Apple a pris des mesures de sécurité proactives pour protéger ses utilisateurs après la découverte d'une faille technique dans les clés de chiffrement de huit certificats intermédiaires de l'autorité de certification (CA) de la société indienne eMudhra. Bien qu'aucun élément ne prouve que cette faille a été exploitée de manière malveillante jusqu'à présent, la faiblesse des clés aurait permis à des attaquants d'usurper l'identité de sites Web de confiance, exposant ainsi les données sensibles des utilisateurs.
Qu'est-ce qui a réellement changé ?
Depuis le 19 octobre 2026, Apple a automatiquement bloqué les certificats TLS d'eMudhra via le navigateur Safari et l'application Mail, ainsi que toutes les applications qui s'appuient sur les frameworks de réseau et de sécurité d'Apple. Cette mesure ne nécessite aucune intervention de la part des utilisateurs ordinaires ni de mises à jour logicielles supplémentaires, le blocage étant activé de manière centralisée.
Exception pour les outils en ligne de commande
Le problème résiduel réside dans les outils en ligne de commande sous macOS, où certains de ces outils acceptent encore les certificats compromis. Apple a indiqué qu'elle travaillait actuellement sur une mise à jour de macOS incluant un correctif radical pour ce problème en modifiant le fichier /etc/ssl/cert.pem par défaut.
Qu'est-ce que cela signifie pour les utilisateurs et les administrateurs ?
Pour les administrateurs système et les utilisateurs avancés qui dépendent des outils en ligne de commande, Apple conseille de prendre une mesure temporaire consistant à supprimer manuellement les certificats racines (Root CA) de la société concernée du fichier /etc/ssl/cert.pem en attendant la mise à disposition de la mise à jour officielle. Apple n'a pas encore précisé la date exacte du lancement de cette mise à jour, mais a affirmé son engagement à remédier à la vulnérabilité pour garantir la sécurité des communications chiffrées.
Cette mesure intervient en coordination avec d'autres entreprises technologiques qui gèrent les principaux navigateurs Web, les certificats d'eMudhra bénéficiant d'une large confiance avant la découverte de cette faille de sécurité.