В публикации от 20 октября Саймон Уиллисон сообщил, что были скомпрометированы закрытые ключи восьми промежуточных сертификатов eMudhra. Для Python он перечислил выпуски uv 0.13.4, pip 26.2.2 и certifi 2026.10.19 с обновлёнными списками сертификатов. Сообщение Уиллисона о компрометации и выпусках.
Почему речь идёт о доверии к TLS
Промежуточный сертификат участвует в цепочке, по которой программа связывает сертификат сайта с корневым сертификатом из доверенного списка. Уиллисон пишет, что сертификаты eMudhra ведут к корням, которым доверяют программы Mozilla, Microsoft, Apple и Chrome, а также многие нижестоящие хранилища доверия. Поэтому сообщение касается программ, которые используют соответствующие списки при проверке сертификатов.
Какие обновления перечислены
Для Python Уиллисон указывает uv 0.13.4, pip 26.2.2 и certifi 2026.10.19 как выпуски с обновлёнными списками сертификатов. Он также пишет, что обновления нужны программам со встроенными списками доверенных сертификатов и пакетам ca-certificates в дистрибутивах Linux. Пользователям и администраторам стоит выяснить, какие компоненты сертификатов применяются в их среде, и свериться с актуальными выпусками используемых пакетов.
Сведения о компрометации и перечисленные обновления приведены в публикации Уиллисона; предоставленные материалы не подтверждают независимо масштаб инцидента или то, какие конкретно организации затронуты. Само перечисление версий не устанавливает, какие пакеты использует отдельная система.
