---
title: "Python 发布 3.15.2 等五版安全更新，修复证书与 tarfile 等问题 - Angryecho"
description: "Python 官方博客 Python Insider 于2026年10月26日宣布，加速发布安全更新版本：Python 3.15.2、3.14.10、3.13.18、3.12.16 与 3.11.18。博文由发布经理 Hugo van Kemenade 等署名，称上述版本针对受影响线路紧急推出。["
canonical_url: "https://www.angryecho.com/c/Python/p/P2TBBnaoRzw9eWMWJcxsE"
meta:
  "og:description": "Python 官方博客 Python Insider 于2026年10月26日宣布，加速发布安全更新版本：Python 3.15.2、3.14.10、3.13.18、3.12.16 与 3.11.18。博文由发布经理 Hugo van Kemenade 等署名，称上述版本针对受影响线路紧急推出。["
  "og:image": "https://www.angryecho.com/_og/d/c_Post%2Ctitle_~5ZCQ5qe9572R%2Cdescription_~5ZCQ5qe95LiA5LiL77yM5bCx5LiK5ZCQ5qe9572R44CC%2CpostId_P2TBBnaoRzw9eWMWJcxsE%2Crevision_~MjAyNi0xMC0yOFQwMjo1NjowMC4yNzc5NDRa%2Cp_Ii9jL1B5dGhvbi9wL1AyVEJCbmFvUnp3OWVXTVdKY3hzRSI%2Cs_7BcWV5pxtchuHdJF.png"
  "og:image:height": "630"
  "og:image:type": image/png
  "og:image:width": "1200"
  "og:title": "Python 发布 3.15.2 等五版安全更新，修复证书与 tarfile 等问题"
---

> Index of every page on this site: [llms.txt](https://www.angryecho.com/llms.txt)

# **Python 发布 3.15.2 等五版安全更新，修复证书与 tarfile 等问题**

Python 官方博客 Python Insider 于2026年10月26日宣布，加速发布安全更新版本：Python 3.15.2、3.14.10、3.13.18、3.12.16 与 3.11.18。博文由发布经理 Hugo van Kemenade 等署名，称上述版本针对受影响线路紧急推出。\[1]

五版共同修复的安全内容包括三项：CVE-2026-115557（gh-160040）——不信任已泄露的 eMudhra 中间 CA 密钥，由 ssl 模块作为最后一道防线拦截其使用，使即使尚未升级的 pip，在常规安装与自升级场景下也不易受基于该泄露密钥的攻击；CVE-2026-114583（gh-160097）——拒绝 tarfile.tar\_filter 中替换目标目的地的链接；以及 gh-160300——拒绝 http.cookiejar 中版本号为负的 cookie。\[1]

发行形态上，Python 3.15.2 与 3.14.10 提供二进制安装包；3.13.18、3.12.16 与 3.11.18 为仅源码安全发布。后三版还包含此前已并入 3.15.1 / 3.14.9 的修复，例如将捆绑 Expat 更新至 2.9.0（CVE-2026-77214、CVE-2026-102633）、Windows 上默认不读取 mimetypes.knownfiles（CVE-2024-3220），以及 tempfile.TemporaryDirectory 清理过程中的竞态条件修复等。官方附上各版本 changelog 链接，并建议受影响版本用户尽快升级。\[1]

对日常开发与运维而言，若机器仍运行 3.11—3.15 任一受影响小版本，应按发行说明核对本机版本号后完成升级或重建镜像；仅依赖系统包管理器的环境，需等待对应发行版同步安全包。\[1]

安全公告特别强调：即便用户尚未单独升级 pip，只要解释器侧 ssl 模块已纳入对泄露中间 CA 的不信任策略，常规的 pip 安装与自升级路径也可降低相关证书伪造风险。tarfile 过滤规则收紧，则主要影响解包不可信归档的场景；cookiejar 对负版本 cookie 的拒绝，属于 HTTP 客户端健壮性修补。生产环境建议在测试流水线验证依赖兼容性后再滚动升级。\[1]

完整细节见各版本 changelog：3.15.2、3.14.10、3.13.18、3.12.16、3.11.18。发布团队还呼吁通过志愿者或向 Python Software Foundation 捐助支持后续维护。\[1]

> 说明：据 Python Insider 官方博文；升级前请核对本机版本与发行说明。

## 来源

> \[1] [Python Insider: Python 3.15.2, 3.14.10, 3.13.18, 3.12.16 and 3.11.18 are out](https://blog.python.org/2026/10/python-3152-31410-31318-31216-31118/)，2026年10月26日。

#Python #安全更新 #3.14.10 #ssl #tarfile

排序方式 :

### **成为第一条评论！**

Nobody's responded to this post yet. Add your thoughts and get the conversation going.

```json
{"@context":"https://schema.org","@graph":[{"@id":"https://www.angryecho.com/c/Python/p/P2TBBnaoRzw9eWMWJcxsE#post","@type":"DiscussionForumPosting","commentCount":0,"dateModified":"2026-10-28T02:56:00.277Z","datePublished":"2026-10-25T04:00:00.000Z","description":"Python 官方博客 Python Insider 于2026年10月26日宣布，加速发布安全更新版本：Python 3.15.2、3.14.10、3.13.18、3.12.16 与 3.11.18。博文由发布经理 Hugo van Kemenade 等署名，称上述版本针对受影响线路紧急推出。[","headline":"Python 发布 3.15.2 等五版安全更新，修复证书与 tarfile 等问题","isPartOf":"https://www.angryecho.com/c/Python","mainEntityOfPage":"https://www.angryecho.com/c/Python/p/P2TBBnaoRzw9eWMWJcxsE","text":"Python 官方博客 Python Insider 于2026年10月26日宣布，加速发布安全更新版本：Python 3.15.2、3.14.10、3.13.18、3.12.16 与 3.11.18。博文由发布经理 Hugo van Kemenade 等署名，称上述版本针对受影响线路紧急推出。[1]\n\n五版共同修复的安全内容包括三项：CVE-2026-115557（gh-160040）——不信任已泄露的 eMudhra 中间 CA 密钥，由 ssl 模块作为最后一道防线拦截其使用，使即使尚未升级的 pip，在常规安装与自升级场景下也不易受基于该泄露密钥的攻击；CVE-2026-114583（gh-160097）——拒绝 tarfile.tar_filter 中替换目标目的地的链接；以及 gh-160300——拒绝 http.cookiejar 中版本号为负的 cookie。[1]\n\n发行形态上，Python 3.15.2 与 3.14.10 提供二进制安装包；3.13.18、3.12.16 与 3.11.18 为仅源码安全发布。后三版还包含此前已并入 3.15.1 / 3.14.9 的修复，例如将捆绑 Expat 更新至 2.9.0（CVE-2026-77214、CVE-2026-102633）、Windows 上默认不读取 mimetypes.knownfiles（CVE-2024-3220），以及 tempfile.TemporaryDirectory 清理过程中的竞态条件修复等。官方附上各版本 changelog 链接，并建议受影响版本用户尽快升级。[1]\n\n对日常开发与运维而言，若机器仍运行 3.11—3.15 任一受影响小版本，应按发行说明核对本机版本号后完成升级或重建镜像；仅依赖系统包管理器的环境，需等待对应发行版同步安全包。[1]\n\n安全公告特别强调：即便用户尚未单独升级 pip，只要解释器侧 ssl 模块已纳入对泄露中间 CA 的不信任策略，常规的 pip 安装与自升级路径也可降低相关证书伪造风险。tarfile 过滤规则收紧，则主要影响解包不可信归档的场景；cookiejar 对负版本 cookie 的拒绝，属于 HTTP 客户端健壮性修补。生产环境建议在测试流水线验证依赖兼容性后再滚动升级。[1]\n\n完整细节见各版本 changelog：3.15.2、3.14.10、3.13.18、3.12.16、3.11.18。发布团队还呼吁通过志愿者或向 Python Software Foundation 捐助支持后续维护。[1]\n\n\n\n说明：据 Python Insider 官方博文；升级前请核对本机版本与发行说明。\n\n来源\n\n\n\n[1] Python Insider: Python 3.15.2, 3.14.10, 3.13.18, 3.12.16 and 3.11.18 are out，2026年10月26日。\n\n#Python #安全更新 #3.14.10 #ssl #tarfile","url":"https://www.angryecho.com/c/Python/p/P2TBBnaoRzw9eWMWJcxsE","author":{"@type":"Person","name":"Rota.tech","url":"https://www.angryecho.com/u/P7H10185274"},"interactionStatistic":[{"@type":"InteractionCounter","interactionType":"https://schema.org/LikeAction","userInteractionCount":0},{"@type":"InteractionCounter","interactionType":"https://schema.org/DislikeAction","userInteractionCount":0},{"@type":"InteractionCounter","interactionType":"https://schema.org/ViewAction","userInteractionCount":0},{"@type":"InteractionCounter","interactionType":"https://schema.org/ShareAction","userInteractionCount":0}]}]}
```

## Sitemap

See the full [sitemap](https://www.angryecho.com/sitemap.md) for all pages.