Apple выпустила macOS 27.2.1, чтобы исправить старую ошибку в безопасности Mac

Если у вас Mac на macOS 27 Golden Gate, загляните в раздел обновлений, даже если 27.2 вы поставили совсем недавно. Вслед за апдейтом для айфонов Apple выпустила маленькую заплатку и для компьютеров, а список изменений у нее снова уместился в одну строку. Только за этой строкой стоит история, из-за которой в октябре в спешке работали сразу несколько крупных компаний. Основные программы тогда защитили за пару дней, а вот один уголок системы оставался открытым больше трех недель. Что случилось, касается ли это лично вас и как поставить обновление без лишних хлопот.

MacBook Pro с открытым окном «Обновление ПО», где доступна macOS Golden Gate 27.2.1

Apple снова уместила все изменения в одну строку

Две недели назад вышла macOS 27.2 Golden Gate с правками для MacBook и закрытыми 263 уязвимостями. У macOS 27.2.1, которая появилась 9 ноября, описание куда скромнее: «исправления ошибок и обновления безопасности». Никаких новых функций, никаких перечней.

Логотип macOS 27 рядом с MacBook Pro, на экране которого рабочий стол новой системы

Вместе с ней компания выпустила заплатки для старых систем: macOS 26.7.3 и macOS 15.8.3. Так что обновление касается не только тех, кто уже перешел на Golden Gate. Если ваш Mac остался на прошлой версии системы, он тоже получил свою порцию исправлений.

Подробности все-таки нашлись, но не в окне обновления, а в отдельном документе поддержки, который Apple опубликовала в тот же день. Из него понятно, ради чего выпуск вообще затевался: он закрывает историю с сертификатами удостоверяющего центра eMudhra. Что еще исправили в 27.2.1, Apple не уточняет.

Что интересно, эта же правка уже была в первой бете macOS 27.3, которая вышла 4 ноября. Финальную 27.3 ждут только в декабре, и тянуть до нее Apple не стала. Для компании, которая обычно копит исправления до крупного выпуска, это хороший сигнал: проблему посчитали срочной.

Ключ, который подбирается за 256 попыток

Чтобы понять, в чем дело, нужно пару слов сказать о сертификатах. Когда вы открываете сайт банка, браузер проверяет его сертификат. Этот электронный документ подтверждает, что перед вами настоящий сайт, а не подделка. Выдают сертификаты удостоверяющие центры, и системы доверяют им по списку. eMudhra как раз один из таких центров.

17 октября исследователь, который просматривал публичные журналы сертификатов, заметил странность. У восьми промежуточных сертификатов eMudhra закрытые ключи оказались числами меньше 256. Чтобы подобрать такой ключ, достаточно перебрать 256 вариантов, а это доли секунды даже на старом ноутбуке. Один из ключей другой исследователь выложил в открытый доступ. Он был равен четырем. Не четырем миллиардам, а просто четырем.

Белый логотип Apple в виде навесного замка на голубом фоне

Как выяснилось, виновата ошибка в скрипте, которым центр генерировал ключи. Скрипт создал второй, слабый набор, и при подписи его выбрали по ошибке: метки у ключей были похожи. Ключи сгенерировали еще в апреле 2025 года, то есть подобрать их можно было полтора года. Шесть сертификатов из восьми выдавали TLS-сертификаты для сайтов. С таким ключом можно выпустить сертификат на любой адрес и выдать себя хоть за банк, хоть за почту, а потом читать трафик жертвы.

Доказательств, что кто-то этим воспользовался, нет. В eMudhra говорят, что большая часть этих сертификатов в работе не использовалась. Но рисковать никто не стал: Mozilla и Google заблокировали их 17 октября, Apple подключилась через несколько дней, а сам центр отозвал сертификаты и прекратил выдачу по скомпрометированной цепочке.

Safari прикрыли быстро, а Терминал ждал до ноября

Блокировка Apple сработала сразу и без обновлений. Компания умеет удаленно менять настройки доверия к сертификатам, поэтому Safari, Mail и программы, которые работают через системные механизмы безопасности, перестали принимать опасные сертификаты еще в октябре. Если вы просто сидите в интернете через Safari, вы были защищены все это время.

Дыра осталась в другом месте. Утилиты командной строки вроде curl, git и python3, которые поставляются с macOS или Xcode Command Line Tools, проверяют сертификаты по отдельному файлу /etc/ssl/cert.pem. Удаленная блокировка на него не распространяется, и Терминал продолжал доверять скомпрометированным сертификатам. Под ударом в первую очередь разработчики, администраторы и все, кто запускает на Mac скрипты, которые что-то скачивают из сети.

До выхода заплатки Apple предлагала исправить файл вручную: сделать резервную копию и удалить из него корневые сертификаты, к которым ведут скомпрометированные цепочки. Способ рабочий, но грубый. Правка влияет на все утилиты сразу, и часть нормальных сайтов после нее может перестать проходить проверку. В macOS 27.2.1 Apple сама убрала из файла пять корневых сертификатов: emSign ECC Root CA — G3, AAA Certificate Services, emSign Root CA — G1, emSign Root CA — C1 и emSign ECC Root CA — C3.

Есть еще одна категория программ, которую не спасает ни блокировка, ни обновление. Это приложения со своим собственным списком доверенных сертификатов. Тут Apple советует обращаться к разработчику, потому что починить их может только он. Чтобы не пропустить, когда разработчики популярных программ выпустят свои исправления, подписывайтесь на наши каналы в Telegram и МАКС.

Ставим обновление и убираем следы ручных правок

Ставится обновление как обычно, через настройки. Если вы до сих пор на macOS 26 и сомневаетесь, стоит ли переходить на Golden Gate, переходить ради этой заплатки не нужно: 26.7.3 закрывает ту же проблему.

Перед установкой лучше потратить пять минут на резервную копию. Порядок действий такой:

Окно «Обновление ПО» на Mac с macOS Tahoe 26.7.2: сверху macOS 27.2.1, ниже в блоке «Также доступно» macOS Tahoe 26.7.3

1. Подключите диск для резервных копий и откройте Системные настройки — Основные — Time Machine. Нажмите «Создать резервную копию сейчас».
2. Подключите MacBook к зарядке и убедитесь, что Wi-Fi работает стабильно.
3. Откройте Системные настройки — Основные — Обновление ПО и дождитесь, пока Mac найдет macOS 27.2.1.
4. Нажмите «Обновить сейчас» и введите пароль администратора.
5. Дождитесь перезагрузки и проверьте версию в меню Apple — Об этом Mac.

На Mac с macOS 26 или macOS 15 система первым делом предлагает переход на Golden Gate. Нужная заплатка в этом случае лежит чуть ниже, в блоке «Также доступно». Ищите там macOS 26.7.3 или 15.8.3 соответственно. Разница в объеме заметная: на моем Mac с macOS Tahoe 26.7.2 переход на 27.2.1 весит 17,78 ГБ, а заплатка 26.7.3 всего 2,57 ГБ.

Если вы уже правили /etc/ssl/cert.pem по инструкции Apple, после обновления повторять ничего не нужно. Резервную копию файла можно удалить командой sudo rm /etc/ssl/cert.pem.orig А вот восстанавливать старую копию нельзя: вместе с ней в систему вернутся те самые корневые сертификаты. Если что-то пошло не так или Терминал начал ругаться на сайты, пишите в наш чат в Telegram или МАКС, разберемся вместе.

Диска под Time Machine нет? Недорогой внешний SSD на терабайт решает вопрос раз и навсегда, а подходящие модели регулярно попадают в «Сундук Али-Бабы» в МАКС. Ну а если Терминал вы открывали только по ошибке, обновиться все равно стоит: кроме сертификатов, в 27.2.1 есть и другие исправления безопасности, о которых Apple пока молчит.