- Yama var
- Son 7 gün
- CWE-299
CVE-2026-115557
CPython ssl modülünde ele geçirilmiş ara sertifikaların reddedilmemesi
- Yayımlandı
- Güncellendi
- 27 Eki 2026
- Açık yaşı
- 4 gün
- Kaydı açan
- PSF
Yönetici özeti
Bu açık, Python ile yazılmış uygulamaların güvenli bağlantı kurduğunu sanırken sahte veya ele geçirilmiş sertifikalara güvenmesine yol açabilir. Kişisel verilerin ele geçirilebileceği sistemler için risk yüksektir ve güncelleme önceliklidir.
ÖzetTürkçe
CPython'un ssl modülü, bilinen ele geçirilmiş sertifikaları reddeden bir engelleme listesi içermiyordu. Bu nedenle sertifika iptal kontrolü yapılandırılmamış olsa bile bu sertifikalar kabul edilebiliyordu. Etkilenen sürümler 3.11.18 öncesi, 3.12.16 öncesi, 3.13.18 öncesi, 3.14.10 öncesi ve 3.15.2 öncesi ile 3.16.0 öncesi sürümlerdir.
Saldırgan ne yapabilir?
Saldırgan, ele geçirilmiş bir sertifikayla araya girerek (ortadaki adam saldırısı) TLS ile korunan bağlantıları ele geçirebilir, trafiği izleyebilir veya değiştirebilir.
Kaynaktaki açıklama (İngilizce)
Python has added a denylist for known compromised certificates to the "ssl" module to ensure user safety even without certificate revocation configured. Known compromised certificates will automatically be rejected regardless of the SSLContext policy configuration.
Ne yapmalı?
- Kullanılan Python dalına uygun düzeltilmiş sürüme geçin: 3.11.18, 3.12.16, 3.13.18, 3.14.10, 3.15.2 veya 3.16.0. Üretici
- Python'a bağımlı uygulamaları, betikleri ve konteyner imajlarını da yeni sürümle yeniden derleyip yeniden başlatın. Genel öneri
- Güncelleme yapamadığınız süre boyunca TLS ile veri alışverişi yapan kritik servisleri gözden geçirin ve ağ trafiğini izlemeyi artırın. Genel öneri
Ek önlemler
- Sistemdeki tüm Python sürümlerini envanterleyin, sürüm dışı kopyaları ve paketlenmiş örnekleri de kontrol edin. Genel öneri
- Sertifika doğrulamasının her zaman açık olduğundan ve kendinden imzalı veya özel güven zinciri kullanan uygulamalarda güven kaynaklarının kısıtlı olduğundan emin olun. Genel öneri
- Beklenmedik sertifika değişikliklerini ve olağandışı TLS bağlantılarını izleyin. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Python Software Foundation CPython | < 3.11.18 | 3.11.18 |
| ≥ 3.12.0, < 3.12.16 | 3.12.16 | |
| ≥ 3.13.0, < 3.13.18 | 3.13.18 | |
| ≥ 3.14.0, < 3.14.10 | 3.14.10 | |
| ≥ 3.15.0, < 3.15.2 | 3.15.2 | |
| ≥ 3.16.0a1, < 3.16.0 | 3.16.0 |
Kaynaklar19 kaynak
- CVE.org kaydı
- NVD kaydı
- mail.python.org/…on.org/thread/FNAJMZV6XQYLVPABNINDMF3VF66AYLW4 Üretici bülteni
- github.com/python/cpython/pull/160042 Yama
- github.com/…ommit/21a50891ab4be2e9955239e625ae2b40c6b1854d Yama
- github.com/…ommit/36cd295f32fc9ba19399e01abee91231440a41dd Yama
- github.com/…ommit/48d9b2712cd52206c7a5882d0fdca4863ed65e93 Yama
- github.com/…ommit/7dd8b4736a1419750b94a388e6d158be15836fe6 Yama
- github.com/…ommit/98f0e4ed349f370dc8a00366da1a9797e11c9ed5 Yama
- github.com/…ommit/a17d9ef549008133eadf20689b1f4787902efe5b Yama
- github.com/…ommit/af52b41afa4330fb38583db553631baa2f122f90 Yama
- github.com/…ommit/c7fd7edf7e0d122a3973cf676fae21b6aaa650a8 Yama
- github.com/…ommit/e2a9dd97ef9571c710ac0afaa834c8879aebce78 Yama
- github.com/…ommit/e4500d8a437ee5b988a5410cb9b59d177aa01370 Yama
- github.com/…ommit/e4f63e65a93cf44c14274aa987e644b8c003625e Yama
- github.com/…ommit/e9bf2cf84eebf838a1edaa1c648c2b36345b99d3 Yama
- github.com/python/cpython/issues/160040 Üçüncü taraf
- emudhra.we-have-a-problem.com Üçüncü taraf
- openwall.com/lists/oss-security/2026/10/20/29 Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.