Python Software Foundation در گزارشی توضیح داده که اکوسیستم Python چگونه به رخنه در intermediate CA متعلق به eMudhra واکنش نشان داد؛ خبری که ۲۰ اکتبر ۲۰۲۶ منتشر شد. چون فرض امن‌بودن HTTPS در بخش‌های مختلف برنامه‌ها و فرایند packaging در Python وجود دارد، پاسخ باید پروژه‌ها و سرویس‌های متعددی را پوشش می‌داد.
به‌گفته این بنیاد، حضور Seth Larson در نقش Security Developer-in-Residence امکان شروع فوری کار را فراهم کرد. ارتباط قبلی با نگه‌دارندگان پروژه‌ها نیز به هماهنگی کمک کرد. هزینه این موقعیت شغلی را Alpha-Omega تأمین می‌کند. اقدامات مهار رخداد در چندین مؤلفه ظرف دو روز انجام شد و برای پروژه‌هایی از جمله certifi، Python، pip، uv، sigstore، virtualenv، conda و pixi اصلاحیه ارائه شد.
نسخه‌های آسیب‌پذیر certifi، pip و sigstore در تمام پروژه‌ها و سرویس‌های تحت مدیریت بنیاد، از جمله PyPI، فرایند انتشار Python و python.org، اصلاح شدند. containerها نیز با مجموعه صحیح certificateها دوباره build شدند. انتشار هشدارها، رکوردهای CVE و اعلان‌ها بخشی از اطلاع‌رسانی به جامعه بود.
در مرکز این زنجیره، certifi قرار داشت؛ packageای که مجموعه CA متعلق به Mozilla را عرضه می‌کند و پروژه‌هایی مثل pip و requests از آن استفاده می‌کنند. این مجموعه فقط root CA دارد، نه intermediate CA؛ بنابراین برای بی‌اعتمادکردن همه certificateهای میانی آسیب‌دیده، لازم بود «emSign Root TLS CA - G3» از آن حذف شود.
وابستگی‌ها پاسخ را پیچیده‌تر کردند: pip وابستگی‌هایش، از جمله Requests و در نتیجه certifi، را همراه خود دارد. Python نیز از طریق ensurepip، نسخه‌ای از pip را برای virtual environmentهای تازه فراهم می‌کند. در نسخه‌های قدیمی Python، ملاحظات سازگاری مانع پاسخ ساده بود. برای پوشش این وضعیت، Python یک denylist اضطراری اضافه کرد تا certificateهای میانی آسیب‌دیده هنگام TLS handshake رد شوند. این اصلاح با CVE-2026-115557 پیگیری و به نسخه‌های قدیمی‌تر نیز منتقل شده است.
گزارش همچنین تفاوت مرورگرها با ابزارهایی مثل pip، git و uv را توضیح می‌دهد: مرورگرها با Certificate Revocation List، بدون نیاز به به‌روزرسانی نرم‌افزار، سریع واکنش نشان دادند. استفاده از چنین سازوکاری در Python هنوز یک امکان آینده است. بنیاد اکنون پذیرش نسخه‌های اصلاح‌شده certifi را دنبال می‌کند و upki، که Ubuntu آن را پذیرفته، از پروژه‌های قابل پیگیری در این زمینه است.
