Python bloque des clés de certification compromises

Ce qui change

Python (langage de programmation) a annoncé, le 26 octobre 2026, cinq versions de sécurité : 3.15.2, 3.14.10, 3.13.18, 3.12.16 et 3.11.18. Elles ajoutent un blocage de clés compromises appartenant à des autorités de certification intermédiaires eMudhra (organismes qui signent des certificats numériques). Annonce Python.

Une clé d’autorité de certification compromise peut servir à produire des certificats permettant une interception des échanges. Le bulletin certifi (ensemble de certificats racines de confiance utilisé par des logiciels Python) décrit ce risque d’attaque par intermédiaire. Il ne constitue pas une preuve que votre entreprise a subi une telle attaque. Bulletin certifi.

Lorsque la vérification des certificats est activée, le module ssl de Python (composant chargé des connexions sécurisées) rejette désormais les chaînes de certificats contenant les clés visées. Le contrôle porte sur la clé publique (partie partageable de la paire de clés utilisée pour vérifier une signature) : les certificats portant une autre signature mais réutilisant cette clé sont également bloqués. Sous cette même condition, cette protection fonctionne aussi lorsqu’une application fournit son propre ensemble de certificats racines de confiance. Elle ne protège pas les connexions dont la vérification des certificats est désactivée. Documentation Python, conditions de vérification.

Quelles entreprises doivent vérifier leurs installations

Le sujet concerne votre entreprise si ses applications, traitements ou outils de développement utilisent Python et ses connexions sécurisées. Faites porter la vérification sur les installations effectivement utilisées, y compris les environnements virtuels (environnements logiciels séparés propres aux projets).

Python 3.10 et les versions antérieures sont en fin de vie et ne reçoivent plus de correctifs de sécurité du projet Python. Pour ces installations, prévoyez une migration vers une branche maintenue : les cinq correctifs annoncés ne couvrent pas ces anciennes branches. Consignes Python.

La protection de pip (outil d’installation des composants Python) dépend aussi de sa version et de sa configuration. Depuis pip 24.2, les certificats système sont utilisés par défaut en complément de certifi sur Python 3.10 ou ultérieur ; sur Python 3.9 et antérieur, seul certifi est utilisé. Avant pip 24.2, les certificats système ne sont pas utilisés par défaut ; une activation volontaire est disponible depuis pip 22.2 avec l’option –use-feature=truststore. L’option –use-deprecated=legacy-certs permet de désactiver leur utilisation. Examinez donc aussi les composants fournis avec les outils. Documentation pip, journal pip.

Pour les versions distribuées directement par le projet Python, des installateurs sont proposés pour 3.15.2 et 3.14.10. Les correctifs 3.13.18, 3.12.16 et 3.11.18 sont distribués uniquement sous forme de sources. Annonce Python.

Des corrections déjà disponibles

Les consignes de sécurité ont été publiées le 20 octobre ; l’annonce des cinq versions Python date du 26 octobre. Il s’agit d’une intervention à engager maintenant, sans attendre une échéance réglementaire. Consignes de sécurité.

Le journal de pip date sa version 26.2.2 du 20 octobre 2026 et confirme qu’elle intègre certifi 2026.10.19. Le bulletin certifi identifie un premier correctif en 2026.10.18 ; les consignes Python recommandent 2026.10.19 pour préserver la compatibilité avec les certificats emSign non concernés. Journal pip, consignes Python.

Les actions à confier à votre équipe technique

• Recenser les installations Python utilisées et les environnements virtuels existants ; attribuer la vérification à un responsable.
• Déployer le correctif adapté sur les branches maintenues, après vérification du mode de distribution ; organiser la migration des installations Python 3.10 et antérieures vers une branche maintenue.
• Vérifier pip et certifi ; appliquer les versions recommandées, mettre à jour pip et uv (autre outil de gestion des composants Python) dans les environnements virtuels existants, puis contrôler les autres outils présents contre la liste complète des consignes officielles.
• Pour mettre à niveau un ancien pip, suivre la procédure officielle de téléchargement avec empreinte SHA-256 (somme de contrôle permettant de vérifier l’intégrité du fichier).
• Reconstruire les images de conteneurs (modèles regroupant une application et ses composants) sans cache des couches (réutilisation d’étapes déjà construites), afin de récupérer les certificats système actualisés, conformément aux consignes Python.

Pour les composants Python du périmètre confié, VCSTS entretient les protections et précise les responsables des mises à jour.