CPython schließt kritische TLS-Lücke und weitere Sicherheitsprobleme
Das Python-Team hat die Sicherheitsupdates 3.15.2, 3.14.10, 3.13.18, 3.12.16 und 3.11.18 veröffentlicht. Für betroffene Installationen ist das vor allem wegen einer kritischen TLS-Schwachstelle wichtig: Kompromittierte Schlüssel von eMudhra-Zwischenzertifikaten konnten die Ausstellung gültiger Zertifikate für beliebige Domains ermöglichen. Wer eine der betroffenen Versionen einsetzt, sollte deshalb dringend aktualisieren.
Im Mittelpunkt steht CVE-2026-115557 mit einem CVSS-Wert von 9.4. Die privaten Schlüssel aller acht betroffenen CA-Zertifikate waren laut der vorliegenden Beschreibung leicht zu erraten. Das ssl-Modul weist Zertifikatsketten mit diesen Schlüsseln nach dem Update als zusätzliche Schutzmaßnahme zurück. Damit wird nicht nur die Validierung regulärer TLS-Verbindungen abgesichert: Auch pip-Updates bleiben gegen Angriffe mit den betroffenen Schlüsseln geschützt, selbst wenn pip selbst noch nicht aktualisiert wurde.
Für die unmittelbare Prüfung der Python-Umgebungen sind daher zwei Ebenen relevant. Erstens sollten Betreiber feststellen, welche der fünf genannten CPython-Versionen eingesetzt werden, und auf die jeweils verfügbare korrigierte Fassung wechseln. Binäre Installer gibt es laut Release-Hinweis nur für Python 3.15.2 und 3.14.10; die drei älteren genannten Releases werden ausschließlich als Quellcode bereitgestellt. Zweitens nennt das Python-Team zusätzlich konkrete Zielversionen für pip, certifi und uv: pip 26.2.2, certifi 2026.10.19 sowie uv 0.13.4 oder neuer.
Die Updates beheben außerdem zwei weitere sicherheitsrelevante Fehler. In tarfile konnte ein präparierter Link-Eintrag den Filter umgehen, sodass beim Entpacken Dateien außerhalb des vorgesehenen Zielverzeichnisses landen konnten. In http.cookiejar wurden Cookies mit negativer Versionsnummer bisher nicht auf ihre Domain geprüft. Ein Server konnte dadurch Cookies für fremde Domains setzen oder überschreiben, nach Angaben in der Beschreibung jedoch keine fremden Cookies auslesen.
Für ältere Python-Zweige kommen weitere Korrekturen hinzu. Python 3.13.18, 3.12.16 und 3.11.18 aktualisieren Expat auf 2.9.0 und schließen damit zwei dort genannte XML-Parser-Schwachstellen. Zusätzlich wird unter Windows die automatische Übernahme von MIME-Typen aus veränderbaren Dateien der knownfiles-Liste abgeschaltet. Bei Python 3.13.18 und 3.12.16 wird außerdem ein Fehler beim Löschen temporärer Verzeichnisse behoben, bei dem ein Unterverzeichnis während des Aufräumens durch einen symbolischen Link ersetzt werden konnte.
Die amtliche Sicherheitswarnung fasst die Folgen der CPython-Fehler als mögliche Manipulation von Dateien, Umgehung von Sicherheitsmaßnahmen und Offenlegung vertraulicher Informationen zusammen. Eine weitere Warnung beschreibt zudem eine aus der Ferne und anonym ausnutzbare Schwachstelle, die einen Denial-of-Service-Angriff ermöglichen kann. Für Betreiber ist damit die Prüfung der eingesetzten CPython-Versionen und das Einspielen der passenden Updates der belegte nächste Schritt.