「Python 3.15.2/3.14.10/3.13.18/3.12.16/3.11.18」リリース ─ 侵害されたeMudhraのCA鍵をブロック

　Python Software Foundationは10月25日(現地時間)、プログラミング言語「Python 3.15.2/3.14.10/3.13.18/3.12.16/3.11.18」をリリースした。

　「Python」は、簡潔な構文と豊富なライブラリを特徴とするオープンソースのプログラミング言語。Webアプリケーション、データ分析、機械学習、科学技術計算、システム管理など幅広い分野で利用されている。

　「Python 3.15.2」は、Python 3.15系列の最新メンテナンスリリース。侵害されたeMudhra／emSignの中間認証局(CA)鍵へ緊急対応するセキュリティアップデート、tarfileで展開先を置き換えるリンクをブロックするようになるなど、Python 3.15.1から約130件の修正、ビルド改善、文書更新も取り込まれた。

　今回、秘密鍵が侵害されたeMudhraの中間CA証明書を、Pythonの「ssl」モジュールが明示的に拒否するよう変更された(CVE-2026-115557への対応)。OSやCA証明書バンドルの更新が遅れている場合に備えた多層防御で、更新後のPythonでは、古いpipを使っている場合でも通常のpip更新を安全に開始できる。「tarfile.tar_filter」でアーカイブを展開する際、リンクによって展開先そのものを置き換えられる問題(CVE-2026-114583)も修正された。

　また、「Python 3.14.10」にも、Python 3.15.2と共通するセキュリティ修正と約120件の不具合修正などが含まれる。Python 3.15.2と3.14.10にはバイナリインストーラーが用意される一方、セキュリティ修正のみの段階にあるPython 3.13.18、3.12.16、3.11.18はソースのみの提供となる。

(川原 龍人/びぎねっと)

[関連リンク]
リリースアナウンス(Python 3.15.2)