Python 3.15.1, 3.14.9 y 3.13.17 incluyen pip 26.2.2

El equipo de publicación de Python lanzó Python 3.15.1, 3.14.9 y 3.13.17 el 21 de octubre de 2026 para que pip deje de confiar en eMudhra. Las claves de esa autoridad de certificación quedaron expuestas esta semana. Los nuevos instaladores arreglan las instalaciones nuevas, pero cada entorno virtual existente necesita su propia actualización.

Qué cambian las tres versiones

Las tres incluyen pip 26.2.2, según la entrada de Python Insider firmada por Hugo van Kemenade, del equipo de publicación. Ese pip trae certifi 2026.10.19, la lista de autoridades de certificación de confianza, que ya no incluye a eMudhra.

Versión	Tipo	Qué incluye
3.15.1	Versión de seguridad acelerada	pip 26.2.2, certifi 2026.10.19
3.14.9	Versión de seguridad acelerada	pip 26.2.2, certifi 2026.10.19
3.13.17	Versión de seguridad especial	pip 26.2.2, certifi 2026.10.19

Python 3.13 normalmente no recibe un pip nuevo en una versión de seguridad, para no romper instalaciones antiguas. Van Kemenade explica la excepción: "como 3.13 acaba de entrar en modo solo de seguridad, nos pareció prudente hacer una versión especial con instaladores".

El incidente de fondo se cubre en Claves de CA de eMudhra comprometidas: Go, Firefox y NSS publican parches. En resumen, ocho claves intermedias de eMudhra eran tan débiles que se podían adivinar. Quien las tuviera podía falsificar certificados HTTPS para cualquier sitio.

Por qué no basta con actualizar el sistema

Pip no depende solo del sistema operativo para decidir en qué sitios confiar. Linux Compatible explica que pip siempre carga certifi junto al almacén de certificados del sistema. No hay una opción oficial para desactivar certifi. Así que una actualización del sistema que retire a eMudhra deja a un pip antiguo confiando en ella.

Por eso la entrada de Python pide actuar dentro de cada entorno: "En todos los entornos virtuales existentes de tu sistema, actualiza pip y uv a las últimas versiones". Uv es un gestor de paquetes de Python que puede sustituir a pip.

Linux Compatible añade algunos detalles:

• uv tiene una salida. Con UV_SYSTEM_CERTS=true, uv usa el almacén de certificados del equipo. Pip no tiene nada equivalente.
• Hay que reconstruir los contenedores. Las imágenes que fijan un pip antiguo siguen confiando en eMudhra hasta que se reconstruyen.
• Hay una solución más profunda propuesta, pero no publicada. Tiran, colaborador del núcleo de Python, abrió un ticket para que el módulo ssl bloquee claves intermedias conocidas como malas. "El 'incidente de seguridad' es una clave privada mala", escribió.

Qué más trae Python 3.15.1

Python 3.15.1 es también la primera versión de correcciones desde que salió 3.15.0, el 9 de octubre. Linux Compatible cuenta unas 330 correcciones de errores de 117 colaboradores. El registro de cambios de Python incluye tres entradas de seguridad:

• El pip incluido en ensurepip pasa a 26.2.2.
• En Windows, mimetypes deja de leer mimetypes.knownfiles por defecto y usa solo el registro.
• El analizador XML incluido, libexpat, pasa a 2.9.0.

En macOS, Ctrl-C vuelve a lanzar KeyboardInterrupt en los programas que crean una ventana de Tk. Los instaladores de macOS también traen una versión preliminar de Tk que corrige "un posible bloqueo en macOS 27.0" en aplicaciones tkinter como IDLE. Y multiprocessing ahora recurre al método de arranque "spawn" cuando no hay una carpeta temporal con permisos de escritura.

Qué significa para los desarrolladores

Tómalo como una tarea de mantenimiento de entornos, no como una actualización del intérprete.

• Actualiza pip en cada entorno virtual. La entrada de Python da un comando fijo que instala pip 26.2.2 por URL con una suma de verificación. Actualiza también uv.
• Arregla las instalaciones de python.org en macOS. Tienen su propio certifi. Ejecuta pip install --upgrade certifi con el Python de cada versión, como muestra la entrada para 3.15, 3.14 y 3.13.
• Reconstruye imágenes y cachés de CI. Una imagen de Docker o un entorno virtual en caché creado la semana pasada aún tiene el certifi antiguo.
• Vigila el manejo de tipos MIME en Windows. Si tu código lee mimetypes.knownfiles, prueba 3.15.1 antes de desplegarlo.

Si te saltaste 3.15.0, sus cambios principales están en Python 3.15.0 llega con importaciones diferidas y frozendict.