26 октября команда Python объявила о внеплановых обновлениях безопасности пяти веток: 3.15.2, 3.14.10, 3.13.18, 3.12.16 и 3.11.18. Сама страница выпуска 3.15.2 датирована 25 октября. На Mentoring.digital разбираем, что меняется в проверке TLS-соединений и обработке архивов.
Модуль ssl блокирует скомпрометированные ключи
В обновления включена блокировка ключей промежуточных центров сертификации eMudhra. Она служит дополнительной защитой, пока изменения доверия к сертификатам распространяются по системам и приложениям. Проверка сопоставляет ключ, поэтому затрагивает и другие сертификаты, использующие тот же ключ.
Защита работает при включённой проверке сертификатов. Режим CERT_NONE она не превращает в безопасный. По сообщению команды Python, обычные операции pip в обновлённом интерпретаторе защищены от атак с использованием этих ключей, даже если сам pip ещё не обновлён. Это не обещание защиты от любых атак на пакеты.
Исправлены tarfile и обработка cookie
Во всех пяти выпусках исправлено поведение tarfile.tar_filter: фильтр отклоняет ссылки, заменяющие каталог назначения. Изменение связано с CVE-2026-114583. Также http.cookiejar теперь отклоняет cookie с отрицательной версией. Исправлению проверки ключей присвоен CVE-2026-115557.
Для 3.15.2 и 3.14.10 доступны бинарные установщики. Версии 3.13.18, 3.12.16 и 3.11.18 выпущены как обновления безопасности в исходном коде. Доступность готового пакета для конкретной системы нужно проверять у её поставщика.
Что проверить разработчику после обновления
Практический шаг для команды: составить список интерпретаторов, которыми действительно запускаются приложение, фоновые задачи и CI. Версия в одном терминале не подтверждает состояние остальных окружений.
- Зафиксируйте используемую ветку Python и способ её установки.
- После обновления проверьте запуск приложения, установку зависимостей и соединения с нужными HTTPS-сервисами.
- Если программа распаковывает внешние TAR-архивы, проверьте разрешённые сценарии на безопасных тестовых данных.
При ошибке сертификата сначала выясняйте причину и проверяйте цепочку доверия. Отключать проверку HTTPS ради успешного запроса не следует. Разобрать окружения, зависимости и сетевые вызовы приложения можно с наставником по Python.
