Skip to content
Sign in Sign up
JA EN FR
SecPulse
A detailed explainer is available in Japanese. Read the Japanese explainer
Critical 9.4

CPython ssl が侵害済み証明書を許可、悪用確認は未公表

CVE-2026-115557 First seen on SecPulse

Summary

CPython の ssl モジュールが、すでに侵害されたと分かっている中間証明書を、失効確認の設定がなければ受け入れてしまう問題です。CPython 3.16.0 以下が対象で、Python から TLS で外部と通信するシステムに影響します。実際の悪用が確認されたとの情報は現時点で明らかになっていないため、自社の Python の版を洗い出し、修正版の公表を確認して更新する準備を進めてください。

AI summary

Written by an external AI model and may contain mistakes. Check the original description and references below before acting on it.

CPython の ssl モジュールが、すでに侵害されたと分かっている中間証明書を、失効確認の設定がなければ受け入れてしまう問題です。CPython 3.16.0 以下が対象で、Python から TLS で外部と通信するシステムに影響します。実際の悪用が確認されたとの情報は現時点で明らかになっていないため、自社の Python の版を洗い出し、修正版の公表を確認して更新する準備を進めてください。

Affected packages

EcosystemPackageAffectedFixed
Python Software Foundation CPython
< 3.11.18
≥ 3.12.0, < 3.12.16
≥ 3.13.0, < 3.13.18
≥ 3.14.0a1, < 3.16.0
3.11.18
3.12.16
3.13.18
3.16.0

Fix status by distribution

Fixed packages published by each distribution for this CVE

Original description The description as published by the source.

Python has added a denylist for known compromised certificates to the "ssl" module to ensure user safety even without certificate revocation configured. Known compromised certificates will automatically be rejected regardless of the SSLContext policy configuration.

Source: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory

References

We use cookies for analytics and ad measurement. This setting applies to all Game co., Ltd. sites. Details