Sevgili okurlar, bugün mutfakta değil, ekran başında bir şeyler kaynıyor. Zira Siber Güvenlik Başkanlığı, TR-26-1389 kodlu bir bildirim yayımlamış ve bildirime göre Python dünyasının neredeyse her yemeğine bir tutam serptiğimiz certifi kök sertifika paketinde kritik seviyede bir mesele var. Yani şu "küçük bir paket bu ya, ne olacak" dediğimiz şey, meğer mutfağın temel taşıymış.
Siber Güvenlik Başkanlığı bildirimine göre, eMudhra'ya ait sekiz ara sertifika otoritesinin özel anahtarları ele geçirilmiş durumda. Dahası, bu anahtarlar hatalı üretildiği için sertifikalardan hesaplanabilir hâle gelmiş. Bu ara sertifikalar da certifi paketinde güvenilir kabul edilen "emSign ECC Root CA - G3" kök sertifikasına bağlanıyor. Python Software Foundation da boş durmamış; pip, uv, conda ve diğer araçlar için acil güncelleme yayımlamış.
Peki bu ne demek? Bildirime göre, zafiyet istismar edilirse saldırgan herhangi bir alan adı için geçerli görünen sertifika üretebiliyor. Yani araya giren bir saldırgan, şifreli TLS trafiğini okuma ve değiştirme imkânı bulabiliyor. Üstelik pypi.org taklit edilerek zararlı paket yüklenmesi üzerinden tedarik zinciri saldırısı riski de masada. Neyse ki tarayıcılar sertifika şeffaflığı denetimi yaptığı için risk altında görülmüyor; ama pip, curl ve sunucu tarafı uygulamalar gibi denetim yapmayan istemciler sessizce hedef alınmış olabilir. İstismar edilip edilmediği ise bilinmiyor. Yani tabakta ne olduğu belli ama tadına bakılmış mı, orası meçhul.
Gelelim "ben ne yapacağım" kısmına. Başkanlığın önerileri şöyle:
- İvedilikle certifi 2026.10.19, pip 26.2.2, uv 0.13.4, sigstore 4.5.1, conda 26.9.4 ve pixi 0.82.1 ya da daha yeni sürümlere geçin.
- pip güncellemesini, araya girme riskine karşı SHA256 özet değeriyle sabitlenmiş doğrudan bağlantı üzerinden yapın.
- Tüm sanal ortamlarda (venv) pip ve certifi'yi ayrı ayrı güncelleyin.
- Container imajlarını, katman önbelleğini devre dışı bırakarak güncel ca-certificates paketleriyle yeniden derleyin.
- İşletim sistemi ca-certificates paketlerini ve tarayıcıları en güncel sürüme yükseltin.
- macOS'ta yerleşik curl, git ve python3'ün kullandığı /etc/ssl/cert.pem dosyasından etkilenen kök sertifikaları çıkarın.
- İstemcilerin ele geçirilmiş sertifikalara güvenip güvenmediğini, olayı duyuran sitede sunulan test adresleriyle doğrulayın.
Düzeltilmiş CPython sürümleri 3.15.1, 3.14.9 ve 3.13.17 olarak açıklanmış. certifi 2026.10.18 sürümü tüm emSign kök sertifikalarını kaldırmış; 2026.10.19 ise etkilenmeyenleri geri eklediği için uyumluluk açısından öneriliyor. Ama dikkat: güvenlik güncellemesi, öncesinde yaşanmış bir ihlali geri almıyor. Zafiyet uzun süredir mevcut olduğundan, güvenilmeyen ağlar üzerinden paket yüklediğiniz geliştirici sistemlerinde ve CI/CD hatlarında ayrıca inceleme yapmanızda fayda var.
Hadi bakayım, şimdi usulca dağılın ve mümkünse mısmıl olun
Demirhan.