Aggiornamenti di sicurezza Python bloccano chiavi eMudhra compromesse
Testo scritto con l’intelligenza artificiale a partire da una fonte citata, senza revisione umana prima della pubblicazione.
Rilasciate Python 3.15.2, 3.14.10, 3.13.18, 3.12.16 e 3.11.18 con patch che impediscono l'uso delle chiavi intermedie e correggono più CVE critici.
Il modulo ssl di Python rifiuta le chiavi intermedie eMudhra compromesse. La Python Software Foundation pubblica versioni di emergenza: 3.15.2, 3.14.10, 3.13.18, 3.12.16 e 3.11.18. Sono release di sicurezza accelerate, mirate a prevenire abusi di quelle chiavi1.
L’impatto pratico riguarda subito pip. Le operazioni standard, compreso l’aggiornamento di pip, non risultano esposte ad attacchi che tentano di sfruttare i certificati coinvolti. Il rifiuto avviene dentro ssl, quindi scatta prima di qualsiasi controllo applicativo. In questo modo la protezione copre gli usi ordinari anche senza aggiornare pip1.
Il pacchetto di sicurezza comune include tre interventi. CVE-2026-115557, tracciata come gh-160040, introduce la sfiducia esplicita verso le chiavi intermedie eMudhra compromesse. Ssl le considera non attendibili e blocca le connessioni che le presentano. CVE-2026-114583, gh-160097, fa rifiutare a tarfile.tar_filter i link che sostituiscono la destinazione. Il filtro scarta questi link per prevenire sostituzioni della destinazione. Gh-160300 fa respingere a http.cookiejar i cookie con versione negativa, che risultano quindi scartati1.
Tre linee ricevono inoltre correzioni già incluse in 3.15.1 e 3.14.9. Nelle versioni 3.13.18, 3.12.16 e 3.11.18 arriva l’aggiornamento del bundle Expat alla 2.9.0, registrato come gh-158876, che chiude CVE-2026-77214 e CVE-2026-102633. Su Windows, Python non legge più di default mimetypes.knownfiles, come indicato in gh-159428 per CVE-2024-3220. Infine, gh-87720 risolve un caso limite di refolding e quoting degli header. Questi interventi entrano ora come patch di sicurezza nelle tre linee di manutenzione1.
Cambiano anche i formati di distribuzione. Le versioni 3.15.2 e 3.14.10 includono installer binari. Per 3.13.18, 3.12.16 e 3.11.18 sono disponibili solo release in formato sorgente, utili a integrare le patch nelle build esistenti1.
Le note chiariscono la natura accelerata delle release e l’obiettivo: tagliare sul nascere l’uso delle chiavi eMudhra compromesse, ora respinte dal modulo ssl. La protezione risiede nella libreria standard, quindi attivarla richiede l’aggiornamento di Python alla patch della propria linea. Per istruzioni e dettagli, conviene consultare la nota di rilascio ufficiale1.
Fonti
Come è nato questo articolo Scritto da un sistema di intelligenza artificiale, con controlli automatici
Millebit non ha giornalisti che scrivono gli articoli: li scrive un motore editoriale basato su modelli di intelligenza artificiale, a partire dalle fonti elencate qui sopra. Prima di uscire, ogni testo passa questi controlli:
- Fedeltà alle fonti. Un secondo passaggio toglie ogni affermazione che le fonti non sostengono. Valutazione su questo pezzo: 9/10.
- Anti-cliché. Un filtro scarta frasi fatte, enfasi e tic della prosa artificiale: superato.
- Giudizio editoriale. Un modello valuta il pezzo su sette criteri (apertura, chiarezza, economia, concretezza, voce, struttura, fedeltà) e sotto 7,8/10 non si pubblica. Questo articolo ha preso 8,1/10 dopo 1 revisione.
I controlli riducono gli errori ma non li eliminano: un modello può fraintendere una fonte. Per le decisioni importanti, risali alla fonte originale. Se trovi un errore, segnalacelo.
Il filo della storia
Per vedere Millebit nelle notizie principali di Google, aggiungilo alle tue fonti preferite. Oppure segui l’edizione di oggi, il feed RSS o La Sintesi.