自 2026 年 10 月 19 日起，苹果已开始阻止被泄露的 eMudhra 中间认证机构 (CA) 的证书，这些 CA 发行 TLS 证书，并正对该阻止进行额外更新。如果您在工作流程中不使用终端，则无需采取任何行动。您的苹果设备现在会在 Safari、邮件和使用苹果网络和安全框架的应用程序中自动阻止这些证书。如果您在工作流程中使用终端（如系统管理员或开发人员），您可能会使用仍然可以接受这些证书的命令行工具。某些随 macOS 或 Xcode 命令行工具附带的工具（如 curl 和 git）会检查与 /etc/ssl/cert.pem 的证书，并在未来的软件更新之前仍然可以接受这些证书。要更快地阻止这些工具接受证书，您可以从该文件中删除根 CA 证书。由 eMudhra 运营的八个中间 CA 的私钥已被泄露。这些 CA 中有两个颁发代码签名证书，而苹果的框架对此不信任。其余六个颁发 TLS 证书。拥有这六个 CA 的密钥的人可以创建对任何网站看似有效的证书。eMudhra 和 Sectigo 已撤销受影响的证书。每个 6 个 TLS 中间 CA 有两个证书，总共 12 个证书：由 emSign Root TLS CA - G3 颁发的证书，该证书链到 emSign ECC Root CA - G3；由 Sectigo 交叉签名的证书，该证书链到 AAA Certificate Services。查看这 12 个证书的列表。2026 年 10 月 19 日，苹果开始在苹果设备上阻止这 12 个证书。证书配置数据的更新会自动发送到设备，因此您无需安装软件更新即可获取此更改。苹果正在对该阻止进行额外更新，这些更新也会自动传递。2026 年 10 月 23 日，苹果还开始阻止 emSign ECC Root CA - G3。苹果正在进一步更改，阻止这些证书在 mac 的其他地方，例如使用 /etc/ssl/cert.pem 的 macOS 包含的命令行工具或 Xcode 命令行工具。这些更改将在未来的软件更新中提供，您无需编辑任何文件即可获取它们。大多数用户不需要编辑 /etc/ssl/cert.pem。Safari、邮件和使用苹果网络和安全框架的应用程序不会使用此文件，您的苹果设备会自动阻止这些证书。在 Mac 上，某些随 macOS 或 Xcode 命令行工具附带的命令行工具（包括 curl、git、python3、ruby、perl 和 openssl）会检查与 /etc/ssl/cert.pem 的证书。对于链到此文件中的根 CA 证书的证书，这些工具不会检查苹果的阻止或证书是否已被撤销。此文件将在未来的 macOS 更新中更新。如果您使用这些工具而不想等待更新，可以从文件中删除根 CA 证书。某些应用程序和工具包含自己的根 CA 证书列表，因此不使用苹果的阻止或 /etc/ssl/cert.pem。针对这些应用程序或工具，请联系开发者。管理员可以选择从 /etc/ssl/cert.pem 中删除阻止的证书链的根 CA 证书，而不是等待即将到来的软件更新。这些步骤影响使用 /etc/ssl/cert.pem 的每个工具。之后，仅使用此文件的工具可能无法验证某些网站的证书，这些证书通过未受影响的中间 CA 链接到这些根 CA 证书。macOS 软件更新可以使用苹果的版本替换 /etc/ssl/cert.pem。在安装包含苹果更改的软件更新之前，每次软件更新后都运行第 4 步中的命令。如果列出了您已删除的根 CA 证书，则更新替换了文件。使用 sudo rm /etc/ssl/cert.pem.orig 删除旧备份，然后重复这些步骤。在安装包含苹果更改的更新后，您无需针对随 macOS 或 Xcode 命令行工具附带的命令行工具重复这些步骤。您需要一个管理员帐户，或者可以通过设备管理解决方案部署命令。逐字复制每个命令。在将命令粘贴到终端时，如果出现可能存在恶意软件的警告，请了解该如何处理。要从 /etc/ssl/cert.pem 中删除根 CA 证书：备份文件。如果已经存在备份，此命令将其保留：[ -e /etc/ssl/cert.pem.orig ] || sudo cp -p /etc/ssl/cert.pem /etc/ssl/cert.pem.orig。删除 emSign ECC Root CA - G3。此命令制作一个没有 emSign ECC Root CA - G3 的文件副本，检查副本是否为空，并替换原始文件。