Siber Güvenlik Başkanlığı (SGB), 23 Ekim 2026'da 15:30 TSİ'de TR-26-1389 kodlu bildirimle Python'da yaygın kullanılan kök sertifika paketi certifi için yayımlanan GHSA-6q48-6c7w-9gw2 danışmasını duyurdu: certifi'nin güvendiği «emSign ECC Root CA - G3» köküne bağlı sekiz eMudhra ara sertifika otoritesinin özel anahtarları ele geçirildi; bu anahtarlardan birine sahip, ağda araya girebilen bir saldırgan certifi'ye güvenen araçların TLS trafiğini okuyup değiştirebilir. Geliştiricilerin ve sistem yöneticilerinin pip, uv, conda veya pixi kullanan ortamları, requests ile urllib3 tabanlı uygulamaları, python.org macOS kurulumlarını ve Python barındıran container ile CI/CD hatlarını yeni sürümlere geçirmesi gerekiyor.
Sorun ne: emSign kökü ve sekiz ara sertifika
GitHub danışmasına göre açık, 2019.03.09'dan 2026.10.19 öncesine kadarki certifi sürümlerini etkiliyor. SGB bildirimi sorunu kritik seviyede olarak değerlendiriyor; GitHub danışmayı Critical olarak sınıflandırıyor (CVSS 4.0 puanı 9,1). Herhangi bir CVE numarası bulunmayan zayıflık, certifi 2026.10.19 sürümüyle giderildi. Paketin 2026.10.18 sürümü tüm emSign köklerini kaldırdı; 2026.10.19 sürümünde ise etkilenmeyen emSign kökleri yeniden eklendi. SGB ve olay sayfasına göre özel anahtarlar hatalı üretildiği için sertifikaların kendisinden hesaplanabiliyor. Olay sayfası bunun, sertifikaların oluşturulduğu Nisan 2025'ten beri mümkün olduğunu belirtiyor. SGH, eMudhra'nın 8 ara sertifikasının anahtarlarının ele geçirildiğini 21 Ekim'de yazmıştı.
pip neden ayrıca güncellenmeli
pip paket yöneticisi, işletim sisteminin güven deposuna ek olarak her durumda kendi içindeki certifi kopyasını kullanıyor. Bu nedenle 26.2.2 öncesi pip sürümleri, işletim sistemi güncellense dahi ele geçirilmiş sertifika otoritelerine güvenmeye devam ediyor. Tarayıcılar sertifika şeffaflığı (Certificate Transparency, CT) denetimi sayesinde risk altında görülmüyor; ancak pip, curl ve sunucu tarafı uygulamalar gibi CT denetimi yapmayan istemcilerin hedef alınıp alınmadığı bilinmiyor. SGB ayrıca pypi.org taklit edilerek zararlı paket yüklenmesi yoluyla tedarik zinciri saldırısı riski bulunduğunu belirtiyor.
Düzeltilmiş sürümler
- certifi 2026.10.19
- pip 26.2.2
- uv 0.13.4
- sigstore 4.5.1
- conda 26.9.4
- pixi 0.82.1
CPython tarafında 21 Ekim 2026'da yayımlanan 3.15.1, 3.14.9 ve 3.13.17 sürümleri, kurulumla birlikte gelen pip'i 26.2.2'ye yükseltti. SGB'nin aynı gün yayımladığı Node.js bildirimi (TR-26-1388) de eMudhra ara sertifikasının Node.js'in güvenilir listesinden çıkarıldığını belirtiyordu.
SGB'nin önerdikleri
- İvedilikle certifi 2026.10.19, pip 26.2.2, uv 0.13.4, sigstore 4.5.1, conda 26.9.4 ve pixi 0.82.1 ya da daha yeni sürümlere geçilmeli.
- pip güncellemesi, araya girme ihtimaline karşı SHA256 özetiyle sabitlenmiş doğrudan bağlantı üzerinden yapılmalı; ayrıntılar discuss.python.org duyurusunda yer alıyor.
- Sistemlerde bulunan tüm sanal ortamlarda (venv) pip ve certifi ayrı ayrı güncellenmeli.
- Container imajları katman önbelleği kapatılarak güncel ca-certificates paketleriyle baştan derlenmeli.
- İşletim sistemi ca-certificates paketleri ve tarayıcılar güncel tutulmalı.
- macOS'ta yerleşik curl, git ve python3 araçlarının kullandığı
/etc/ssl/cert.pemdosyasından etkilenen kök sertifikalar temizlenmeli. - İstemcilerin durumu olay sayfasındaki test adresleriyle doğrulanmalı.
SGB, uygulanan güvenlik güncellemesinin geçmişte gerçekleşmiş olası bir ihlali ortadan kaldırmayacağını hatırlatarak güvenilmeyen ağlarda paket yüklenmiş geliştirici sistemleri ile CI/CD hatlarının ihtiyaten incelenmesini öneriyor. Bildirimde Türkiye'deki etki hakkında sayı verilmedi. Anahtarların saldırılarda kullanıldığına dair doğrulanmış bilgi bulunmuyor. Danışmanın CVE numarası yok; CISA'nın KEV kataloğunda da ilgili bir kayıt yer almıyor.
Kaynaklar
- T.C. Siber Güvenlik Başkanlığı — TR-26-1389 Python certifi Güvenlik Bildirimi, 23 Ekim 2026
- GitHub Advisory Database — certifi bundles emSign root CAs with compromised intermediate CA keys (GHSA-6q48-6c7w-9gw2), 20 Ekim 2026
- discuss.python.org — Information for Python users regarding eMudhra / emSign CA certificate security incident, 20 Ekim 2026
- eMudhra Intermediate CA Compromise olay sayfası, 20 Ekim 2026
- Python.org — Python 3.15.1, 21 Ekim 2026
Kapak (temsili): Python logosu, www.python.org, Wikimedia Commons, kamu malı (Public domain) (koyu zemine yerleştirildi, 1200×675). Python adı ve logosu Python Software Foundation'ın ticari markasıdır.
