Python 3.15.2など5版を前倒し公開 sslでeMudhraの鍵を遮断

10月21日に続いて、Pythonがもう一度、前倒しのセキュリティリリースを出しました。21日の更新は、同梱のpipとルート証明書の一覧を入れ替えるものでした。今回は、Python本体のsslモジュールが、インドの認証局eMudhraの破られた中間CAの鍵を含む証明書を、じかにはじくようになります。

公開されたのは、3.15.2・3.14.10・3.13.18・3.12.16・3.11.18の5つです。python.orgのリリースのページの日付は10月25日で、開発チームのブログ「Python Insider」は26日付で告知しました。

pipを更新していなくても守られるのか

Pythonの説明では、守られます。pipのふつうの使い方は、pip自身の更新も含めて、pipが古いままでも、破られた鍵を使った攻撃から守られるとしています。

仕組みは、sslモジュールの中の小さな「使ってはいけない鍵」の一覧です。証明書を検証するときに、連なりの中の証明書の公開鍵(SubjectPublicKeyInfo)を一覧と照らし、一致すれば接続を拒みます。証明書ではなく鍵で照らすので、同じ鍵を使い回したクロス証明書もはじけます。

修正を提案した開発者は、その理由を次のように書いています。信頼を外すのは本来ルートストアの仕事だが、更新は実際には遅れる。中間CAの失効を、アプリまで確実に届ける方法もない。ルートが外れるまでのあいだ、Pythonは破られた鍵を使った接続を成り立たせてしまう。

同じ考え方の対策は、Goが10月20日に出しています(CVE-2026-111943)。eMudhraの件の経緯と、各社のルートストアの更新は、eMudhra、中間CAの鍵が破られSSL/TLS事業から撤退 証明書の差し替えとルートストアの更新をにまとめています。

ただし、この一覧が働くのは、証明書の検証を有効にした接続(CERT_OPTIONAL・CERT_REQUIRED)だけです。検証を切ったCERT_NONEの接続は対象外です。requestsでverify=Falseにしているスクリプトや、検証しないコンテキストを作っているコードは、今回の対策では守られません。

今回の5版で直ったもの

tarfileの修正は、外から受け取ったアーカイブを展開するプログラムで効いてきます。とくに、展開のフィルターに「tar」を指定しているコードです。信頼できないアーカイブには、Pythonのドキュメントは「data」フィルターをすすめています。

うちの会社は対象か Pythonの入れ方で分かれる

同じ「Python 3.13」でも、入れ方によって今回の修正の届き方が違います。

Pythonを使っていない会社や、Pythonで外とHTTPSの通信をしない使い方なら、sslの修正は関係ありません。tarfileとhttp.cookiejarは、それぞれの機能を使うプログラムだけが対象です。

社内のPythonを更新する手順

1. 社内のどこでPythonが動いているかを、入れ方ごとに洗い出します。開発者のPC、定期実行のサーバー、コンテナ、業務の自動化ツールが入れているPythonは、それぞれ別に更新が要ります。版はpython -V(Linuxではpython3 -V)で確かめられます。
2. 3.15・3.14をpython.orgから入れている端末は、3.15.2・3.14.10へ更新します。仮想環境の中のpipとuvは、21日の告知のとおり、別に最新にします。
3. 3.13を使い続ける端末は、少なくとも3.13.17になっているかを見ます。sslの一覧も入れたい場合は、3.14.10への移行を開発担当と相談します。
4. 証明書の検証を切っているコードを探します。verify=False、ssl._create_unverified_context、CERT_NONEなどの書き方です。今回の対策が効かないうえ、ふだんから危ない書き方なので、検証を有効に戻します。
5. 外から受け取ったtarを展開するプログラムがあれば、更新を先にします。あわせて、展開のフィルターに「data」を使っているかを確かめます。

21日の更新とは、守る場所が違う

21日と今回の更新は、置き換えではなく、重ねて効く対策です。

ルートストアやcertifiが古いままの環境でも、Python本体を更新すれば、破られた鍵を通る接続は止まります。逆に、Python本体をすぐに更新できない環境では、21日に案内されたpipとcertifiの更新と、OSのca-certificatesの更新が対策になります。どちらか一方で済ませず、更新できるところから順に入れていくのが現実的です。