Python 3.15.2 紧急安全版：ssl 拉黑 eMudhra 中间 CA，顺带修 tarfile 与 cookie

Python 官方于 2026 年 10 月 25 日发布 Python 3.15.2。这是 3.15 系列的第二次维护版，也是一次加急安全发布。相对 3.15.1，本版纳入约 130 项缺陷修复、构建改进与文档更新，由约 70 名贡献者完成。[1]

核心安全动作针对被攻陷的 eMudhra 中间 CA 密钥。ssl 模块现已把这些密钥列入不信任名单，作为客户端侧的最后一道防线。官方特别说明：即便本机 pip 尚未单独升级，常规使用 pip（包括升级 pip 自身）也能避开基于这些泄露密钥的攻击。这对大量仍靠旧版 pip / 证书栈拉包的开发与 CI 环境很关键——升级解释器本身就能先挡住一条攻击路径。[1]

本版公开的安全内容还包括：

• CVE-2026-115557（gh-160040）：不信任已遭攻陷的 eMudhra 中间 CA 密钥

• CVE-2026-114583（gh-160097）：在 tarfile.tar_filter 中拒绝会替换解压目标的链接，降低恶意归档覆盖任意路径的风险

• gh-160300：在 http.cookiejar 中拒绝带负版本号的 cookie

下载页提供 Gzip / XZ 源码包、macOS 安装器、Windows 64/32/ARM64 安装器与嵌入式包，以及 Android、iOS 相关包，并附 Sigstore 签名与 SBOM，便于核验安装介质。[1]

若线上服务、容器镜像或开发机仍跑 3.15.1 及更早补丁，建议排进同一次维护窗口升到 3.15.2（或同系列后续安全版），并确认进程实际加载的是新解释器，而不是虚拟环境或镜像层里残留的旧二进制。

来源

[1] Python Release Python 3.15.2，2026年10月25日，查询日 2026-10-28。

#Python #Python3152 #ssl #eMudhra #安全更新