何が起きたか
emSign のルート証明書につながる eMudhra の中間 CA 8 件で秘密鍵が漏えいし、失効しました。requests・urllib3・pip はこの証明書の束を使うため、通信経路上にいる攻撃者が任意のホスト名の証明書を作って通信を盗み見・改ざんできます。2026.10.18 で emSign を全て外し、2026.10.19 で影響のないものだけ戻しています。
やること
certifi を 2026.10.19 以上へ更新します。certifi を中に抱えたコンテナイメージは作り直しが必要です。python.org の macOS インストーラ利用者も対象です。
出典
certifi のセキュリティ勧告github.com英語 ↗Python 公式フォーラムの案内discuss.python.org英語 ↗上の要約は通り道編集部がまとめたものです。影響範囲と修正版は必ず各出典で確認してください。