2026年10月23日、Appleは、インドの認証局eMudhra（イーマドラ）の中間認証局8つの秘密鍵が漏えいした件で、サポートページに案内を出しました。結論から言うと、iPhoneやふつうにMacを使っている人は、何もしなくて大丈夫です。当記事では、ターミナルを使う人の注意点や「アップデートで復活した」の理由もAI初心者向けにわかりやすく解説します。
eMudhraの中間認証局8つの秘密鍵が漏えい（2026年10月）
そもそも「証明書」「認証局」とは？
Webサイトを開くと、アドレスバーに鍵のマークが出ることがあります。これは、そのサイトが「本物の〇〇です」という証明書を持っていて、通信が暗号化されているしるしです。
たとえるなら、証明書はネットの身分証明書、認証局はそれを発行する役所のようなものです。iPhoneやMacには、信用してよい役所（ルート認証局）のリストが最初から入っていて、そこから発行された身分証なら「本物」と判断します。
実際には、大もとの役所（ルート認証局）が支所（中間認証局）を作り、支所がサイトごとの証明書を発行するしくみです。秘密鍵は、支所が身分証に押す「印鑑」にあたります。
何が起きた？「印鑑」が第三者に割り出せる状態だった
Appleによると、eMudhraが運用する中間認証局8つの秘密鍵が漏えいしました（侵害された＝第三者の手に渡るおそれがある状態）。8つのうち2つはプログラムの署名用で、Appleの仕組みでは信頼していません。残りの6つは、Webサイト用の証明書を発行するものでした。
この6つの印鑑を悪用されると、どんなサイトにでも「本物に見える」偽の身分証を作れてしまうおそれがあります。たとえば偽の銀行サイトでも、鍵のマークが出てしまうかもしれない、ということです。
Mozilla（Firefoxの開発元）が公開している事故報告によると、問題は10月17日（協定世界時）に、外部の人からMozilla・Google・Apple・Microsoft・eMudhraに報告されました。鍵が盗み出されたというより、作るときの不具合で鍵がとても弱く、誰でも計算で割り出せる状態だったと報告されています。eMudhraは、2025年4月の鍵の作成作業で不具合があったと説明しています。
Appleによると、eMudhraと、別の認証局Sectigo（セクティゴ）は、該当の証明書をすでに失効（無効に）させています。
>>侵害されたeMudhraの中間認証局について（Apple サポート・2026年10月23日・英語・編集部訳）
>>eMudhraの中間証明書の秘密鍵の漏えい（Mozilla Bugzilla・英語）
iPhone・ふつうのMacユーザーは何もしなくてOK！Appleが自動でブロック済み
Appleは10月19日から自動でブロックしている
Appleによると、10月19日から、Webサイト用の中間認証局6つの証明書のブロックを始めました。1つの中間認証局につき証明書が2枚あり、合計12枚です（eMudhra自身のルートから出たものと、Sectigoのルートから出たもの）。さらに10月23日からは、大もとのルート証明書「emSign ECC Root CA – G3」もブロックしています。
ポイントは、ソフトウェアアップデートを入れなくても、自動で届いていることです。Appleは、証明書の設定データは必要に応じて自動で端末に送られるので、この変更のためにアップデートを入れる必要はない、と説明しています（編集部訳）。
どのアプリが守られている？
Appleの案内では、ブロックが効いているのは次のものです。
- Safari（Appleのブラウザ）
- メール
- Appleのネットワーク・セキュリティの仕組みを使うアプリ
Appleは、ターミナルをふだん使わない人は、何もする必要はないとしています（編集部訳）。ページはAppleの端末全般として書かれていて、iPhoneで特別にやることも案内されていません。
FirefoxやChromeは？
MacのFirefoxやChromeは、信用する認証局のリストを自分で持っているため、Appleのブロックとは別に、それぞれの開発元が対応しています。Mozillaの事故報告によると、Mozillaは10月17日（協定世界時）のうちに該当の中間証明書をFirefoxで信用しないようにし、GoogleもChromeで、更新データ（CRLSet）を使ってブロックしています。さらに両社は、ルート証明書「emSign ECC Root CA – G3」も信用しない方針を示しています。
ふだん使うブラウザやアプリは、いつもどおり最新の状態にしておきましょう。
▶ 関連記事：iOS 26.7.2が公開！134件の脆弱性を修正、謝辞にOpenAI・Anthropicの名前も
ターミナルを使う人だけ注意！curlやgitはまだ受け入れてしまう
curl・git・python3などは別のファイルを見ている
ターミナルは、文字でコマンドを打ってMacを操作するアプリです。プログラミングやサーバーの管理で使います。
Appleによると、macOSに入っている一部のコマンドツールは、Safariとは別の証明書リストのファイルを見ています。そのため、curl・git・python3・ruby・perl・opensslは、まだ該当の証明書を受け入れてしまうおそれがあります。Xcodeのコマンドラインツール（開発用のツール一式）も同じです。
Appleは、このファイルは今後のmacOSのアップデートで更新され、そのときはファイルを自分で書き換える必要はないとしています（編集部訳）。2026年10月28日時点で、更新の日付は発表されていません。
また、自分で信用する認証局のリストを持つアプリやツールは、Appleのブロックもこのファイルも使いません。気になる場合は、そのアプリの開発元に確認するよう案内されています。
Xで話題の「アップデートで復活した」の理由
Appleのページには、待てない管理者・開発者向けに、このファイルから該当のルート証明書を外す手順も載っています。これは任意の手順で、管理者のアカウントが必要です。
ただしAppleは、macOSのソフトウェアアップデートで、このファイルがApple版に置き換わることがあると書いています（編集部訳）。つまり、自分で証明書を外した人のファイルが、修正が入る前のmacOSのアップデートで元に戻ることがあるということです。Xで「消したのに復活した」と話題になっているのは、このためと考えられます。
Appleは、修正のアップデートが入るまでは、アップデートのたびに確かめて、必要ならやり直すよう案内しています。また、ルート証明書を外すと、問題のない一部のサイトにもツールがつながらなくなることがある、とも注意しています。
手順はApple公式ページで確認を
当記事では、ファイルを書き換えるコマンドは載せません。システムの大事なファイルを管理者の権限で書き換える操作なので、ふつうのユーザーには不要で、まちがえると通信ができなくなるおそれがあるからです。
必要な人は、Apple公式ページの手順（バックアップの取り方・確認の方法・元に戻す方法つき）を見てください。Appleは、コマンドは書かれたとおり正確にコピーするよう求め、貼り付けたときにマルウェアの警告が出た場合の案内ページも示しています。SNSやWebで見かけたコマンドを、そのまま貼り付けて実行しないようにしましょう。
>>侵害されたeMudhraの中間認証局について（Apple サポート・2026年10月23日・英語・編集部訳）
▶ 関連記事：Claude Codeのセキュリティ注意！ダウンロードフォルダのAGENTS.md攻撃と対策
eMudhraの証明書でよくある疑問
iPhoneのアップデートで問題が戻ることはある？
「アップデートで復活した」は、自分でファイルを書き換えたMacの話です。iPhoneやふつうのMacのブロックは、Appleが自動で配っている設定データによるもので、ユーザーが何かを外したわけではありません。Appleの案内でも、ターミナルを使わない人がやることはありません。
実際に被害は出ている？
2026年10月28日時点で、AppleのページにもMozillaの事故報告にも、この証明書を使った一般の利用者の被害は書かれていません。ただし事故報告では、複数の人がそれぞれ鍵を割り出し、一部の人はそのことを公表したとされています。印鑑がすでに出回っているのと同じなので、悪用のおそれはあります。だからこそ、各社が大もとのルートまでまとめてブロックしています。
自分のMacがブロック済みか確かめる方法は？
Appleは、ふつうのユーザー向けの確認方法は案内していません。自動で届くため、確認しなくても大丈夫です。ターミナルのツールを仕事で使う人は、Apple公式ページの確認手順を見てください。
【まとめ】eMudhraの証明書問題は、ふつうの人は何もしなくてOK
eMudhraの中間認証局8つの秘密鍵が漏えいした件は、Appleが10月19日から自動でブロックしていて、iPhoneやふつうのMacユーザーは何もしなくて大丈夫です。ターミナルのツールを使う人だけ、修正のmacOSアップデートが出るまで注意し、手順はApple公式ページで確認しておきましょう。
※2026年10月28日時点・Apple サポート（2026年10月23日公開）、Mozilla Bugzillaの事故報告（eMudhra・Sectigo・Mozilla・Googleの報告を含む）より。対応状況は変わる場合があります。
AIの技術・サービス・ルールは変化が速く、本記事の予測や見通しは将来を保証するものではありません。各サービスの仕様・料金は公式サイトで最新の情報をご確認ください。本記事の情報は2026年10月28日時点のものです。
