Python 3.15.2, 3.14.10, 3.13.18, 3.12.16 and 3.11.18 are out
Python 3.15.2, 3.14.10, 3.13.18, 3.12.16, 3.11.18 보안 업데이트 공개
Python이 지원 중인 다섯 버전의 보안 업데이트를 공개했습니다. 침해된 eMudhra 중간 인증기관 키를 차단했으며, 일반적인 pip 사용은 pip를 아직 업데이트하지 않아도 해당 키를 악용한 공격으로부터 보호됩니다.
- 주제
에디터 노트
이번 업데이트에서 우선 볼 부분은 침해된 eMudhra 중간 인증기관 키를 Python의 ssl 모듈이 거부하도록 한 조치입니다. Python Blog는 이를 마지막 방어책이라고 설명하며, pip가 구버전이어도 일반적인 설치와 pip 자체 업그레이드는 해당 키를 이용한 공격으로부터 안전하다고 명시합니다. 이 안내는 일반적인 pip 사용에 한정되므로 모든 인증서 검증 상황까지 포괄한다고 넓혀 읽을 근거는 없습니다. 댓글 하나는 여러 가상환경을 업데이트해야 하는 번거로움을 말하면서 인증서 수정은 반깁니다. 릴리스 공지는 업데이트를 권장하지만, 버전별로 바이너리 설치 파일 제공 여부와 포함된 수정이 다릅니다. 특히 세 버전은 소스만 배포하므로 업데이트 방법은 사용 중인 Python 버전에 따라 달라집니다.
AI 요약
Python이 3.15.2, 3.14.10, 3.13.18, 3.12.16, 3.11.18 보안 릴리스를 공개했습니다. 침해된 eMudhra 중간 Certificate Authority(CA) 키를 ssl 모듈에서 신뢰하지 않도록 처리했습니다. 이는 해당 키가 악용되는 것을 막기 위한 마지막 방어책이며, pip를 아직 업데이트하지 않은 경우에도 pip 설치와 pip 자체 업그레이드 같은 일반적인 사용은 관련 공격으로부터 안전하다고 안내했습니다.
공통 보안 수정
CVE-2026-115557은 침해된 eMudhra 중간 CA 키를 신뢰하지 않도록 수정합니다. CVE-2026-114583은 tarfile.tar_filter에서 목적지를 바꾸는 링크를 거부합니다. http.cookiejar는 음수 버전 쿠키를 거부합니다.
버전별 추가 수정
Python 3.13.18, 3.12.16, 3.11.18에는 번들 Expat을 2.9.0으로 업데이트하는 수정과 Windows에서 기본적으로 mimetypes.knownfiles를 읽지 않도록 하는 수정 등이 포함됐습니다. 이 수정들은 3.15.1과 3.14.9에 이미 반영됐습니다. Python 3.13.18과 3.12.16에는 tempfile.TemporaryDirectory 정리 과정의 경쟁 상태 수정도 포함됐으며, 3.15.0과 3.14.9에 먼저 반영됐습니다.
3.15.2와 3.14.10은 바이너리 설치 파일을 제공합니다. 3.13.18, 3.12.16, 3.11.18은 소스 코드만 배포합니다.
Reddit 반응
- @japaget — 침해된 eMudhra 중간 인증기관 키를 다루는 또 다른 보안 업데이트입니다. https://blog.python.org/2026/10/python-3152-31410-31318-31216-31118/ 를 참고하세요.
- @Appropriate_Snow2660 — 새 프로젝트를 막 시작하려던 참에 또 보안 업데이트라니 좋네요. 코드를 쓰는 대신 저녁 내내 모든 가상환경을 업데이트하게 생겼습니다. 그래도 그 인증서 문제를 고친 건 다행입니다. 꽤 위험해 보였거든요.
원문: Python Blog / 번역·요약: Trawling