8 промежуточных CA eMudhra утекли — обновите certifi, pip и uv

Утекли закрытые ключи восьми промежуточных сертификатов eMudhra — Simon Willison сводит инцидент с тем, что любой софт со встроенным списком доверенных сертификатов нужно обновить: иначе проверка TLS опирается на устаревший или скомпрометированный набор. Цепочка идёт к корням из программ доверия Mozilla, Microsoft, Apple и Chrome и во многие производные хранилища.

Кто уже выпустил патчи, собрано в репозитории на GitHub; на Linux чаще всего нужен свежий пакет ca-certificates в дистрибутиве. Для Python уже выкатили списки с отозванными узлами: certifi 2026.10.19, pip 26.2.2 и uv 0.13.4 — имеет смысл подтянуть и локальное окружение, и образы CI, если оттуда идут исходящие HTTPS-запросы.

Проверьте certifi в venv, системный ca-certificates на машине и в контейнере, строки в lockfile. Пока обновления не доехали, для сервисов, которые ещё не отозвали скомпрометированные промежуточные сертификаты, теоретически возможна подмена в цепочке доверия.

Источник: eMudhra Intermediate CA Compromise.