--- adresse: "https://qvestcon.com/dora-update-markus-junge/python-updates-schliessen-kritische-tls-luecke_586404a2/" titel: "Python-Updates schließen kritische…" beschreibung: "Das Python-Team hat am Sonntag, dem 25. Oktober 2026, die Sicherheitsupdates 3.15.2, 3.14.10, 3.13.18, 3.12.16 und…" sprache: "de-DE" stand: "2026-11-02" --- Qvestcon News # Python-Updates schließen kritische TLS-Lücke (CVSS 9,4) Das Python-Team hat am Sonntag, dem 25. Oktober 2026, die Sicher­heits­up­dates 3.15.2, 3.14.10, 3.13.18, 3.12.16 und 3.11.18 ver­öf­fent­licht. Sie schließen die Schwachstelle CVE-2026-115557 (CVSS 9,4). Ursache sind kom­pro­mit­tierte Schlüssel von acht Zwi­schen­zer­ti­fi­ka­ten der Zer­ti­fi­zie­rungs­stelle eMudhra: Die privaten Schlüssel waren trivial zu erraten, einer lautete schlicht „4“. Damit konnten Angreifer gültige Zertifikate für beliebige Domains ausstellen. Das ssl-Modul lehnt Zer­ti­fi­kats­ket­ten mit diesen Schlüsseln nun ab. Zusätzlich beheben die Updates eine Lücke im tarfile-Modul (CVE-2026-114583, CVSS 6,9) und eine Prüflücke bei Cookies in http.cookiejar. Binäre Installer gibt es nur für 3.15.2 und 3.14.10, die übrigen drei Versionen erscheinen als Quellcode. Das Release-Team rät außerdem zu pip 26.2.2, certifi 2026.10.19 und uv 0.13.4 oder neuer. Für Banken und Versicherer, die Python in Auswertungen, Schnitt­stel­len oder Auto­ma­ti­sie­rung einsetzen, bedeutet das: Zuerst klären, wo welche Python-Version läuft, auch in Build-Umgebungen und Container-Images. Danach die Updates nach der Kritikalität der Anwendung einplanen und das Zer­ti­fi­kats­pa­ket (certifi) mit aktualisieren. Die Fundstelle der Versionen und Kennungen ist der Bericht von heise online; die Angaben stammen laut Bericht aus dem Python-Blog. [KRITIS](https://qvestcon.com/news/kritis/)Ver­öf­fent­licht am 02.11.2026 Das Python-Team hat am Sonntag, dem 25. Oktober 2026, die Sicher­heits­up­dates 3.15.2, 3.14.10, 3.13.18, 3.12.16 und 3.11.18 ver­öf­fent­licht. Sie schließen die Schwachstelle CVE-2026-115557 (CVSS 9,4). Ursache sind kom­pro­mit­tierte Schlüssel von acht Zwi­schen­zer­ti­fi­ka­ten der Zer­ti­fi­zie­rungs­stelle eMudhra: Die privaten Schlüssel waren trivial zu erraten, einer lautete schlicht „4“. Damit konnten Angreifer gültige Zertifikate für beliebige Domains ausstellen. Das ssl-Modul lehnt Zer­ti­fi­kats­ket­ten mit diesen Schlüsseln nun ab. Zusätzlich beheben die Updates eine Lücke im tarfile-Modul (CVE-2026-114583, CVSS 6,9) und eine Prüflücke bei Cookies in http.cookiejar. Binäre Installer gibt es nur für 3.15.2 und 3.14.10, die übrigen drei Versionen erscheinen als Quellcode. Das Release-Team rät außerdem zu pip 26.2.2, certifi 2026.10.19 und uv 0.13.4 oder neuer. Für Banken und Versicherer, die Python in Auswertungen, Schnitt­stel­len oder Auto­ma­ti­sie­rung einsetzen, bedeutet das: Zuerst klären, wo welche Python-Version läuft, auch in Build-Umgebungen und Container-Images. Danach die Updates nach der Kritikalität der Anwendung einplanen und das Zer­ti­fi­kats­pa­ket (certifi) mit aktualisieren. Die Fundstelle der Versionen und Kennungen ist der Bericht von heise online; die Angaben stammen laut Bericht aus dem Python-Blog. - [#Banken](https://qvestcon.com/stichwoerter/b/#banken) - [#Versicherer](https://qvestcon.com/stichwoerter/v-z/#versicherer) - [#Finanz­dienst­leis­ter](https://qvestcon.com/stichwoerter/f-h/#finanzdienstleister) - [#Prü­fungs­pla­nung](https://qvestcon.com/stichwoerter/p-r/#pruefungsplanung) - [#Qvestcon](https://qvestcon.com/stichwoerter/p-r/#qvestcon) - [#MarkusJunge](https://qvestcon.com/stichwoerter/m-o/#markusjunge) - [#Python](https://qvestcon.com/stichwoerter/p-r/#python) - [#Schwach­stel­len­ma­nage­ment](https://qvestcon.com/stichwoerter/s-u/#schwachstellenmanagement) - [#Infor­ma­ti­ons­si­cher­heit](https://qvestcon.com/stichwoerter/i-j/#informationssicherheit) [Ori­gi­nal­quelle: heise online →](https://www.heise.de/news/Python-schliesst-per-Update-kritische-TLS-Luecke-wegen-eMudhra-Schluesseln-11499933.html?wt_mc=nl.red.developer.developer-nl.2026-10-29.link.link) Diese Einordnung bezieht sich auf die verlinkte Ori­gi­nal­quelle. Sie ist keine Rechts­be­ra­tung im Einzelfall. [Kostenloses Erstgespräch anfragen →](https://qvestcon.com/kontakt/?von=News%3A%20Python-Updates%20schlie%C3%9Fen%20kritische%20TLS-L%C3%BCcke%20%28CVSS%209%2C4%29#erstgespraech) [Weitere Meldungen in KRITIS](https://qvestcon.com/news/kritis/) · [alle Qvestcon-News](https://qvestcon.com/news/)