OS 打「丁」仍不夠 內建憑證成最大漏洞
【注意 ⚠️】小編四點才剛睡，結果 8 點就腿抽筋痛醒了，打開手機一看︰「Fu .... ck 」 !! Python 官方資安團隊發布緊急安全警報，指出因受信任的憑證授權機構（Certificate Authority, CA）私鑰遭外洩，導致 Python 生態系的 HTTPS 安全通訊出現重大漏洞。攻擊者可利用外洩的憑證發動中間人攻擊（MITM），偽冒 Python 官方網站（python.org）及 PyPI 套件庫（pypi.org），誘騙開發者與伺服器下載含有惡意程式的軟體。官方強烈呼籲所有開發者與系統管理員，現在必須立即更新 pip、certifi、uv 等封裝管理工具，並重新建置「所有」 Docker 容器映像檔。
Python 官方指出，本次安全事件源於印度憑證機構 eMudhra（emSign）的中間憑證（Intermediate CA）金鑰外洩。調查顯示，共有 8 組關鍵私鑰遭到外洩，且部分金鑰生成時因加密實作存在嚴重瑕疵、強度極弱，攻擊者幾乎能在極短時間內完成破解與利用。
中間憑證扮演著「受信任根憑證」與「一般伺服器憑證」之間的信任橋樑。一旦中間憑證私鑰落入不法分子手中，攻擊者便能針對任意網域簽發在數學結構上完全有效、且能通過客戶端驗證的偽冒憑證。這意味著，當開發者或自動化部署管線存取官方服務時，網絡流量若遭攔截，客戶端系統將難以察覺連線已被劫持，進而可能將惡意伺服器視為合法的 PyPI 套件庫並下載惡意程式碼。
值得注意的是，僅完成作業系統層級（OS）的安全修補程式，並無法完全抵禦本次威脅。資安團隊解釋，Python 套件管理工具 pip 為了跨平台運作相容性，長期採用將根憑證包套件 certifi 內嵌（vendored）的機制。在預設情況下，pip 會同時載入作業系統憑證庫與其內建的 certifi 憑證。因此，即便管理員已在作業系統層級撤銷了問題根憑證，若系統內執行的是舊版 pip，該工具仍會依照內建憑證名單信任遭洩漏的憑證鏈，導致防護出現破口。
除了本機開發環境外，Docker 等容器化環境（Container）及無伺服器（Serverless）架構亦面臨相同風險。許多現存的容器映像檔在打包時固化了舊版憑證庫，若未重新編譯或手動更新套件，仍將暴露於中間人攻擊的風險之中。
因此，Python 官方已陸續釋出緊急修正版本，並針對各類環境提出修復指引︰
◾套件管理工具升級：開發者應盡速將套件工具升級至安全版本，包含 pip >= 26.2.2、certifi >= 2026.10.19、uv >= 0.13.4 以及 sigstore >= 4.5.1。
◾虛擬環境全面清查：檢查所有專案虛擬環境（venv / virtualenv），逐一升級內部獨立安裝的 pip 與 certifi，避免殘留過期憑證。
◾必須重建所有容器映像檔：更新 Dockerfile 基礎映像檔（Base Image）中的 CA 憑證套件，並重新建置（Rebuild）所有上線中的應用程式容器。
資料來源:
