Python 3.14.10安全维护版发布：屏蔽遭泄露的eMudhra中间CA

Python官网于2026年10月25日发布 Python 3.14.10。这是 3.14 系列的第十个维护版，也是一次加急安全发布：相对 3.14.9，约有 120 项缺陷修复、构建改进与文档更新，来自 63 位贡献者。[1]

本次最核心的安全动作，是在 ssl 模块中不信任（distrust）遭泄露的 eMudhra 中间 CA 密钥（CVE-2026-115557 / gh-160040）。官方说明，此举作为最后防线，可降低用这些密钥发起攻击的风险；即便本地 pip 尚未升级，常规使用 pip（包括升级 pip 自身）也更不易被基于该泄露密钥的中间人攻击波及。[1]

同版还带了另外两项安全相关改动：[1]

• CVE-2026-114583 / gh-160097：在 tarfile.tar_filter 中拒绝会替换目标路径的链接，收紧解包过滤行为，降低恶意归档在过滤模式下改写落盘位置的风险。

• gh-160300：在 http.cookiejar 中拒绝负版本号的 cookie，避免异常版本字段进入后续解析路径。

安装包仍可从官网下载页获取，覆盖 Windows（含 64 位推荐安装包、32 位、ARM64 实验包与多款 embeddable 包）、macOS 10.15+ 安装包、Android aarch64/x86_64 embeddable，以及 Gzip/XZ 源码包；另提供 Windows release manifest，可用 py install 3.14 安装。各文件附带 Sigstore、部分含 SPDX SBOM，以及 SHA-256 校验和（例如 XZ 源码包校验和以发布页表格为准）。[1]

仍在使用 3.14 分支、尤其依赖 ssl 做 HTTPS 校验、或频繁用 pip 拉包的环境，建议尽快升到 3.14.10。若暂时不能升解释器，也应关注发行说明中关于 pip 与泄露 CA 的说明，并核对本机根证书与中间人防护策略。安全补丁细节以官网发布页与对应 CVE/Issue 为准。

来源

[1] Python 3.14.10，Python.org，发布日期 2026年10月25日。

#Python #Python3.14 #安全更新 #ssl #pip