Executive summary
Saya baru baca tulisan dari Python Software Foundation soal insiden kompromi intermediate CA eMudhra yang diumumkan 20 Oktober 2026, dan bagaimana tim keamanan PSF bersama banyak maintainer menambal ekosistem Python dalam dua hari. Yang menarik buat saya bukan cuma kronologinya, tapi bagaimana insiden ini membuka celah struktural: tools seperti pip dan uv ternyata tidak punya mekanisme setara CRL browser untuk merespons cepat tanpa update software.
Masalah yang diselesaikan
Intinya: certifi adalah paket Python yang mengemas ulang bundel root CA dari Mozilla, dipakai oleh pip dan requests. Karena certifi hanya menyimpan root CA (bukan intermediate), satu-satunya cara untuk mendistrust seluruh intermediate certificate yang kompromi adalah mencabut root CA-nya sendiri, yaitu "emSign Root TLS CA - G3". Masalahnya jadi berantai: pip membundel requests yang depend ke certifi, dan Python membundel pip lewat mekanisme ensurepip setiap kali virtualenv baru dibuat. Jadi Python, pip, dan certifi sama-sama berada di jalur kritis untuk mitigasi lewat update software biasa. Untuk versi Python lama yang terjebak dengan versi pip lama karena alasan kompatibilitas, tidak ada solusi update yang mudah.
Fitur utama dan contoh
Advisory utamanya adalah GHSA-6q48-6c7w-9gw2 untuk certifi. Selain itu Python menambahkan "last-resort denylist" di level TLS handshake untuk menolak sertifikat intermediate yang terkompromi, dilacak lewat CVE-2026-115557, dan ini sudah di-backport ke versi Python yang lebih lama. Komponen lain yang kena tambalan termasuk pip, uv, sigstore, virtualenv, conda, pixi, manylinux, dan gh-action-pypi-publish. Semua layanan yang dikelola PSF, termasuk PyPI, proses release dan build bot Python, serta python.org, sudah dipatch dan container-nya di-rebuild dengan set sertifikat yang benar.
Artikel ini tidak memberi contoh kode, jadi ini ilustrasi sederhana untuk memastikan environment Anda memakai versi certifi yang sudah ditambal:
python -m pip install --upgrade certifi pip
python -c "import certifi; print(certifi.where())"Dampak dan catatan upgrade
Kalau proyek Anda depend ke certifi, pip, atau sigstore, pastikan sudah upgrade ke versi yang sudah dipatch — terutama kalau masih pakai virtualenv lama yang dibuat sebelum insiden ini. PSF juga menyarankan subscribe ke mailing list security-announce untuk advisory Python, pip, dan insiden serupa di masa depan. Ke depan, PSF melihat kemungkinan mengintegrasikan mekanisme revocation certificate seperti CRL (yang sudah dipakai browser) ke Python, dan menyebut proyek upki — yang sudah diadopsi Ubuntu — sebagai kandidat yang layak dipantau untuk memberi fungsi revocation serupa di level sistem.
---
Pertama diumumkan di Python Software Foundation. Baca sumber aslinya untuk detail lengkap.