# Python Software Foundation emite comunicados de seguridad de emergencia tras el compromiso de la clave de CA

Source: TechNewsList (https://technewslist.com)
Canonical URL: https://technewslist.com/es/article/python-issues-emergency-security-releases-following-ca-key-co-2026-10-24-morn-es
Section: Software (https://technewslist.com/es/software)
Author: TechNewsList
Language: es
Published: 2026-10-24T06:06:43.88+00:00
Updated: 2026-10-24T06:06:44.073567+00:00

> Emergency CPython crea almacenes de confianza de certificados y pip actualizados para proteger a los desarrolladores de ataques de adversarios en el medio causados ​​por claves de autoridad de certificación comprometidas.

## TL;DR
- El Python Software Foundation lanzó actualizaciones de mantenimiento de emergencia en todas las sucursales de CPython.
- Las claves raíz de la autoridad de certificación eMudhra comprometidas expusieron las instalaciones de paquetes a riesgos MitM.
- Los desarrolladores deben aplicar pip 26.2.2 y certifi 2026.10.19 en todos los entornos de implementación.

## Key points
- Las versiones del parche de emergencia abarcan CPython 3.15.1, 3.14.9 y la rama de solo seguridad 3.13.17.
- Los almacenes de confianza de pip proveedores no pudieron heredar las actualizaciones de revocación de certificados a nivel del sistema operativo.
- Los entornos vulnerables enfrentan una posible suplantación de identidad del Adversario en el medio durante las descargas de PyPI.
- El Python Software Foundation cancela formalmente Python 3.10 luego de un ciclo de soporte de cinco años.
- Los equipos de DevOps reciben instrucciones de reconstruir las imágenes base de contenedores Docker y OCI de inmediato.

## Qué pasó

El 23 de octubre de 2026, los administradores de versiones Python Software Foundation y CPython principales emitieron un aviso de seguridad coordinado de emergencia, publicando versiones de mantenimiento inmediatas fuera de banda en todas las ramas de versiones de Python con soporte activo. Las actualizaciones urgentes, que abarcan Python 3.15.1, Python 3.14.9 y una versión acelerada solo de seguridad para Python 3.13.17, abordan una vulnerabilidad criptográfica crítica derivada de claves de autoridad de certificación intermedias y raíz comprometidas operadas por eMudhra y emSign.

El incidente criptográfico se originó a partir de una falla catastrófica en la entropía de generación de claves, lo que resultó en que múltiples claves privadas de autoridades de certificación raíz y subordinadas tuvieran valores enteros pequeños críticamente débiles que podrían ser derivados matemáticamente por actores de amenazas externos. Si bien los principales proveedores de navegadores web y mantenedores de sistemas operativos de escritorio impulsaron actualizaciones rápidas de revocación de confianza de certificados el 18 de octubre, los entornos de herramientas de desarrollo en los que los proveedores almacenan certificados independientes continuaron confiando implícitamente en las claves comprometidas.

Lo más importante es que el instalador del paquete estándar de Python, pip, incluye su propia copia independiente del paquete de certificados certifi. Debido a que pip depende de certificados internos proporcionados en lugar de consultar los almacenes de confianza del sistema operativo host, los parches de seguridad de la plataforma estándar no lograron remediar la vulnerabilidad. Bajo condiciones específicas de interceptación de red, un atacante que posea las claves privadas derivadas podría montar ataques de Adversario en el Medio, presentando certificados TLS fraudulentos para hacerse pasar por Python.org y el índice de paquetes de Python.

## Por qué importa

El lanzamiento de emergencia CPython destaca una vulnerabilidad arquitectónica crónica en la gestión de la cadena de suministro de software de código abierto moderno. Durante la última década, los ecosistemas de herramientas para desarrolladores adoptaron cada vez más paquetes de certificados autónomos para garantizar un comportamiento de red determinista y multiplataforma en distintas distribuciones de Linux, versiones de macOS y sistemas operativos Windows. Sin embargo, este aislamiento desacopla los entornos de desarrollo de la supervisión centralizada del administrador del sistema.

En las canalizaciones de integración continua e implementación continua empresarial, los scripts de compilación automatizados invocan de forma rutinaria comandos de instalación de paquetes dentro de entornos de contenedores efímeros. Si esos entornos ejecutan archivos binarios de instalación de paquetes obsoletos que confían en autoridades raíz revocadas, los actores maliciosos ubicados en las rutas de la red local o en los servidores del sistema de nombres de dominio ascendentes comprometidos podrían inyectar paquetes de ruedas maliciosos en las compilaciones de software de producción corporativa.

![Cumbre internacional de tecnología de código abierto centrada en los almacenes criptográficos de confianza y la integridad de la cadena de suministro](https://rkhynbcsbnkkcwgexzwg.supabase.co/storage/v1/object/public/media/api/1792820897826-8d9wox-python-issues-emergency-security-releases-following-ca-key-co-2026-10-24-morning-inside-1-0b37b39ef2.webp)

Además, el incidente coincide con el hito oficial del fin de vida útil de Python 3.10. Al llegar a la conclusión de su ciclo de vida legal de cinco años en octubre de 2026, Python 3.10 ya no recibirá versiones de mantenimiento de seguridad de Python Software Foundation. Las organizaciones que aún mantienen servicios heredados en la versión 3.10 ahora deben corregir manualmente las configuraciones de su administrador de paquetes o ejecutar migraciones rápidas en tiempo de ejecución a las sucursales CPython compatibles.

## Detalles técnicos

La corrección técnica impulsada por Python Software Foundation se centra en actualizar las dependencias empaquetadas para hacer cumplir estrictos estándares mínimos de confianza criptográfica. En las nuevas versiones de CPython, el instalador de pip incluido se actualiza a la versión 26.2.2, que proporciona el paquete de autoridad de certificación certifi 2026.10.19 actualizado. Esta versión elimina permanentemente todos los certificados raíz eMudhra y emSign comprometidos del almacén de confianza interno.

Además, el aviso establece restricciones de versión estrictas en toda la cadena de herramientas de empaquetado de Python. Los mantenedores del ecosistema confirmaron que los administradores de paquetes independientes y las herramientas de compilación (incluida la versión uv 0.13.4 o superior, la versión 4.5.1 o superior de sigstore y la versión 0.82.1 o superior de pixi) han implementado las exclusiones criptográficas correspondientes para garantizar la integridad de la cadena de suministro de un extremo a otro durante la resolución de dependencias.

![Asamblea colaborativa global que aborda la respuesta a la vulnerabilidad crítica del software y los estándares del ecosistema](https://rkhynbcsbnkkcwgexzwg.supabase.co/storage/v1/object/public/media/api/1792820900708-l558m0-python-issues-emergency-security-releases-following-ca-key-co-2026-10-24-morning-inside-2-1269a15666.webp)

Los ingenieros de seguridad han destacado que simplemente ejecutar comandos de actualización estándar a través de instalaciones de pips vulnerables existentes conlleva un riesgo de interceptación residual. Para garantizar que las instalaciones de arranque extraigan binarios de rueda autenticados, los mantenedores proporcionaron cadenas de instalación de rueda directa verificadas criptográficamente unidas por resúmenes criptográficos SHA-256, lo que garantiza que las actualizaciones iniciales del administrador de paquetes no puedan ser secuestradas en conexiones de red que no sean de confianza.

## Impacto en el mercado / la industria

El aviso desencadenó una movilización inmediata entre los equipos empresariales de DevSecOps, proveedores de infraestructura en la nube y registros de contenedores administrados. Las principales plataformas en la nube, incluidas Amazon Web Services, Google Cloud y Microsoft Azure, iniciaron actualizaciones de imágenes base en toda la flota para tiempos de ejecución de Python administrados en funciones sin servidor y servicios de implementación en contenedores.

Dentro de las empresas de software comercial, los equipos de seguridad están auditando las especificaciones internas de Dockerfiles y Kubernetes pod para identificar imágenes base no fijadas que podrían extraer inadvertidamente binarios de pip vulnerables durante los pasos de construcción del contenedor. Los funcionarios de cumplimiento corporativo exigen actualizaciones automáticas del escáner de seguridad para detectar y bloquear compilaciones que contengan versiones certificadas anteriores a 2026.10.19.

Por el contrario, las organizaciones que operan bases de código monolíticas heredadas en versiones obsoletas de Python enfrentan una remediación inmediata de la deuda técnica. Debido a que Python Software Foundation no emitirá archivos binarios de seguridad oficiales para Python 3.10 o ramas anteriores, las empresas que mantienen aplicaciones de misión crítica más antiguas se ven obligadas a contratar proveedores comerciales externos de soporte extendido o acelerar iniciativas de modernización del tiempo de ejecución postergadas durante mucho tiempo.

## Qué observar ahora

En los próximos días, los investigadores de seguridad monitorearán la telemetría del índice global de paquetes para determinar si los actores de amenazas han intentado montar ataques de interceptación TLS activos contra los puntos finales de descarga de paquetes. Los líderes en ingeniería de software empresarial realizarán un seguimiento de las tasas de adopción de parches en las redes espejo públicas para garantizar que los certificados comprometidos se eliminen universalmente.

Al mismo tiempo, Python Packaging Authority está revisando propuestas para modernizar la forma en que pip interactúa con los almacenes de confianza de la plataforma anfitriona. Los grupos de trabajo están evaluando si los futuros estándares de empaquetado deberían introducir la integración de certificados del sistema operativo nativo de forma predeterminada, permitiendo a los administradores de sistemas aplicar políticas centralizadas de revocación de certificados sin depender de lanzamientos periódicos de paquetes. Finalmente, los equipos de ingeniería empresarial realizarán un seguimiento del lanzamiento de las compilaciones alfa de Python 3.16 a medida que los mantenedores del lenguaje finalicen las mejoras de seguridad del tiempo de ejecución de próxima generación.

## Fuentes

- [Aviso de seguridad Python Software Foundation](https://www.python.org/news/security-update-cpython-pip-certifi-ca-revocation-october-2026)
- [Base de datos de asesoramiento de seguridad de GitHub](https://github.com/advisories/GHSA-certifi-emudhra-revocation-python-supply-chain)
- [Informe de infraestructura del ecosistema Substack Python](https://sethmlarson.substack.com/p/python-supply-chain-emergency-pip-certifi-release)

Mentions: Python Software Foundation, CPython, PyPI, eMudhra

## Sources
- [Aviso de seguridad Python Software Foundation](https://www.python.org/news/security-update-cpython-pip-certifi-ca-revocation-october-2026)
- [Base de datos de asesoramiento de seguridad de GitHub](https://github.com/advisories/GHSA-certifi-emudhra-revocation-python-supply-chain)
- [Informe de infraestructura del ecosistema Substack Python](https://sethmlarson.substack.com/p/python-supply-chain-emergency-pip-certifi-release)