內文
Python官方於2026/10/20提醒，eMudhra／emSign中繼CA憑證事件需要更新相關信任資料；持續信任受影響CA可能讓TLS用戶端接受冒充服務，包含連往python.org與PyPI的情境。
先升級工具，不是只改作業系統信任庫
pip會載入內建的certifi，並可能同時使用系統信任庫。請同步更新pip及其內建信任資料，並檢查REQUESTS_CA_BUNDLE、--cert等自訂設定。uv預設也使用自帶CA；若改用系統或自訂CA，仍須確認該信任來源已移除受影響憑證。
- pip與CA bundle： pip 26.2.2；certifi 2026.10.19
- 安裝與環境工具： uv 0.13.4；conda 26.9.4；pixi 0.82.1
- 簽章工具： sigstore 4.5.1
Python官方建議使用certifi 2026.10.19或後續安全版本，此版本也改善未受影響emSign根憑證的相容性。
- 01
列出執行環境
盤點每套Python、venv、CI Runner、容器、委外服務及內嵌工具。
看看能怎麼應對2項資源
TWISA 會員方案
列出執行環境
以Qualys VMDR建立主機與應用資產清冊，配合DVM追蹤弱點改善，找出需進一步檢查Python、pip及容器的系統。
- 02
安全取得更新
依Python公告的官方wheel與SHA256驗證方式更新pip，再更新certifi及其他受影響工具。
- 03
重建與重新部署
停用容器層快取重建，汰換Runner或套件快取內的舊基底，不只修正在操作的終端機。
- 04
在實際環境複驗
核對執行檔、套件版本、CA來源及業務TLS連線，保留各環境完成清單。
看看能怎麼應對2項資源
TWISA 會員方案
在實際環境複驗
委託滲透測試服務，將Python應用的TLS驗證納入測試範圍，確認不可信對端遭拒絕，並測試API與套件下載流程。
行動建議：從外部邊界查到內部核心
- 不要漏掉venv：在每個實際使用的虛擬環境分別核對python -m pip --version及certifi版本。更新全域pip，不會自動更新既有venv；新建環境若由舊ensurepip種入pip，也要再更新。
- 先確保更新來源可信：使用已更新信任資料的管道取得Python公告指定的官方pip wheel，核對公告SHA256，再於目標環境安裝。完整指令與雜湊請直接看下方Python官方公告。
- 確認容器是真的換新：不使用舊層快取重建映像，再部署到測試與正式服務；記錄新映像及各工具版本，追查排程與備援環境是否仍使用舊映像。
- 處理相容性而非跳過驗證：CA變動可能讓既有TLS連線失敗，應與對方確認正確憑證鏈及替換計畫，不用--trusted-host或關閉憑證驗證來恢復服務。
將每個執行環境的Python、工具版本、套件來源及CA設定納入清單
業務連線依授權放行，各層分別落實防護
- 01
更新來源
官方wheel、套件庫與建置快取
確認來源完整性依官方公告驗證下載來源與SHA256，保留核對結果。
- 02
建置環境
venv、CI Runner與容器
消除舊工具殘留逐環境更新並重建，不能以單台工作站版本代表全部。
- 03
執行服務
API、批次及委外應用
看看能怎麼應對2項資源
TWISA 會員方案
執行服務
委託滲透測試服務，將Python應用的TLS驗證納入測試範圍，確認不可信對端遭拒絕，並測試API與套件下載流程。
驗證實際TLS信任確認程序使用的CA來源與業務連線，錯誤交由維運追查。
各層日誌與流量，送往監控與應變流程
- 持續核對檢視建置失敗、TLS驗證錯誤與舊映像使用情形，避免重建後又帶回舊工具。
影響範圍與官方來源
請逐一確認Python程序實際載入的CA bundle、工具版本與容器映像，再測試套件下載及業務TLS連線。Java等其他執行環境，也應依供應商指引更新信任資料。
歡迎洽詢各會員，取得更詳細的產品與服務介紹及說明。
TWISA 會員方案
Python主機與軟體清冊
以Qualys VMDR建立主機與應用資產清冊，配合DVM追蹤弱點改善，找出需進一步檢查Python、pip及容器的系統。
TLS信任與應用測試
委託滲透測試服務，將Python應用的TLS驗證納入測試範圍，確認不可信對端遭拒絕，並測試API與套件下載流程。
通報更新日期：2026/10/24。產品支援與修補狀態以原廠最新資料為準。