Python チームは日曜日に、高速セキュリティ アップデート Python 3.15.2、3.14.10、3.13.18、3.12.16、および 3.11.18 をリリースしました。主な理由は、eMudhra のいくつかの中間証明書のキーが侵害されたことです。影響を受けるバージョンを使用している人は、早急にアップデートする必要があるとリリースチームは推奨している。バイナリ インストーラは 3.15.2 と 3.14.10 でのみ利用可能で、他の 3 つのバージョンはソース コードとしてのみ表示されます。
広告の後に続きを読む
Python ブログによると、このアップデートにより脆弱性 CVE-2026-115557 (CVSS 9.4) が解消されます。安全でない eMudhra 中間証明書により、攻撃者は任意のドメインに対して有効な証明書を発行することができました。影響を受ける 8 つの CA 証明書すべての秘密キーは推測するのが簡単でした。 1 つは単純に「4」でした。の sslモジュールは、最後の手段としてこれらのキーを含む証明書チェーンを拒否するようになりました。
Python のアップデートにより、 pip 影響を受けるキーによる攻撃から保護されます。 pip それ自体はまだ更新されていません。これによりアップデートも保護されます pip。それにもかかわらず、eMudhra インシデントに関するメモの中で、Python チームは pip 26.2.2、certifi 2026.10.19、および uv 0.13.4 以降にアップグレードすることを推奨しています。
tarfile と http.cookiejar にもパッチを適用
5 つの Python バージョンすべてに、eMudhra パッチに加えて 2 つの追加のセキュリティ修正が適用されます。 1 つ目は、tarfile モジュールの CVE-2026-114583 (CVSS 6.9) の脆弱性に関するものです。 tar アーカイブ内に準備されたリンク エントリを使用すると、それが可能でした tarfile.tar_filter 開梱するときに次のように扱ってください。 filter="tar" ファイルがターゲット ディレクトリの外に存在する可能性があります。アップデートしたら拒否される tar_filter() ターゲット ディレクトリ自体を置き換えるリンク エントリ。
のために http.cookiejar.DefaultCookiePolicy セキュリティ修正もあります。負のバージョン番号を持つ Cookie の場合、これまでドメインはチェックされていなかったため、サーバーが外部ドメインの Cookie を設定または上書きする可能性がありました。アップデートにより、そのような Cookie は無効とみなされ、無視されます。サーバーはギャップを介してサードパーティ Cookie を読み取ることができませんでした。
古いバージョンに対する追加のセキュリティ修正
広告の後に続きを読む
Python 3.13.18、3.12.16、および 3.11.18 には、すでに 3.15.1 および 3.14.9 の一部となっている 3 つの修正がアップデートで適用されます。 Expat 2.9.0 へのアップデートにより、XML パーサーの 2 つのセキュリティ脆弱性 CVE-2026-77214 および CVE-2026-102633 が解消されます。こちらも読んでいます mimetypes デフォルトでは、Windows には、他のユーザーが変更できる既知ファイル リスト内のファイルの MIME タイプが含まれなくなり (CVE-2024-3220)、電子メール ヘッダーはラップされても引用符が保持されます。
Python 3.13.18 と 3.12.16 には別のセキュリティ修正があり、バージョン 3.15.0 と 3.14.9 ではすでに認識されています。掃除のとき tempfile.TemporaryDirectory 攻撃者は、削除中にサブディレクトリをシンボリック リンクに置き換えて、ディレクトリ外のファイルを削除したり、アクセス許可を変更したりする可能性があります。
こちらもお読みください
（ミスター）
