Python : cinq versions corrigent la faille eMudhra

Un correctif de l'interpréteur ne remplace pas celui de pip.

Python 3.15.2, 3.14.10, 3.13.18, 3.12.16 et 3.11.18 corrigent CVE-2026-115557 (CVSS 9,4), liée aux clés d'autorité eMudhra compromises : le module ssl refuse désormais les chaînes qui les utilisent. Elles corrigent aussi un contournement du filtre tar de tarfile (CVE-2026-114583) et un défaut de http.cookiejar. Le Python Release Team conseille aussi pip 26.2.2, certifi 2026.10.19 et uv 0.13.4.

27 octobre 20261 min de lectureintermédiairevidéo 1:19

Ce qui se passe

Le Python Release Team a publié en urgence 3.15.2 et 3.14.10 (avec installateurs binaires), puis 3.13.18, 3.12.16 et 3.11.18 (source seulement). Motif : les clés compromises des certificats d'autorité intermédiaires eMudhra (fiche du 21 octobre). Le module ssl les bloque désormais en dernier recours, et pip est protégé, même pour se mettre à jour, sans avoir été mis à jour lui-même.

Ce qui est corrigé

CVE-2026-115557 : clés eMudhra rejetées. Selon heise : CVSS 9,4, huit certificats aux clés privées triviales, l'une valant « 4 ».
CVE-2026-114583 : tarfile.tar_filter refuse les liens qui remplacent le dossier de destination ; sans cela, une extraction avec filter="tar" pouvait écrire hors de ce dossier.
gh-160300 : http.cookiejar ignore les cookies de version négative, dont le domaine n'était pas vérifié.
3.13, 3.12, 3.11 : Expat 2.9.0 (CVE-2026-77214, CVE-2026-102633) et CVE-2024-3220 (mimetypes.knownfiles, Windows) ; 3.13.18 et 3.12.16 : course dans tempfile.TemporaryDirectory.

Source : Python Insider, octobre 2026. Source en anglais. Gravité, clé « 4 » et versions de pip, certifi et uv : heise (allemand).