certifi incluye CA raíz de emSign con claves de CA intermedias comprometidas
El aviso original ha cambiado desde que se preparó esta explicación. Consulta los datos técnicos actuales y el aviso original a continuación.
Las versiones de Certifi anteriores a 2026.10.18 incluyen el certificado raíz emSign ECC Root CA - G3 en su almacén de CA integrado. Ocho certificados de CA intermedias de eMudhra encadenados a esta raíz tienen claves privadas comprometidas y la CA los ha revocado.
Un atacante con una de las claves comprometidas puede emitir certificados de apariencia válida para cualquier nombre de host. Si el atacante se encuentra además en la ruta de red (on-path), puede interceptar o modificar el tráfico TLS de clientes que confían en el paquete certifi. Algunos ejemplos incluyen requests, urllib3 y pip, así como el instalador para macOS de Python.org.
Certifi 2026.10.18 eliminó todas las raíces de emSign del paquete. Certifi 2026.10.19 restauró las raíces de emSign no afectadas. Actualice a 2026.10.19 o posterior y vuelva a compilar las imágenes de contenedor que incorporen certifi.
Qué hacer
Actualice a 2026.10.19 o posterior y vuelva a compilar las imágenes de contenedor que incluyan certifi.
Software afectado
Haz clic en una tecnología para ver todas sus vulnerabilidades.
| Plataforma | Paquete | Versiones vulnerables | Corregida en |
|---|---|---|---|
| Python (PyPI) | certifi | >= 2019.03.09, < 2026.10.19 | 2026.10.19 |
Referencias
- https://github.com/certifi/python-certifi/security/advisories/GHSA-6q48-6c7w-9gw2
- https://discuss.python.org/t/information-for-python-users-regarding-emudhra-emsign-ca-certificate-security-incident/109576
- https://emudhra.we-have-a-problem.com
- https://github.com/certifi/python-certifi
- https://pypi.org/project/certifi
- https://github.com/advisories/GHSA-6q48-6c7w-9gw2
- Vector CVSS
CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N- Debilidad (CWE)
CWE-295- Plataforma
- Python (PyPI)
- Paquete
certifi- Publicada
- 20.10.2026
- Actualizado
- 21.10.2026 00:17
Fuentes y licencias · Editado o traducido por DockRay; se mantienen los derechos y las licencias de las fuentes.
OSV / GitHub Advisory Database - GHSA-6q48-6c7w-9gw2 - CC BY 4.0
OSV / GitHub Advisory Database - PYSEC-2026-4320 - PyPA Advisory Database; CC BY 4.0
Historial de vulnerabilidades: certifi
Todas las vulnerabilidades publicadas de este paquete (Python (PyPI)), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.
- Entradas en total
- 4
- Primera → última
- 12.2022 10.2026
- Sin corrección
- 0
- Explotada en ataques
- 0
Distribución por gravedad
- Crítica 1
- Alta 1
- Media 1
- Baja 1
Divulgaciones por año
- 2022: 1
- 2023: 1
- 2024: 1
- 2025: 0
- 2026: 1
-
certifi incluye CA raíz de emSign con claves de CA intermedias comprometidas esta entrada
Identifica las vulnerabilidades de tu aplicación
Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.