macOS 27.2 no arregló la falla y revirtió el parche manual
Diez días después de que Apple fuera notificada del incidente de eMudhra, las herramientas de desarrollo que la compañía distribuye con macOS —git, curl y python3, entre otras— siguen confiando en los certificados comprometidos. La actualización macOS 27.2, publicada el 26 de octubre, no solo no corrigió el problema: deshizo el workaround que los desarrolladores ya habían aplicado a mano, dejándolos expuestos otra vez.
Para un founder esto no es un detalle de infraestructura. Si tu equipo hace clones, pulls o pushes contra un remoto https:// desde una Mac, cualquiera que esté en la ruta de red entre el equipo y GitHub puede interceptar la conexión. En concreto: los clones y pulls pueden entregar código elegido por el atacante, los pushes pueden alterarse en tránsito y tus credenciales —tokens de GitHub incluidos— pueden quedar en manos de un tercero.
Qué pasó con los certificados de eMudhra
El origen del incidente son ocho certificados intermedios de la autoridad certificadora india eMudhra. Sus claves privadas se generaron en abril de 2025 con tan poca entropía que cualquiera puede recalcularlas a partir de los certificados públicos. Según BleepingComputer, todas tenían valores menores a 256, de modo que bastaba probar 256 números para recuperarlas; una de ellas, la del certificado EM OV TLS CA - G3C, tenía como valor simplemente el número 4.
¿Y esto cómo se aplica en tu negocio?
Dueños de negocio de Latinoamérica y España usan un agente de IA para ganar más y recuperar su tiempo. El Kit «tu mano derecha con IA» te muestra cómo en un video de 11 minutos, con una ficha para armar el tuyo. CAR está cerrada por ahora; al anotarte, te avisamos cuando abra.
👥 Quiero el Kit →El investigador identificado como Wayne detectó la debilidad el 17 de octubre mientras revisaba datos públicos de certificados y lo reportó a los programas raíz de los navegadores. Mozilla recuperó las claves por su cuenta en menos de dos horas, y el investigador Scott Helme demostró en un análisis público que pudo extraer las ocho en menos de un segundo, según Hackread.
eMudhra revocó los ocho certificados y atribuyó el fallo a un error en la ceremonia de generación de claves del 30 de abril de 2025, según reportó The Hacker News. La compañía sostuvo que su infraestructura no fue comprometida y que ninguna de las ocho intermedias emitió certificados de usuario final. También señaló que su negocio global de TLS representa cerca del 1% de sus ingresos; sus acciones cayeron 20% en Mumbai el 21 de octubre, según Business Standard citado por The Hacker News. Hackread reportó además que la empresa planea salir del mercado global de certificados SSL/TLS.
Un dato que dimensiona el riesgo: Hackread consignó que alrededor de 30.800 certificados sin vencer colgaban de la jerarquía raíz más amplia al 21 de octubre, aunque no necesariamente emitidos con las claves comprometidas. Y el historial no ayuda: el registro público de incidentes de Mozilla muestra que eMudhra ya había publicado listas de revocación inválidas en mayo de 2025.
Por qué Safari está protegido y tu terminal no
Los navegadores resolvieron esto rápido. Chrome bloqueó las seis intermedias habilitadas para TLS el mismo 17 de octubre y Firefox hizo lo propio vía OneCRL ese día, mientras que Microsoft aplicó el bloqueo el 20 de octubre, según The Hacker News y BleepingComputer. Apple también protegió Safari y las aplicaciones construidas sobre su framework de red.
El problema es todo lo demás. Las herramientas que Apple incluye en macOS no consultan ese bloqueo: validan contra el archivo /etc/ssl/cert.pem, que no se actualiza solo y no verifica información de revocación. De ahí que git, curl, python3, ruby y openssl sigan aceptando cadenas que el resto del ecosistema ya rechaza. BleepingComputer ya había advertido que el curl integrado en macOS podía seguir confiando en los certificados comprometidos justamente porque su bundle no chequea revocación.
La asimetría es difícil de explicar: decenas de proyectos, muchos mantenidos por voluntarios, publicaron parches días atrás. Apple todavía no envió una solución para los desarrolladores.
Cómo saber en dos minutos si tu Mac está afectado
El sitio de seguimiento del incidente publicó comandos de verificación. Para git:
git ls-remote https://git-emudhra.we-have-a-problem.com/check.git- Si aparece un error de certificado, tu git está protegido. Si el comando lista un commit, tu git está afectado.
Para curl, hay dos endpoints porque el certificado comprometido tiene dos cadenas distintas: una hacia la raíz propia de eMudhra y otra firmada por Sectigo bajo su raíz AAA Certificate Services.
curl https://dv-g3b-noct-emudhra.we-have-a-problem.com/curl https://dv-g3b-aaa-noct-emudhra.we-have-a-problem.com/- Error de certificado en ambas = estás protegido. Si alguna responde, esa herramienta sigue confiando en la cadena comprometida.
El mismo sitio ofrece una demostración de ataque de punta a punta en un directorio temporal, que clona un repositorio desde un servidor que se hace pasar por GitHub presentando un certificado emitido por una de las intermedias comprometidas. Un git parchado rechaza la operación con error de certificado; si el clon funciona, el README del repo empieza con la palabra INTERCEPTED. Un atacante real no necesita ese truco: cualquiera en la ruta de red puede redirigir el tráfico por su cuenta.
Qué significa esto para tu startup
El riesgo no se limita a tu laptop. Si tu equipo usa runners de macOS en integración continua (CI) o en infraestructura de build, esos entornos ejecutan exactamente estas herramientas y heredan la misma debilidad. Es un problema de cadena de suministro: código o dependencias manipuladas en tránsito entran a tu pipeline con apariencia legítima.
Acciones concretas para esta semana:
- Corre los chequeos de arriba en cada Mac del equipo. Son dos minutos y te dicen si el problema es real en tu caso. Prioriza a quien tenga permisos de push sobre repositorios de producción.
- Aplica el workaround manual y calendariza su repetición. El sitio de seguimiento detalla cómo remover las raíces afectadas de
/etc/ssl/cert.pem. Apple advierte que las actualizaciones de macOS pueden revertir el cambio, así que el chequeo debe repetirse después de cada update del sistema hasta que llegue el parche oficial. - Audita tus runners de CI con macOS. Evalúa si necesitas runners de macOS para todo lo que hoy corre ahí o si parte del pipeline puede moverse a Linux, donde los paquetes de
ca-certificatesya se actualizaron. - Actualiza las herramientas que sí tienen parche. No todo depende de Apple: los lenguajes y gestores de paquetes ya publicaron versiones corregidas.
- Nunca desactives la verificación de certificados como atajo. Opciones tipo
curl -ko variables que deshabilitan la validación convierten un aviso en una conexión silenciosamente comprometida.
El resto del ecosistema ya parchó
Según el relevamiento de The Hacker News, Go publicó 1.27.3 y 1.26.10 el 20 de octubre (CVE-2026-111943, requiere recompilar), Node.js sacó 26.12.1, 24.22.1 y 22.23.4 el 21 de octubre, y Python certifi ya está en 2026.10.19. Se suman pip 26.2.2, uv 0.13.4, Homebrew ca-certificates 2026-09-25_1, los paquetes de Ubuntu y Debian del 20 de octubre, y Azul, que el 22 de octubre publicó builds de OpenJDK con las ocho claves bloqueadas —relevante porque Java no verifica revocación por defecto, según Hackread. Cloudflare liberó clientes WARP y 1.1.1.1 corregidos y cloudflared 2026.10.2. Red Hat seguía pendiente de paquete, con workaround disponible para RHEL 7 y posteriores.
Del lado de la confianza estructural, Mozilla removió emSign ECC Root CA - G3 de NSS el 20 de octubre y Chrome tenía programada la remoción de esa raíz de su root store, con efecto esperado desde el 27 de octubre. El costo colateral es conocido: al eliminar raíces enteras, también dejan de ser confiables certificados legítimos que colgaban de ellas, y varios proveedores advirtieron que algunos servidores quedarán inaccesibles hasta que migren a cadenas nuevas.
Conclusión
El incidente de eMudhra ya está contenido en navegadores, pero no en el lugar donde tu equipo realmente trabaja: la terminal. Que una actualización del sistema operativo revierta un parche de seguridad aplicado a mano es lo más incómodo del caso, porque convierte una tarea de una sola vez en un control recurrente.
La lección operativa es más amplia que macOS. Los certificados raíz son un supuesto invisible: nadie los elige y casi nadie los revisa, pero sostienen cada descarga de dependencia, cada push y cada llamada a una API. Los equipos que tratan su trust store como parte de la superficie de ataque —y no como un archivo del sistema que nunca se toca— van a detectar el próximo caso antes de que se convierta en una brecha.
Fuentes
- eMudhra Intermediate CA Compromise - Apple (fuente original)
- Mozilla, Google, Apple block compromised eMudhra CA certificates
- Eight eMudhra CA Keys Compromised, Triggering Emergency Fixes Across Browsers and Software
- eMudhra to Exit SSL/TLS Market After 8 CA Keys Found Easily Guessable
¿Y esto cómo se aplica en tu negocio?
Dueños de negocio de Latinoamérica y España usan un agente de IA para ganar más y recuperar su tiempo. El Kit «tu mano derecha con IA» te muestra cómo en un video de 11 minutos, con una ficha para armar el tuyo. CAR está cerrada por ahora; al anotarte, te avisamos cuando abra.
👥 Quiero el Kit →
