# Python Software Foundation выпускает экстренные версии безопасности после компрометации ключа CA

Source: TechNewsList (https://technewslist.com)
Canonical URL: https://technewslist.com/ru/article/python-issues-emergency-security-releases-following-ca-key-co-2026-10-24-morn-ru
Section: Software (https://technewslist.com/ru/software)
Author: TechNewsList
Language: ru
Published: 2026-10-24T06:06:54.997+00:00
Updated: 2026-10-24T06:06:55.202212+00:00

> Emergency CPython создает принудительное обновление хранилищ доверенных сертификатов pip и certifi, чтобы защитить разработчиков от атак «злоумышленник посередине», вызванных скомпрометированными ключами центра сертификации.

## TL;DR
- Python Software Foundation выпустил обновления экстренного обслуживания во всех филиалах CPython.
- Скомпрометированные корневые ключи центра сертификации eMudhra подвергали установки пакетов рискам MitM.
- Разработчики должны применять pip 26.2.2 и certifi 2026.10.19 во всех средах развертывания.

## Key points
- Версии аварийных исправлений охватывают CPython 3.15.1, 3.14.9 и ветку только для безопасности 3.13.17.
- Хранилища доверия pip поставщика не смогли наследовать обновления отзыва сертификатов на уровне операционной системы.
- Уязвимые среды могут столкнуться с потенциальной подделкой «Противник посередине» во время загрузки PyPI.
- Python Software Foundation официально прекращает поддержку Python 3.10 после пятилетнего цикла поддержки.
- Командам DevOps поручено немедленно перестроить базовые образы контейнеров Docker и OCI.

## Что произошло

23 октября 2026 года Python Software Foundation и основные менеджеры выпусков CPython выпустили экстренные скоординированные рекомендации по безопасности, опубликовав немедленные внеочередные выпуски обслуживания во всех активно поддерживаемых ветках выпусков Python. Срочные обновления, охватывающие Python 3.15.1, Python 3.14.9 и ускоренный выпуск Python 3.13.17, предназначенный только для обеспечения безопасности, устраняют критическую криптографическую уязвимость, возникающую из-за компрометации корневых и промежуточных ключей центра сертификации, которыми управляют eMudhra и emSign.

Криптографический инцидент возник из-за катастрофической ошибки в энтропии генерации ключей, которая привела к тому, что множественные закрытые ключи корневого и подчиненного центра сертификации имели критически слабые небольшие целочисленные значения, которые могли быть математически получены внешними злоумышленниками. В то время как основные поставщики веб-браузеров и специалисты по обслуживанию операционных систем для настольных компьютеров 18 октября выпустили обновления для быстрого отзыва доверия сертификатов, среды инструментов разработчиков, в которых поставщики хранят автономные сертификаты, продолжали безоговорочно доверять скомпрометированным ключам.

Самое главное, что стандартный установщик пакетов Python, pip, включает в себя собственную независимую копию пакета сертификатов certifi. Поскольку pip полагается на внутренние сертификаты поставщиков, а не запрашивает хранилища доверенных сертификатов операционной системы хоста, стандартные исправления безопасности платформы не смогли устранить уязвимость. В определенных условиях сетевого перехвата злоумышленник, обладающий производными закрытыми ключами, может организовать атаку «Противник посередине», предоставляя поддельные сертификаты TLS для выдачи себя за Python.org и индекс пакетов Python.

## Почему это важно

Экстренный выпуск CPython подчеркивает хроническую архитектурную уязвимость в современном управлении цепочками поставок программного обеспечения с открытым исходным кодом. За последнее десятилетие экосистемы инструментов разработчиков все чаще стали использовать автономные пакеты сертификатов для обеспечения детерминированного кроссплатформенного сетевого поведения в различных дистрибутивах Linux, версиях macOS и операционных системах Windows. Однако такая изоляция отделяет среду разработки от централизованного контроля системного администратора.

В корпоративных конвейерах непрерывной интеграции и непрерывного развертывания сценарии автоматической сборки регулярно вызывают команды установки пакетов внутри временных контейнерных сред. Если в этих средах выполняются устаревшие двоичные файлы установщика пакетов, которые доверяют отозванным корневым центрам сертификации, злоумышленники, расположенные на путях локальной сети или скомпрометированные вышестоящие серверы системы доменных имен, могут внедрить вредоносные пакеты Wheel в сборки корпоративного программного обеспечения.

![Международный саммит по технологиям с открытым исходным кодом, посвященный криптографическим доверенным хранилищам и целостности цепочки поставок.](https://rkhynbcsbnkkcwgexzwg.supabase.co/storage/v1/object/public/media/api/1792820897826-8d9wox-python-issues-emergency-security-releases-following-ca-key-co-2026-10-24-morning-inside-1-0b37b39ef2.webp)

Более того, этот инцидент совпадает с официальной датой завершения поддержки Python 3.10. Достигнув завершения своего пятилетнего установленного законом жизненного цикла в октябре 2026 года, Python 3.10 больше не будет получать выпуски обслуживания безопасности от Python Software Foundation. Организации, которые по-прежнему поддерживают устаревшие службы в версии 3.10, теперь должны вручную исправлять конфигурации своих менеджеров пакетов или выполнять быструю миграцию во время выполнения в поддерживаемые ветки CPython.

## Технические детали

Техническое исправление, предложенное Python Software Foundation, сосредоточено на обновлении связанных зависимостей для обеспечения соблюдения строгих минимальных стандартов криптографического доверия. В новых выпусках CPython встроенный установщик pip обновлен до версии 26.2.2, которая предоставляет обновленный пакет центра сертификации certifi 2026.10.19. В этом выпуске все скомпрометированные корневые сертификаты eMudhra и emSign навсегда удаляются из внутреннего хранилища доверенных сертификатов.

Кроме того, рекомендации устанавливают строгие ограничения версий для более широкой цепочки инструментов упаковки Python. Специалисты по обслуживанию экосистемы подтвердили, что автономные менеджеры пакетов и инструменты сборки, включая uv версии 0.13.4 или выше, sigstore версии 4.5.1 или выше и pixi версии 0.82.1 или выше, развернули соответствующие криптографические исключения для обеспечения сквозной целостности цепочки поставок во время разрешения зависимостей.

![Глобальная совместная ассамблея, посвященная реагированию на критические уязвимости программного обеспечения и стандартам экосистемы.](https://rkhynbcsbnkkcwgexzwg.supabase.co/storage/v1/object/public/media/api/1792820900708-l558m0-python-issues-emergency-security-releases-following-ca-key-co-2026-10-24-morning-inside-2-1269a15666.webp)

Инженеры по безопасности подчеркнули, что простой запуск стандартных команд обновления через существующие уязвимые установки pip несет в себе остаточный риск перехвата. Чтобы гарантировать, что при начальной загрузке будут извлечены аутентифицированные двоичные файлы колеса, разработчики предоставили криптографически проверенные строки прямой установки колеса, связанные криптографическими дайджестами SHA-256, гарантируя, что первоначальные обновления менеджера пакетов не могут быть перехвачены при ненадежных сетевых подключениях.

## Влияние на рынок и отрасль

Эта рекомендация вызвала немедленную мобилизацию корпоративных команд DevSecOps, поставщиков облачной инфраструктуры и реестров управляемых контейнеров. Основные облачные платформы, включая Amazon Web Services, Google Cloud и Microsoft Azure, инициировали обновление базовых образов для всего парка управляемых сред выполнения Python для бессерверных функций и служб контейнерного развертывания.

На предприятиях, занимающихся коммерческим программным обеспечением, группы безопасности проверяют внутренние спецификации модулей Dockerfiles и Kubernetes, чтобы выявить незакрепленные базовые образы, которые могут случайно извлечь уязвимые двоичные файлы pip на этапах сборки контейнера. Специалисты по корпоративному соответствию требуют обновления автоматического сканера безопасности для обнаружения и блокировки сборок, содержащих версии сертификатов, предшествующие 2026.10.19.

И наоборот, организации, использующие устаревшие монолитные кодовые базы на устаревших версиях Python, сталкиваются с немедленным устранением технического долга. Поскольку Python Software Foundation не будет выпускать официальные двоичные файлы безопасности для Python 3.10 или более ранних ветвей, предприятия, поддерживающие старые критически важные приложения, вынуждены заключать контракты со сторонними коммерческими поставщиками расширенной поддержки или ускорять давно отложенные инициативы по модернизации среды выполнения.

## За чем следить дальше

В ближайшие дни исследователи безопасности будут отслеживать телеметрию глобального индекса пакетов, чтобы определить, пытались ли злоумышленники организовать активные атаки с перехватом TLS на конечные точки загрузки пакетов. Руководители разработки корпоративного программного обеспечения будут отслеживать темпы принятия исправлений в общедоступных зеркальных сетях, чтобы обеспечить повсеместное удаление скомпрометированных сертификатов.

В то же время Управление по упаковке Python рассматривает предложения по модернизации взаимодействия pip с доверенными хранилищами хост-платформы. Рабочие группы оценивают, должны ли будущие стандарты упаковки по умолчанию включать встроенную интеграцию сертификатов операционной системы, что позволит системным администраторам применять централизованную политику отзыва сертификатов, не полагаясь на периодические выпуски пакетов. Наконец, группы корпоративных инженеров будут следить за выпуском альфа-версий Python 3.16, поскольку специалисты по сопровождению языка завершают работу над усовершенствованиями безопасности среды выполнения следующего поколения.

## Источники

- [Python Software Foundation Рекомендации по безопасности](https://www.python.org/news/security-update-cpython-pip-certifi-ca-revocation-october-2026)
- [База данных рекомендаций по безопасности GitHub](https://github.com/advisories/GHSA-certifi-emudhra-revocation-python-supply-chain)
- [Отчет об инфраструктуре экосистемы Substack Python](https://sethmlarson.substack.com/p/python-supply-chain-emergency-pip-certifi-release)

Mentions: Python Software Foundation, CPython, PyPI, eMudhra

## Sources
- [Python Software Foundation Рекомендации по безопасности](https://www.python.org/news/security-update-cpython-pip-certifi-ca-revocation-october-2026)
- [База данных рекомендаций по безопасности GitHub](https://github.com/advisories/GHSA-certifi-emudhra-revocation-python-supply-chain)
- [Отчет об инфраструктуре экосистемы Substack Python](https://sethmlarson.substack.com/p/python-supply-chain-emergency-pip-certifi-release)