Python 推出五個安全版本，封鎖受損 eMudhra 中繼 CA 金鑰
情報摘要
Python 10 月 26 日推出 3.15.2、3.14.10、3.13.18、3.12.16 及 3.11.18 安全版本，修正 tarfile 等問題，並由 ssl 模組封鎖受損的 eMudhra 中繼 CA 金鑰。HKCERT 10 月 27 日跟進通報，將相關漏洞評為中度風險。
五個版本均包含 CVE-2026-115557 的 eMudhra 金鑰封鎖措施，以及 CVE-2026-114583 的 tarfile.tar_filter 連結處理修正。Python 官方表示，ssl 的封鎖措施亦保護一般 pip 操作免受基於這些金鑰的攻擊，即使 pip 尚未更新；這不是對所有 TLS 或套件風險的保證。
各分支新增的修正並不相同：例如更新內附 Expat 及 Windows mimetypes 處理的修正，已包含於 Python 3.15.1 和 3.14.9，本輪再納入較舊分支的安全版本。
受影響產品
CPython 3.11、3.12、3.13、3.14、3.15 分支中，低於各自 3.11.18、3.12.16、3.13.18、3.14.10、3.15.2 修補版本的部署；個別漏洞適用範圍不同
適用讀者
Python 開發者、系統及容器維運團隊、依賴 Python TLS 與套件工具的組織
建議行動
按所用分支升級至 Python 3.11.18、3.12.16、3.13.18、3.14.10 或 3.15.2，並核對官方變更紀錄。3.15.2 及 3.14.10 提供二進位安裝程式；3.13.18、3.12.16 及 3.11.18 是僅提供原始碼的安全版本，使用發行版或容器套件者應核對其維護者提供的更新。
風險評級依據
採用 HKCERT 的中度風險評級；Python 官方稱為加快推出的安全版本，未給出整批漏洞的統一 CVSS 分數。
解讀限制
此文記錄 Python 的產品修補，與既有 eMudhra 憑證事件相關；封鎖受損金鑰不應改寫成新發生的 CA 系統入侵。
所核對公告未確認上述 Python 漏洞遭活躍惡意利用；不代表所有部署均沒有風險。
未有已核實的香港受害個案、部署數量或特定外洩資料。
資料來源
本機收藏只保存在此瀏覽器，不會自動同步或分享。