macOS ed eMudhra: quali aggiornamenti installare per proteggere il Mac

Per la maggior parte di chi usa un Mac non serve intervenire manualmente sui certificati eMudhra compromessi: Apple li blocca automaticamente dal 19 ottobre 2026. La situazione cambia per alcuni strumenti eseguiti da Terminale, come curl e git, che possono utilizzare un archivio di certificati separato. Se lavori con questi programmi, il controllo più utile è distinguere le protezioni del sistema da quelle della riga di comando.

Che cosa è successo ai certificati eMudhra

Secondo la comunicazione ufficiale Apple, sono state compromesse le chiavi private di otto autorità intermedie eMudhra: due relative alla firma del codice e sei che emettono certificati TLS. Per queste ultime il rischio riguarda la possibilità, per un attaccante in possesso delle chiavi, di generare certificati apparentemente validi per siti web. eMudhra e Sectigo hanno revocato i certificati coinvolti. Il problema non significa che tutti i Mac siano stati violati, né dimostra che siano già avvenuti attacchi a ciascun utente.

Safari e Mail sono protetti senza installare nulla?

Apple dichiara che dal 19 ottobre blocca automaticamente i dodici certificati TLS interessati in Safari, Mail e nelle app che usano i framework di rete e sicurezza del sistema. Dal 23 ottobre è stato bloccato anche il certificato radice emSign ECC Root CA – G3. Le informazioni di blocco vengono distribuite tramite aggiornamenti automatici della configurazione dei certificati: non è necessario modificare il file dei certificati del Mac per ottenere questa specifica protezione nelle app Apple indicate.

Perché curl, git e altri strumenti da Terminale sono un caso diverso

Alcuni strumenti forniti con macOS o con Xcode Command Line Tools, tra cui curl, git, python3, ruby, perl e openssl, possono controllare i certificati attraverso il file /etc/ssl/cert.pem. Apple precisa che questi strumenti possono non consultare i blocchi applicati dai suoi framework o lo stato di revoca delle autorità. Anche alcune applicazioni di terze parti utilizzano un archivio di certificati autonomo: per esse occorre verificare la documentazione del relativo sviluppatore.

Apple ha annunciato modifiche aggiuntive per la gestione del file utilizzato dagli strumenti da riga di comando, distribuite tramite aggiornamenti software. Non dare per scontato che il semplice numero di versione di un sistema confermi da solo l’applicazione di tutti i cambiamenti: consulta il bollettino relativo alla versione effettivamente installata.

Che cosa fare oggi sul proprio Mac

1. Se usi solo browser, Mail e app comuni: lascia attivi gli aggiornamenti automatici e non cancellare certificati a mano.
2. Controlla macOS: apri Impostazioni di Sistema, Generali, Aggiornamento Software e installa gli aggiornamenti ufficiali adatti al tuo modello, dopo un backup dei dati importanti.
3. Se usi Terminale per lavoro: verifica se i tuoi strumenti utilizzano l’archivio /etc/ssl/cert.pem oppure certificati propri; aggiorna anche i componenti installati separatamente.
4. Se gestisci più Mac: consulta le istruzioni Apple per amministratori e valuta l’impatto su strumenti e siti interni prima di modificare l’archivio dei certificati.

Non consigliamo di eseguire comandi per rimuovere radici di fiducia senza una verifica tecnica. Apple avverte che l’intervento potrebbe impedire ad alcuni programmi di verificare siti legittimi non coinvolti nel compromesso. È una procedura amministrativa facoltativa, non una soluzione universale.

Quando un aggiornamento di macOS risolve anche il caso Terminale?

Il modo corretto di rispondere è verificare le note della release specifica e l’avviso Apple sui certificati eMudhra, che viene aggiornato quando cambia lo stato degli interventi. Se un tool esterno usa una propria raccolta di certificati, la correzione di macOS potrebbe non bastare: serve un aggiornamento dello sviluppatore.

Per altre verifiche software utili trovi la nostra guida alle autorizzazioni Full Disk Access su macOS e l’approfondimento sulla correzione di sicurezza macOS Tahoe 26.7.1: sono problematiche distinte, da non confondere con eMudhra.

In sintesi: un Mac che usa le app Apple standard beneficia già dei blocchi automatici annunciati, mentre sviluppatori e amministratori devono verificare come ciascun programma gestisce la fiducia TLS. Tu utilizzi Terminale o soprattutto applicazioni grafiche sul Mac?