeft verwijderd, is het bestand vervangen door de update. Verwijder de oude back-up met sudo rm /etc/ssl/cert.pem.orig en herhaal deze stappen. Nadat u de update heeft geïnstalleerd die de wijzigingen van Apple bevat, hoeft u deze stappen niet meer te herhalen voor de command-line tools die bij macOS of de Xcode Command Line Tools zijn inbegrepen.
U heeft een beheerdersaccount nodig, of u kunt de commando's implementeren met uw device management-oplossing. Kopieer elk commando exact zoals geschreven.
Om root-CA-certificaten uit /etc/ssl/cert.pem te verwijderen:
- Maak een back-up van het bestand. Als er al een back-up bestaat, behoudt dit commando deze:
``bash [ -e /etc/ssl/cert.pem.orig ] || sudo cp -p /etc/ssl/cert.pem /etc/ssl/cert.pem.orig ``
- Verwijder emSign ECC Root CA - G3. Dit commando maakt een kopie van het bestand zonder emSign ECC Root CA - G3, controleert of de kopie niet leeg is en vervangt het origineel. Er wordt niets getoond bij succes:
``bash t=$(mktemp) && awk -v s='=== /C=IN/OU=emSign PKI/O=eMudhra Technologies Limited/CN=emSign ECC Root CA - G3' '/^(===|###) /{skip=0} $0==s{skip=1} !skip' /etc/ssl/cert.pem > "$t" && [ -s "$t" ] && sudo install -m 0644 -o root -g wheel "$t" /etc/ssl/cert.pem; rm -f "$t" ``
- Optioneel: Verwijder AAA Certificate Services. Het verwijderen van emSign ECC Root CA - G3 blokkeert de zes certificaten die door Sectigo zijn cross-signed niet, omdat deze tools ze nog steeds kunnen verifiëren via AAA Certificate Services. Om te voorkomen dat deze tools deze zes certificaten via het bestand accepteren totdat u de software-update van Apple installeert, kunt u ook AAA Certificate Services verwijderen. Dit commando werkt op dezelfde manier als het commando in stap 2:
``bash t=$(mktemp) && awk -v s='=== /C=GB/ST=Greater Manchester/L=Salford/O=Comodo CA Limited/CN=AAA Certificate Services' '/^(===|###) /{skip=0} $0==s{skip=1} !skip' /etc/ssl/cert.pem > "$t" && [ -s "$t" ] && sudo install -m 0644 -o root -g wheel "$t" /etc/ssl/cert.pem; rm -f "$t" ``
- Controleer het resultaat. Dit commando somt elk van de root-CA-certificaten op als deze nog in het bestand staan. Als u beide heeft verwijderd, wordt er niets getoond. Als het commando een foutmelding geeft, herstel dan de back-up uit stap 1.
``bash openssl crl2pkcs7 -nocrl -certfile /etc/ssl/cert.pem | openssl pkcs7 -print_certs -noout | grep -E 'emSign ECC Root CA - G3|AAA Certificate Services' ``
Geblokkeerde certificaten
| Certificaat | Uitgegeven door | SHA-256 vingerafdruk |
|---|
| EM EV TLS CA - G3B | emSign Root TLS CA - G3 | E7568FE6E12331F4FD7DE61DA4C7559D0F8EB192A218D4741A3BA75184333838 |
| EM OV TLS CA - G3B | emSign Root TLS CA - G3 | 98B896625C0C230ADEEC3EB2CF6AAD5001ECF9156A68644E82374CE5833BC25B |
| EM DV TLS CA - G3B | emSign Root TLS CA - G3 | 42C4ACCD12C4F59597925E1A08A7A90102608543809308D50EC427E118BA1493 |
| EM EV TLS CA - G3C | emSign Root TLS CA - G3 | 432EC25F0D28DE9006D97BF752F17BBB2CD41F669933FCB072D9A1148D0261F3 |
| EM OV TLS CA - G3C | emSign Root TLS CA - G3 | CB6E15165AC802E9B3F993F16C25D41F4E81C21EBDE71AE1B012AC00BF9C7C3F |
| EM DV TLS CA - G3C | emSign Root TLS CA - G3 | 0164D7CEAE5BB909C272AF151FF44B1177AE9B47D9424B94F1D9558C30934D19 |
| EM EV TLS CA - G3B | AAA Certificate Services | 579480AEA166290BD3C643589E795FC0D0E54E86505D180F1DFF99EFD3199512 |
| EM OV TLS CA - G3B | AAA Certificate Services | 5F1DED4DD590AF74631290CF073B122A2AAC6A1FA479778A0BD43579BD832699 |
| EM DV TLS CA - G3B | AAA Certificate Services | 45A883F349AEDFD5F3A649B5498FFB121712BA8B448F3F2A91DBC5A766FCDDBE |
| EM EV TLS CA - G3C | AAA Certificate Services | FD9D5C2DBBD4995AB69B8D50C439D9527B00529199C2FD01B2174EB58F07021F |
| EM OV TLS CA - G3C | AAA Certificate Services | 7485B51C0ED192878FA1D2F948FB529AE1842CC5086C4B67F7BE5B2039DE9489 |
| EM DV TLS CA - G3C | AAA Certificate Services | 62B7F9868263F72F6911FC78CEAF72C1979158B7368BF648683BB2AA39B02E72 |
Over de gecompromitteerde eMudhra intermediate CA's
Sinds 19 oktober 2026 blokkeert Apple de certificaten van de gecompromitteerde eMudhra intermediate Certification Authorities (CA's) die TLS-certificaten uitgeven, en voert Apple aanvullende updates uit aan deze blokkering.
Als u Terminal niet gebruikt in uw workflow, hoeft u niets te doen. Uw Apple-apparaten blokkeren deze certificaten nu automatisch in Safari, Mail en apps die gebruikmaken van de netwerk- en beveiligingsframeworks van Apple.
Als u Terminal wel gebruikt in uw workflow (zoals systeembeheerders of ontwikkelaars), kunt u gebruikmaken van command-line tools die deze certificaten mogelijk nog steeds accepteren. Sommige tools die bij macOS of de Xcode Command Line Tools zijn inbegrepen — zoals curl en git — controleren certificaten aan de hand van /etc/ssl/cert.pem en kunnen deze certificaten nog accepteren tot een toekomstige software-update. Om te voorkomen dat deze tools de certificaten eerder accepteren, kunt u de root-CA-certificaten uit het bestand verwijderen.
Wat is er gebeurd
De privésleutels van acht intermediate CA's die door eMudhra worden beheerd, zijn gecompromitteerd. Twee van deze CA's geven code-ondertekeningscertificaten (code signing certificates) uit, die door de frameworks van Apple niet worden vertrouwd. De andere zes geven TLS-certificaten uit. Iemand met sleutels van deze zes CA's zou certificaten kunnen maken die geldig lijken voor elke willekeurige website. eMudhra en Sectigo hebben de getroffen certificaten ingetrokken.
Elk van de 6 TLS intermediate CA's heeft twee certificaten, in totaal 12:
- Een certificaat uitgegeven door emSign Root TLS CA - G3, dat is gekoppeld aan emSign ECC Root CA - G3.
- Een certificaat dat is cross-signed door Sectigo, dat is gekoppeld aan AAA Certificate Services.
Wat Apple doet
Op 19 oktober 2026 is Apple begonnen met het blokkeren van deze 12 certificaten op Apple-apparaten. Updates voor certificaatconfiguratiegegevens worden automatisch en naar behoefte naar apparaten verzonden, dus u hoeft geen software-update te installeren om deze wijziging door te voeren. Apple voert aanvullende updates uit aan deze blokkering, die ebenfalls automatisch worden geleverd. Op 23 oktober 2026 is Apple ook begonnen met het blokkeren van de emSign ECC Root CA - G3.
Apple brengt verdere wijzigingen aan om deze certificaten op andere plaatsen op de Mac te blokkeren waar software certificaten controleert, zoals de command-line tools die bij macOS of de Xcode Command Line Tools zijn inbegrepen en gebruikmaken van /etc/ssl/cert.pem. Deze wijzigingen zullen beschikbaar zijn in een toekomstige software-update; u hoeft geen bestanden handmatig te bewerken om deze te ontvangen.
Moet ik /etc/ssl/cert.pem bewerken?
De meeste gebruikers hoeven /etc/ssl/cert.pem niet te bewerken. Safari, Mail en apps die gebruikmaken van de netwerk- en beveiligingsframeworks van Apple maken geen gebruik van dit bestand, en uw Apple-apparaten blokkeren deze certificaten in deze apps automatisch.
Op de Mac controleren sommige command-line tools die bij macOS of de Xcode Command Line Tools zijn inbegrepen (waaronder curl, git, python3, ruby, perl en openssl) certificaten aan de hand van /etc/ssl/cert.pem. Voor certificaten die zijn gekoppeld aan een root-CA-certificaat in dit bestand, controleren deze tools niet of Apple het certificaat heeft geblokkeerd of dat het certificaat is ingetrokken. Dit bestand zal worden bijgewerkt in een toekomstige macOS-update. Als u deze tools gebruikt en niet wilt wachten op de update, kunt u de root-CA-certificaten uit het bestand verwijderen.
Sommige apps en tools bevatten hun eigen lijst met root-CA-certificaten en maken geen gebruik van de blokkering van Apple of /etc/ssl/cert.pem. Neem voor die apps of tools contact op met de ontwikkelaar.
Root-CA-certificaten verwijderen uit /etc/ssl/cert.pem
In plaats van te wachten op de komende software-update, kunnen beheerders ervoor kiezen om de root-CA-certificaten waaraan de geblokkeerde certificaten zijn gekoppeld, te verwijderen uit /etc/ssl/cert.pem.
Deze stappen hebben invloed op elk instrument dat gebruikmaakt van /etc/ssl/cert.pem. Hierna kunnen tools die uitsluitend dit bestand gebruiken mogelijk bepaalde websites niet verifiëren waarvan de certificaten via intermediate CA's die niet zijn getroffen, aan deze root-CA-certificaten zijn gekoppeld.
Een macOS-software-update kan /etc/ssl/cert.pem vervangen door de versie van Apple. Totdat u de software-update installeert die de wijzigingen van Apple bevat, dient u het commando in stap 4 uit te voeren na elke software-update. Als dit een root-CA-certificaat opsomt dat u heeft verwijderd, is het bestand vervangen door de update. Verwijder de oude back-up met sudo rm /etc/ssl/cert.pem.orig en herhaal deze stappen. Nadat u de update heeft geïnstalleerd die de wijzigingen van Apple bevat, hoeft u deze stappen niet meer te herhalen voor de command-line tools die bij macOS of de Xcode Command Line Tools zijn inbegrepen.
U heeft een beheerdersaccount nodig, of u kunt de commando's implementeren met uw device management-oplossing. Kopieer elk commando exact zoals geschreven.
Om root-CA-certificaten uit /etc/ssl/cert.pem te verwijderen:
- Maak een back-up van het bestand. Als er al een back-up bestaat, behoudt dit commando deze:
``bash [ -e /etc/ssl/cert.pem.orig ] || sudo cp -p /etc/ssl/cert.pem /etc/ssl/cert.pem.orig ``
- Verwijder emSign ECC Root CA - G3. Dit commando maakt een kopie van het bestand zonder emSign ECC Root CA - G3, controleert of de kopie niet leeg is en vervangt het origineel. Er wordt niets getoond bij succes:
``bash t=$(mktemp) && awk -v s='=== /C=IN/OU=emSign PKI/O=eMudhra Technologies Limited/CN=emSign ECC Root CA - G3' '/^(===|###) /{skip=0} $0==s{skip=1} !skip' /etc/ssl/cert.pem > "$t" && [ -s "$t" ] && sudo install -m 0644 -o root -g wheel "$t" /etc/ssl/cert.pem; rm -f "$t" ``
- Optioneel: Verwijder AAA Certificate Services. Het verwijderen van emSign ECC Root CA - G3 blokkeert de zes certificaten die door Sectigo zijn cross-signed niet, omdat deze tools ze nog steeds kunnen verifiëren via AAA Certificate Services. Om te voorkomen dat deze tools deze zes certificaten via het bestand accepteren totdat u de software-update van Apple installeert, kunt u ook AAA Certificate Services verwijderen. Dit commando werkt op dezelfde manier als het commando in stap 2:
``bash t=$(mktemp) && awk -v s='=== /C=GB/ST=Greater Manchester/L=Salford/O=Comodo CA Limited/CN=AAA Certificate Services' '/^(===|###) /{skip=0} $0==s{skip=1} !skip' /etc/ssl/cert.pem > "$t" && [ -s "$t" ] && sudo install -m 0644 -o root -g wheel "$t" /etc/ssl/cert.pem; rm -f "$t" ``
- Controleer het resultaat. Dit commando somt elk van de root-CA-certificaten op als deze nog in het bestand staan. Als u beide heeft verwijderd, wordt er niets getoond. Als het commando een foutmelding geeft, herstel dan de back-up uit stap 1.
``bash openssl crl2pkcs7 -nocrl -certfile /etc/ssl/cert.pem | openssl pkcs7 -print_certs -noout | grep -E 'emSign ECC Root CA - G3|AAA Certificate Services' ``
Geblokkeerde certificaten
| Certificaat | Uitgegeven door | SHA-256 vingerafdruk |
|---|
| EM EV TLS CA - G3B | emSign Root TLS CA - G3 | E7568FE6E12331F4FD7DE61DA4C7559D0F8EB192A218D4741A3BA75184333838 |
| EM OV TLS CA - G3B | emSign Root TLS CA - G3 | 98B896625C0C230ADEEC3EB2CF6AAD5001ECF9156A68644E82374CE5833BC25B |
| EM DV TLS CA - G3B | emSign Root TLS CA - G3 | 42C4ACCD12C4F59597925E1A08A7A90102608543809308D50EC427E118BA1493 |
| EM EV TLS CA - G3C | emSign Root TLS CA - G3 | 432EC25F0D28DE9006D97BF752F17BBB2CD41F669933FCB072D9A1148D0261F3 |
| EM OV TLS CA - G3C | emSign Root TLS CA - G3 | CB6E15165AC802E9B3F993F16C25D41F4E81C21EBDE71AE1B012AC00BF9C7C3F |
| EM DV TLS CA - G3C | emSign Root TLS CA - G3 | 0164D7CEAE5BB909C272AF151FF44B1177AE9B47D9424B94F1D9558C30934D19 |
| EM EV TLS CA - G3B | AAA Certificate Services | 579480AEA166290BD3C643589E795FC0D0E54E86505D180F1DFF99EFD3199512 |
| EM OV TLS CA - G3B | AAA Certificate Services | 5F1DED4DD590AF74631290CF073B122A2AAC6A1FA479778A0BD43579BD832699 |
| EM DV TLS CA - G3B | AAA Certificate Services | 45A883F349AEDFD5F3A649B5498FFB121712BA8B448F3F2A91DBC5A766FCDDBE |
| EM EV TLS CA - G3C | AAA Certificate Services | FD9D5C2DBBD4995AB69B8D50C439D9527B00529199C2FD01B2174EB58F07021F |
| EM OV TLS CA - G3C | AAA Certificate Services | 7485B51C0ED192878FA1D2F948FB529AE1842CC5086C4B67F7BE5B2039DE9489 |
| EM DV TLS CA - G3C | AAA Certificate Services | 62B7F9868263F72F6911FC78CEAF72C1979158B7368BF648683BB2AA39B02E72 |
Groetjes,