eMudhra憑證事件波及Python，官方緊急更新pip，並提醒僅更新作業系統憑證仍不足

印度數位憑證業者eMudhra旗下emSign部分憑證出現安全問題，可能遭用於中間人攻擊。由於Python部分套件管理工具仍使用信任相關憑證的舊版清單，Python官方10月21日緊急發布安全更新。此次釋出的3.15.1、3.14.9及3.13.17版，更新內附的pip與憑證清單，以降低相關風險。

提供受信任根憑證清單的Python套件certifi，其維護團隊在安全公告中指出，部分emSign中繼憑證因私鑰安全性遭破壞而撤銷，因此已從套件的信任清單中移除相關根憑證。

此次發布的三個Python版本，均將內附的套件管理工具pip更新至26.2.2，該版pip包含certifi 2026.10.19，以應對這次憑證問題。不過，更新Python不代表既有虛擬環境也已完成修補。Python軟體基金會資安開發人員Seth Michael Larson在官方論壇發布的事件說明中指出，使用者須分別更新既有虛擬環境中使用的pip、certifi與uv，至少升級至pip 26.2.2、certifi 2026.10.19及uv 0.13.4；若使用容器部署，則須停用映像層快取後重新建置，以取得最新的系統憑證。

Python核心開發者Christian Heimes也在同一討論串中提醒，pip除了使用作業系統的憑證，也會讀取自身內附的certifi憑證清單，因此僅更新作業系統的憑證仍不足以排除舊版pip的風險，使用者須將pip更新至26.2.2以上。