이번 소식
Python 개발팀이 2026년 10월 26일 공식 블로그에서 5개 계열의 긴급 보안 수정판을 안내했습니다. 대상은 3.15.2, 3.14.10, 3.13.18, 3.12.16, 3.11.18입니다. 핵심은 공식 발표가 손상됐다고 설명하는 eMudhra 중간 인증기관 키를 ssl 모듈에서 차단하는 변경입니다.
달라진 점
- CVE-2026-115557: 문제가 된 인증서 키를 신뢰하지 않도록 변경했습니다. Python 개발팀은 업데이트한 Python에서는 pip 자체를 업데이트하는 경우를 포함한 일반적인 pip 사용이 해당 키를 이용한 공격으로부터 보호된다고 설명합니다. pip가 아직 업데이트되지 않은 경우도 포함한 설명이며, 모든 종류의 공격을 막는다는 뜻은 아닙니다.
- CVE-2026-114583: 압축 파일을 다루는
tarfile.tar_filter에서 대상 위치를 바꾸는 링크를 거부하도록 수정했습니다. http.cookiejar는 버전 값이 음수인 쿠키를 거부합니다. 위 세 변경은 다섯 수정판에 모두 포함됩니다.
어떤 점이 달라지나요?
Python으로 프로그램을 개발하거나 운영하는 담당자가 확인할 업데이트입니다. Python에 추가 패키지를 설치하는 도구인 pip를 사용할 때도 이번 인증서 키 차단이 적용됩니다. 특정 서비스의 피해나 실제 공격 발생을 새로 확인했다는 발표는 아닙니다.
앞서 전한 Firebase C++·Unity의 인증서 저장소 업데이트와 관련된 인증서 문제지만, 이번에 추가된 사실은 Python 자체의 ssl 모듈 차단과 다섯 계열 수정판입니다. Firebase SDK를 업데이트하는 것과 Python을 업데이트하는 것은 서로 다른 제품의 조치입니다.
사용 전 확인할 점
3.15.2와 3.14.10은 바이너리 설치 파일을 제공하며, 3.13.18·3.12.16·3.11.18은 소스 코드만 제공하는 보안 릴리스입니다. 모든 계열에 같은 설치 파일이 있다고 생각하지 말고 현재 사용하는 계열과 배포 방식을 확인해야 합니다. 개발팀은 영향받는 버전 이용자에게 업데이트를 강하게 권고했습니다.
이 글의 공지 날짜는 공식 블로그의 10월 26일 표기입니다. Python 3.15.2 개별 다운로드 페이지에는 릴리스 날짜가 10월 25일로 표시됩니다. 공지 날짜와 개별 배포 날짜를 구분하며, 정확한 발표 시각을 임의로 붙이지 않습니다.
새 글 받아보기
RSS 리더에서 BlogFlow의 새 글을 확인할 수 있습니다.
