pip 供应链告急:eMudhra 私钥弱到一者仅 4,务必升级到 pip 26.2.2
TheZachMueller · x · 2026-10-23
一起波及 Python 生态的供应链安全事件正在发酵:印度证书颁发机构 eMudhra(emSign)用于签发 TLS 证书的私钥被发现弱到荒谬——仅 8 把密钥,全部小于 256,其中一把的值是 4。这意味着任何人都能为任意网站伪造合法证书。
对 Python 用户的直接威胁是:同一网络中的攻击者(公共 WiFi、ISP 甚至国家级行为者)可以伪装成 PyPI 官方源,让 pip install 在无任何告警的情况下下载被篡改的包。目前没有已确认的攻击,但风险真实存在。
紧急修复步骤:
- 全局升级 pip 至 26.2.2 或以上(python -m pip install --upgrade pip),每个 venv 都要单独升级
- uv 用户执行 uv self update(0.13.4+)
- 更新系统 CA 证书(apt/dnf upgrade ca-certificates)并更新 Docker 镜像
凡是依赖 PyPI 下载包的 ML/AI 工作流都受此影响,建议立即排查。
所属事件:CA 私钥泄露波及 Python 生态，官方急催升级 pip(2 条相关)→
「安全」频道最新
- Anthropic 副安全官警告：未来 18 个月 AI 安全危机将更糟 — ns123abc · 2026-10-23
- 英国首相府招聘 AI 顾问，重点评估 AI 对初级岗位的冲击 — nordicinst · 2026-10-23
- MCP 服务器 30 天后暗藏窃取 SSH 密钥指令，作者开源 mcp-guard 防变节 — ErgoniaWorks · 2026-10-23
- Plane Power 推出 Argus：扫描工单与评论中泄露的卡号和 API 密钥 — Scobleizer · 2026-10-23
- 「反脆弱互联网」：agent 时代攻击成本趋零，防御端也是靶子 — rebeccakaden · 2026-10-23
- 微软披露：黑客用 agentic AI 框架攻击 2250+ 个 M365 租户 — rickasaurus · 2026-10-23