اخطار به کاربران پایتون؛ امکان آلوده شدن به بدافزار به‌خاطر آسیب‌پذیری جدی در گواهی‌های دیجیتال
شناسایی یک آسیب‌پذیری امنیتی قابل توجه در گواهی‌های دیجیتال متعلق به شرکت هندی eMudhra، نگرانی‌هایی را در مورد امنیت نصب کتابخانه‌های پایتون برانگیخته است. این ضعف می‌تواند به هکرها این امکان را بدهد که با جعل هویت وب‌سایت‌های معتبر، فایل‌های مخرب را به کاربران تحویل دهند.
مسئله از زمان کشف نقص رمزنگاری در هشت گواهی دیجیتال میانی این شرکت آغاز شد. کلیدهای خصوصی این گواهی‌ها به دلیل استفاده از مقادیر تصادفی ناکافی در فرایند تولید، به سادگی قابل استحصال هستند. تمامی این کلیدها دارای مقادیر کمتری از ۲۵۶ بودند و یکی از آن‌ها تنها ۴ بود.
اهمیت این موضوع به وظیفه گواهی‌های دیجیتال در تأیید هویت وب‌سایت‌ها برمی‌گردد. فردی که بتواند ارتباط اینترنتی کاربران را رهگیری کند، ممکن است با استفاده از کلیدهای آسیب‌پذیر، یک گواهی معتبر برای دامنه‌ای نظیر pypi.org جعل کند.
در این شرایط، ابزارهای آسیب‌پذیر مانند نسخه‌های قدیمی pip ممکن است بدون هیچ‌گونه هشدار امنیتی، فایل‌های مخرب را به جای نسخه‌ی اصلی دریافت کنند. اجرای این بسته‌های مخرب می‌تواند منجر به سرقت اطلاعات یا نصب بدافزار شود.
یک توسعه‌دهنده با شناسه کاربری l4ur3n7 در شبکه اجتماعی ایکس با انتشار هشدار فوری از کاربران خواسته است که ابزارهای توسعه‌ی خود را به‌روزرسانی کنند.
به گفته‌ی انجمن پایتون، نسخه‌های ایمن شامل pip 26.2.2، ابزار uv 0.13.4 و کتابخانه‌ی certifi 2026.10.19 هستند. توسعه‌دهندگان باید به‌روزرسانی‌هایی برای محیط‌های مجازی پایتون، گواهی‌های سیستم‌عامل و تصاویری از داکر انجام دهند.
شرکت‌های گوگل و موزیلا از هفته‌ی گذشته، گواهی‌های آسیب‌دیده را مسدود کرده‌اند. تا کنون شواهد معتبری از سوءاستفاده‌ی عملی ارائه نشده است. بر خلاف تفسیرهای نگران‌کننده‌ی توییت‌ها، خود زبان پایتون یا مخزن PyPI هک نشده‌اند؛ خطر واقعی متوجه نرم‌افزارهایی است که همچنان به این گواهی‌های آسیب‌پذیر اتکا می‌کنند.
