「Python 3.15.1」などが前倒しで公開、認証局「eMudhra」の侵害に対処

「eMudhra」「emSign」のセキュリティインシデントに関する「Python」の公式フォーラムでの案内

　スクリプト言語「Python」の開発チームは10月21日（協定世界時）、「Python」のアップデートを発表した。現在、以下のバージョンが利用可能。「Python 3.15」シリーズは、これが初のメンテナンスアップデートとなる。

• Python 3.15.1
• Python 3.14.9
• Python 3.13.17

　今回のアップデートは、いずれも同梱の「pip」を更新するために前倒しで実施されたセキュリティリリース。インドの認証局「eMudhra」の中間証明書をめぐるセキュリティインシデントに対応したものだ。同社の公開認証局（CA）ブランド「emSign」のうち、問題の中間証明書に関連するルートCA証明書を信頼対象から外す必要が生じたため、「certifi」などのCA証明書バンドルから削除された。TLS通信が中間者攻撃（MITM）の対象になる可能性があり、できるだけ早い対応が必要だ。

　既存の仮想環境についても、それぞれの環境内で「pip」「certifi」「uv」など、使用している関連パッケージを更新する必要がある。

• certifi 2026.10.19
• pip 26.2.2
• uv 0.13.4
• sigstore 4.5.1
• pixi 0.82.1

　とくに「pip」の更新は重要。「pip」はOSの証明書ストアに加え、自身に同梱された「certifi」も利用するため、OS側で問題の証明書を無効化していても、「pip」は引き続き危険な証明書を信頼してしまう可能性がある。

　なお、「Python 3.13」は先日、セキュリティ修正のみを提供する段階に入ったため、本来であれば「pip」のアップデートは行われない。しかし、今回は特別にインストーラー付きのリリースが用意されているとのこと。

　「Python」のバイナリは現在、公式サイト「python.org」から無償でダウンロード可能。Windows環境では「Python Install Manager」からインストール・アップデートできる。