KRITISVeröffentlicht am
Das Python-Team hat am Sonntag, dem 25. Oktober 2026, die Sicherheitsupdates 3.15.2, 3.14.10, 3.13.18, 3.12.16 und 3.11.18 veröffentlicht. Sie schließen die Schwachstelle CVE-2026-115557 (CVSS 9,4). Ursache sind kompromittierte Schlüssel von acht Zwischenzertifikaten der Zertifizierungsstelle eMudhra: Die privaten Schlüssel waren trivial zu erraten, einer lautete schlicht „4“. Damit konnten Angreifer gültige Zertifikate für beliebige Domains ausstellen. Das ssl-Modul lehnt Zertifikatsketten mit diesen Schlüsseln nun ab. Zusätzlich beheben die Updates eine Lücke im tarfile-Modul (CVE-2026-114583, CVSS 6,9) und eine Prüflücke bei Cookies in http.cookiejar. Binäre Installer gibt es nur für 3.15.2 und 3.14.10, die übrigen drei Versionen erscheinen als Quellcode. Das Release-Team rät außerdem zu pip 26.2.2, certifi 2026.10.19 und uv 0.13.4 oder neuer. Für Banken und Versicherer, die Python in Auswertungen, Schnittstellen oder Automatisierung einsetzen, bedeutet das: Zuerst klären, wo welche Python-Version läuft, auch in Build-Umgebungen und Container-Images. Danach die Updates nach der Kritikalität der Anwendung einplanen und das Zertifikatspaket (certifi) mit aktualisieren. Die Fundstelle der Versionen und Kennungen ist der Bericht von heise online; die Angaben stammen laut Bericht aus dem Python-Blog.