افشای یک نقص امنیتی جدی در گواهی‌های دیجیتال شرکت هندی eMudhra، نگرانی‌هایی درباره‌ی امنیت نصب بسته‌های پایتون ایجاد کرده است. این آسیب‌پذیری می‌تواند به مهاجمان اجازه دهد با جعل هویت وب‌سایت‌های معتبر، فایل‌های آلوده را به کاربران تحویل دهند.
ماجرا از کشف ضعف رمزنگاری در هشت گواهی دیجیتال میانی شرکت eMudhra آغاز شد. کلیدهای خصوصی این گواهی‌ها به‌دلیل استفاده از مقادیر تصادفی ناکافی هنگام تولید، به‌آسانی قابل بازیابی بودند. تمامی کلیدها مقادیری کمتر از ۲۵۶ داشتند و مقدار یکی از آن‌ها تنها ۴ بود.
اهمیت ماجرا به نقش گواهی‌های دیجیتال در تایید هویت وب‌سایت‌ها برمی‌گردد. مهاجمی که بتواند ارتباط اینترنتی کاربر را رهگیری کند، ممکن است با استفاده از کلیدهای آسیب‌دیده، گواهی معتبری برای دامنه‌ای مانند pypi.org جعل کند.
در چنین شرایطی، ابزارهای آسیب‌پذیری مانند نسخه‌های قدیمی pip ممکن است بدون نمایش هشدار امنیتی، فایل آلوده را به‌جای بسته‌ی اصلی دریافت کنند. اجرای بسته‌ی مخرب می‌تواند به سرقت اطلاعات یا نصب بدافزار منجر شود.
توسعه‌دهنده‌ای با نام کاربری l4ur3n7 در شبکه‌ی اجتماعی ایکس با انتشار هشداری فوری از کاربران خواست ابزارهای توسعه‌ی خود را به‌روزرسانی کنند.
طبق اطلاعیه‌ی رسمی انجمن پایتون، نسخه‌های امن شامل pip 26.2.2، ابزار uv 0.13.4 و کتابخانه‌ی certifi 2026.10.19 هستند. توسعه‌دهندگان باید محیط‌های مجازی پایتون، گواهی‌های سیستم‌عامل و ایمیج‌های داکر را نیز به‌روزرسانی کنند.
گوگل و موزیلا از هفته‌ی گذشته گواهی‌های آسیب‌دیده را مسدود کردند. تاکنون شواهد تاییدشده‌ای از سوءاستفاده‌ی عملی منتشر نشده است. برخلاف تعبیر هشدارآمیز توییت، خود زبان پایتون یا مخزن PyPI هک نشده‌اند؛ خطر اصلی متوجه نرم‌افزارهایی است که همچنان به گواهی‌های آسیب‌دیده اعتماد می‌کنند.
