Python 3.15.1, 3.14.9 und 3.13.17 liefern pip 26.2.2

Das Python-Release-Team hat am 21. Oktober 2026 Python 3.15.1, 3.14.9 und 3.13.17 veröffentlicht, damit pip eMudhra nicht mehr vertraut. Die Schlüssel dieser Zertifizierungsstelle wurden diese Woche offengelegt. Die neuen Installer reparieren frische Installationen, aber jede bestehende virtuelle Umgebung braucht ihr eigenes Upgrade.

Was die drei Releases ändern

Alle drei bringen pip 26.2.2 mit, so der Beitrag auf Python Insider von Hugo van Kemenade aus dem Release-Team. Dieses pip enthält certifi 2026.10.19, die Liste vertrauenswürdiger Zertifizierungsstellen, in der eMudhra nicht mehr steht.

Release	Art	Was es mitbringt
3.15.1	Vorgezogenes Sicherheitsrelease	pip 26.2.2, certifi 2026.10.19
3.14.9	Vorgezogenes Sicherheitsrelease	pip 26.2.2, certifi 2026.10.19
3.13.17	Spezielles Sicherheitsrelease	pip 26.2.2, certifi 2026.10.19

Python 3.13 bekommt in einem Sicherheitsrelease normalerweise kein neues pip, um ältere Setups nicht zu stören. Van Kemenade erklärt die Ausnahme: „Da 3.13 gerade erst in den reinen Sicherheitsmodus gewechselt ist, schien ein spezielles Release mit Installern ratsam.“

Den Vorfall dahinter beschreibt eMudhra-CA-Schlüssel kompromittiert: Go, Firefox und NSS liefern Fixes. Kurz gesagt waren acht Zwischenschlüssel von eMudhra so schwach, dass man sie erraten konnte. Wer sie besaß, konnte HTTPS-Zertifikate für jede Website fälschen.

Warum ein Systemupdate nicht reicht

Pip verlässt sich nicht allein auf das Betriebssystem, wenn es entscheidet, welchen Websites es vertraut. Linux Compatible erklärt, dass pip certifi immer neben dem Zertifikatsspeicher des Systems lädt. Es gibt keinen offiziellen Schalter, um certifi abzuschalten. Ein OS-Update, das eMudhra entfernt, lässt ein altes pip also weiter vertrauen.

Deshalb bittet der Python-Beitrag, in jeder Umgebung selbst tätig zu werden: „Bitte aktualisieren Sie pip und uv in allen bestehenden virtuellen Umgebungen auf Ihrem System auf die neuesten Versionen.“ Uv ist ein Paketmanager für Python, der pip ersetzen kann.

Linux Compatible ergänzt einige Details:

• uv hat einen Ausweg. Mit UV_SYSTEM_CERTS=true nutzt uv den Zertifikatsspeicher des Hosts. Für pip gibt es nichts Vergleichbares.
• Container müssen neu gebaut werden. Images, die ein altes pip festschreiben, vertrauen eMudhra, bis sie neu gebaut werden.
• Eine tiefere Lösung ist vorgeschlagen, nicht ausgeliefert. Python-Core-Contributor Tiran hat ein Ticket eröffnet, damit das Modul ssl bekannte schlechte Zwischenschlüssel sperrt. „Der ‚Sicherheitsvorfall‘ ist ein schlechter privater Schlüssel“, schrieb Tiran.

Was sonst in Python 3.15.1 steckt

Python 3.15.1 ist auch das erste Bugfix-Release seit Python 3.15.0, das am 9. Oktober erschien. Linux Compatible zählt rund 330 Fehlerkorrekturen von 117 Mitwirkenden. Das Python-Changelog nennt drei Sicherheitseinträge:

• Das in ensurepip mitgelieferte pip springt auf 26.2.2.
• Unter Windows liest mimetypes standardmäßig nicht mehr mimetypes.knownfiles und nutzt nur noch die Registry.
• Der mitgelieferte XML-Parser libexpat springt auf 2.9.0.

Unter macOS löst Strg-C in Programmen, die ein Tk-Fenster öffnen, wieder KeyboardInterrupt aus. Die macOS-Installer enthalten außerdem eine Vorabversion von Tk, die „ein mögliches Hängen unter macOS 27.0“ in tkinter-Apps wie IDLE behebt. Und multiprocessing weicht jetzt auf die Startmethode „spawn“ aus, wenn kein beschreibbarer temporärer Ordner existiert.

Was das für Entwickler bedeutet

Behandeln Sie das als Pflege der Umgebungen, nicht als Upgrade des Interpreters.

• pip in jeder virtuellen Umgebung aktualisieren. Der Python-Beitrag nennt einen festen Befehl, der pip 26.2.2 per URL mit Prüfsumme installiert. Aktualisieren Sie auch uv.
• python.org-Installationen unter macOS reparieren. Sie bringen ihr eigenes certifi mit. Führen Sie pip install --upgrade certifi mit dem Python der jeweiligen Version aus, wie es der Beitrag für 3.15, 3.14 und 3.13 zeigt.
• Images und CI-Caches neu bauen. Ein Docker-Image oder eine zwischengespeicherte virtuelle Umgebung von letzter Woche hat noch das alte certifi.
• Auf die MIME-Behandlung unter Windows achten. Wenn Ihr Code mimetypes.knownfiles liest, testen Sie 3.15.1 vor dem Rollout.

Wer 3.15.0 ausgelassen hat, findet die wichtigsten Änderungen in Python 3.15.0 erscheint mit Lazy Imports und frozendict.