PYSEC-2026-4320

certifi bundles emSign root CAs with compromised intermediate CA keys

CVSS 3.1SCORE

N/A/ 10.0

Опубликовано

20 октября 2026 г.

Обновлено

30 октября 2026 г.

В атаках

Не зафиксировано

Публичный PoC

Отсутствует

Анализ подготовлен:CVE Futuretools Threat Intelligence

Верификация: MITRE CVE List · CISA KEV · NIST NVD

ПАТЧ ДОСТУПЕН: ВЕРСИЯ 2026.10.18

Обновите пакет certifi до версии 2026.10.19, где скомпрометированные промежуточные цепочки исключены, а незатронутые корни emSign восстановлены.

01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ

Пакет certifi поставлял корневой сертификат emSign, связанный с скомпрометированными промежуточными CA eMudhra. Это создает вектор для атак MitM на сетевой стек Python.

02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ

Корневое хранилище certifi до версии 2026.10.18 содержало emSign ECC Root CA - G3. Закрытые ключи восьми цепочечных промежуточных CA eMudhra были скомпрометированы и отозваны эмитентом, однако доверие к корню сохранялось в бандле библиотеки.

03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ

Атакующий в позиции on-path (MitM) с доступом к скомпрометированным ключам может выпускать валидные TLS-сертификаты для произвольных хостов и перехватывать трафик утилит pip, requests и urllib3.

04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ

——

>= 2019.03.09➔Fix: 2026.10.18

05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (6)

github.comhttps://github.com/certifi/python-certifi/security/advisories/GHSA-6q48-6c7w-9gw2
discuss.python.orghttps://discuss.python.org/t/information-for-python-users-regarding-emudhra-emsign-ca-certificate-security-incident/109576
emudhra.we-have-a-problem.comhttps://emudhra.we-have-a-problem.com
github.comhttps://github.com/certifi/python-certifi
pypi.orghttps://pypi.org/project/certifi
github.comhttps://github.com/advisories/GHSA-6q48-6c7w-9gw2

06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК

Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:

Библиографическая ссылка (Plain text)

CVE Futuretools (2026). Анализ уязвимости PYSEC-2026-4320: certifi bundles emSign root CAs with compromised intermediate CA keys. URL: https://cve.futuretools.ru/cve/PYSEC-2026-4320

BibTeX формат (LaTeX)

@misc{cve_futuretools_pysec_2026_4320,
  title = {{PYSEC-2026-4320: certifi bundles emSign root CAs with compromised intermediate CA keys}},
  author = {{CVE Futuretools}},
  year = {2026},
  howpublished = {\url{https://cve.futuretools.ru/cve/PYSEC-2026-4320}},
  note = {Оперативный инженерный анализ киберугроз}
}