「Python」に再び「eMudhra」問題への対策、「Python 3.15.2」など5バージョンを提供

「Python」の公式ブログ「Python Insider」

　スクリプト言語「Python」の開発チームは10月25日（協定世界時、以下同）、「Python」のセキュリティアップデートを実施した。21日のアップデートに続き、インドの認証局「eMudhra」の中間証明書の秘密鍵が漏洩した問題に対し、追加の保護策が導入されている。現在、以下のバージョンが利用可能。

• Python 3.15.2
• Python 3.14.10
• Python 3.13.18
• Python 3.12.16
• Python 3.11.18

　本バージョンでは、侵害された中間CAの鍵を用いた攻撃への最後の砦として、「ssl」モジュールで接続をブロックする措置がとられているという（CVE-2026-115557）。

　これらのバージョンに「Python」がアップデートされていれば、「pip」自体が未更新でも、これらの鍵を悪用した攻撃から保護される。「pip」自身のアップデートも安全に行える。

　そのほかにも、5つのバージョンに共通して以下の修正が含まれているとのこと。

• CVE-2026-114583：「tarfile」の「tar_filter」で、展開先を置き換えるリンクを拒否するように
• 「http.cookiejar」で、バージョンが負の値のクッキーを拒否するように

　また、「Python 3.13.18」「Python 3.12.16」「Python 3.11.18」には、同梱ライブラリ「Expat」の更新（CVE-2026-77214、CVE-2026-102633）や、Windows環境の既定で「mimetypes.knownfiles」を読み込まないようにする修正（CVE-2024-3220）なども含まれている。上位系列の「Python 3.15.1」「Python 3.14.9」には、これらの修正がすでに含まれている。

　「Python」は現在、公式サイト「python.org」から無償でダウンロード可能。Windows環境では「Python Install Manager」からインストール・アップデートできる。

　なお、「Python 3.13.18」「Python 3.12.16」「Python 3.11.18」にはバイナリの提供はない。ソースコードのみのリリースとなっている点には注意。