Python 发布 3.15.2 等五版安全更新，修复证书与 tarfile 等问题

Python 官方博客 Python Insider 于2026年10月26日宣布，加速发布安全更新版本：Python 3.15.2、3.14.10、3.13.18、3.12.16 与 3.11.18。博文由发布经理 Hugo van Kemenade 等署名，称上述版本针对受影响线路紧急推出。[1]

五版共同修复的安全内容包括三项：CVE-2026-115557（gh-160040）——不信任已泄露的 eMudhra 中间 CA 密钥，由 ssl 模块作为最后一道防线拦截其使用，使即使尚未升级的 pip，在常规安装与自升级场景下也不易受基于该泄露密钥的攻击；CVE-2026-114583（gh-160097）——拒绝 tarfile.tar_filter 中替换目标目的地的链接；以及 gh-160300——拒绝 http.cookiejar 中版本号为负的 cookie。[1]

发行形态上，Python 3.15.2 与 3.14.10 提供二进制安装包；3.13.18、3.12.16 与 3.11.18 为仅源码安全发布。后三版还包含此前已并入 3.15.1 / 3.14.9 的修复，例如将捆绑 Expat 更新至 2.9.0（CVE-2026-77214、CVE-2026-102633）、Windows 上默认不读取 mimetypes.knownfiles（CVE-2024-3220），以及 tempfile.TemporaryDirectory 清理过程中的竞态条件修复等。官方附上各版本 changelog 链接，并建议受影响版本用户尽快升级。[1]

对日常开发与运维而言，若机器仍运行 3.11—3.15 任一受影响小版本，应按发行说明核对本机版本号后完成升级或重建镜像；仅依赖系统包管理器的环境，需等待对应发行版同步安全包。[1]

安全公告特别强调：即便用户尚未单独升级 pip，只要解释器侧 ssl 模块已纳入对泄露中间 CA 的不信任策略，常规的 pip 安装与自升级路径也可降低相关证书伪造风险。tarfile 过滤规则收紧，则主要影响解包不可信归档的场景；cookiejar 对负版本 cookie 的拒绝，属于 HTTP 客户端健壮性修补。生产环境建议在测试流水线验证依赖兼容性后再滚动升级。[1]

完整细节见各版本 changelog：3.15.2、3.14.10、3.13.18、3.12.16、3.11.18。发布团队还呼吁通过志愿者或向 Python Software Foundation 捐助支持后续维护。[1]

说明：据 Python Insider 官方博文；升级前请核对本机版本与发行说明。

来源

[1] Python Insider: Python 3.15.2, 3.14.10, 3.13.18, 3.12.16 and 3.11.18 are out，2026年10月26日。

#Python #安全更新 #3.14.10 #ssl #tarfile