Python 3.15.1, 3.14.9 e 3.13.17 trazem o pip 26.2.2

A equipe de lançamentos do Python publicou o Python 3.15.1, o 3.14.9 e o 3.13.17 em 21 de outubro de 2026 para que o pip deixe de confiar na eMudhra. As chaves dessa autoridade certificadora foram expostas nesta semana. Os novos instaladores corrigem instalações novas, mas cada ambiente virtual existente precisa da sua própria atualização.

O que as três versões mudam

As três trazem o pip 26.2.2, segundo o post do Python Insider assinado por Hugo van Kemenade, da equipe de lançamentos. Esse pip inclui o certifi 2026.10.19, a lista de autoridades certificadoras confiáveis, que não inclui mais a eMudhra.

Versão	Tipo	O que traz
3.15.1	Versão de segurança antecipada	pip 26.2.2, certifi 2026.10.19
3.14.9	Versão de segurança antecipada	pip 26.2.2, certifi 2026.10.19
3.13.17	Versão de segurança especial	pip 26.2.2, certifi 2026.10.19

O Python 3.13 normalmente não recebe um pip novo em uma versão de segurança, para não quebrar instalações antigas. Van Kemenade explica a exceção: "como o 3.13 acabou de entrar no modo só de segurança, fazer uma versão especial com instaladores pareceu prudente".

O incidente por trás disso é coberto em Chaves de CA da eMudhra comprometidas: Go, Firefox e NSS lançam correções. Em resumo, oito chaves intermediárias da eMudhra eram fracas a ponto de poderem ser adivinhadas. Quem as tivesse podia falsificar certificados HTTPS para qualquer site.

Por que atualizar o sistema não basta

O pip não depende só do sistema operacional para decidir em quais sites confiar. O Linux Compatible explica que o pip sempre carrega o certifi junto do repositório de certificados do sistema. Não existe uma opção oficial para desligar o certifi. Assim, uma atualização do sistema que remove a eMudhra deixa um pip antigo ainda confiando nela.

Por isso o post do Python pede ação dentro de cada ambiente: "Em todos os ambientes virtuais existentes no seu sistema, atualize o pip e o uv para as versões mais recentes". O uv é um gerenciador de pacotes do Python que pode substituir o pip.

O Linux Compatible acrescenta alguns detalhes:

• O uv tem uma saída. Com UV_SYSTEM_CERTS=true, o uv usa o repositório de certificados da máquina. O pip não tem equivalente.
• Contêineres precisam ser recriados. Imagens que fixam um pip antigo continuam confiando na eMudhra até serem recriadas.
• Uma correção mais profunda foi proposta, não lançada. Tiran, colaborador do núcleo do Python, abriu um ticket pedindo que o módulo ssl bloqueie chaves intermediárias sabidamente ruins. "O 'incidente de segurança' é uma chave privada ruim", escreveu.

O que mais vem no Python 3.15.1

O Python 3.15.1 também é a primeira versão de correções desde o lançamento do 3.15.0, em 9 de outubro. O Linux Compatible conta cerca de 330 correções de bugs de 117 colaboradores. O changelog do Python lista três entradas de segurança:

• O pip embutido no ensurepip passa para 26.2.2.
• No Windows, o mimetypes deixa de ler mimetypes.knownfiles por padrão e usa só o registro.
• O analisador XML embutido, libexpat, passa para 2.9.0.

No macOS, Ctrl-C volta a gerar KeyboardInterrupt em programas que criam uma janela Tk. Os instaladores para macOS também trazem uma versão prévia do Tk que corrige "um possível travamento no macOS 27.0" em apps tkinter como o IDLE. E o multiprocessing agora recorre ao método de início "spawn" quando não há uma pasta temporária com permissão de escrita.

O que isso significa para desenvolvedores

Trate isso como manutenção de ambientes, não como atualização do interpretador.

• Atualize o pip em todo ambiente virtual. O post do Python traz um comando fixo que instala o pip 26.2.2 por URL com checksum. Atualize o uv também.
• Corrija instalações do python.org no macOS. Elas têm o próprio certifi. Rode pip install --upgrade certifi com o Python de cada versão, como o post mostra para 3.15, 3.14 e 3.13.
• Recrie imagens e caches de CI. Uma imagem Docker ou um ambiente virtual em cache criado na semana passada ainda tem o certifi antigo.
• Fique de olho no tratamento de MIME no Windows. Se o seu código lê mimetypes.knownfiles, teste o 3.15.1 antes de distribuí-lo.

Se você pulou o 3.15.0, as principais mudanças estão em Python 3.15.0 chega com lazy imports e frozendict.