2026-10-24
eMudhra（emSign）の中間証明書の鍵が弱く割り出せた件で、Pythonの利用者がやること：pip・certifi・uvの更新と確認
2026年10月17日、インドの認証局eMudhraの中間証明書8件（うちTLS用6件）の秘密鍵が、生成の不具合で誰でも割り出せる状態だったと報告された。eMudhraは10月18日に8件を失効させ、ChromeとFirefoxは10月17日のうちに配信の仕組みで遮断した。Mozillaは10月20日、親のルート証明書「emSign ECC Root CA - G3」の信頼を緊急で外すと決め、Chromeも10月27日（米太平洋時間）に外す。ブラウザは守られたが、ブラウザ以外のTLSの利用者は、自分が持つ証明書の一覧を更新するまで偽の証明書を信頼しうる。Pythonでは、pipが同梱のcertifiを常に読み込むため、OSの証明書を直しても古いpipは危ないままになる。Pythonのプロジェクトは10月20日に告知を出し（10月22日まで更新）、certifi 2026.10.19、pip 26.2.2、uv 0.13.4、sigstore 4.5.1、conda 26.9.4、pixi 0.82.1以上への更新と、コンテナイメージのキャッシュなしの作り直しを求めている。10月21日にはpip 26.2.2を同梱したPython 3.15.1・3.14.9・3.13.17を出した。3.11と3.12には新しいpipを同梱した版は出ない。これはCPythonでコードを実行される欠陥ではなく、通信の途中に入れる攻撃者が、PyPIやpython.orgなどへの通信を偽のサーバーにつなぎ替えうるという問題。実際に悪用されたという発表は、10月24日時点で見当たらない。eMudhraは10月22日、世界向けのSSL/TLS証明書の事業から撤退すると発表した。当サイトの結論：すべての環境でpipを26.2.2以上に、certifiを2026.10.19以上に上げ、Dockerイメージはキャッシュなしで作り直し、ロックファイルのcertifiの固定も上げる。