Apple تحجب شهادات eMudhra المسرّبة في Safari، وgit المرفق بنظام macOS لا يزال يثق بها

تسرّبت مفاتيح 8 شهادات وسيطة صادرة عن جهة الإصدار eMudhra، وأُبلغت برامج الشهادات الجذرية بذلك في 17 أكتوبر 2026. ومن يملك مفتاحًا كهذا يستطيع إصدار شهادة لأي موقع، وإقناع أي برنامج بأنه الموقع الحقيقي.

تحرّكت المتصفحات بسرعة: حجب Firefox وChrome الشهادات في 17 أكتوبر، وMicrosoft في 20 أكتوبر، وApple في منتجاتها في 22 أكتوبر. وقبل ذلك كانت لغة Go قد أعلنت توقفها عن الثقة بالشهادات نفسها، ونشرت ردّها على الحادثة في 26 أكتوبر.

لكن صفحة الحادثة المخصصة لـ Apple، المنشورة في 28 أكتوبر، تقول إن الإصلاح لم يصل إلى كل مكان في macOS. فالنظام يحمل أكثر من مخزن ثقة. Safari والتطبيقات التي تعتمد على إطار الشبكات الخاص بـ Apple حصلت على الإلغاء. أما أدوات الطرفية التي ترافق النظام، مثل git وcurl وpython3، فتقرأ قائمة الشهادات الموثوقة من ملف آخر لم يتغير.

والنتيجة العملية أن طرفًا يقف على مسار الشبكة بين الجهاز وGitHub يمكنه، نظريًا، أن يعيد كودًا غير الكود الأصلي أثناء clone عبر https، أو أن يرى التوكن أثناء push. أما من يستخدم SSH فخارج هذه المشكلة أصلًا، لأنها تخص التحقق من شهادات TLS.

ويزيد الأمر تعقيدًا أن تحديث macOS 27.2 الصادر في 26 أكتوبر لم يحمل الإصلاح، بل أزال الحلول اليدوية التي طبقها بعض المستخدمين بأنفسهم. وتنبّه صفحة الحادثة إلى أن تحديثات النظام تعيد الشهادات، فأي حل يدوي يحتاج إلى مراجعة بعد كل تحديث إلى أن تصدر Apple إصلاحًا. وتوفر الصفحة عنوانَي اختبار: إن أعاد git أو curl خطأ في الشهادة فالجهاز محمي، وإن نجح الاتصال فهو متأثر.

ويخص هذا بشكل مباشر الفرق التي تشغّل macOS runners في أنظمة الـ CI، حيث تجري عمليات clone وpush آليًا دون أن ينظر إليها أحد. ولم تعلن Apple بعد موعدًا لتحديث المخزن الذي تقرأ منه أدوات الطرفية.