> ## Content Index
> Fetch the complete content index at: https://globalfeed.ai/llms.txt
> Use this file to discover other available public pages before exploring further.

# eMudhra krizi Python'u sarstı: pip ve certifi hemen güncellenmeli
- URL: https://globalfeed.ai/emudhra-krizi-pythonu-sarsti-pip-ve-certifi-hemen-guncellenmeli/
- Published: 2026-10-23T00:36:29.000Z
- Updated: 2026-10-23T00:36:29.000Z
- Description: Hindistan merkezli sertifika kuruluşu eMudhra'nın ele geçirilen anahtarları Python dünyasını tarayıcılardan çok daha sert vurdu. pip kendi sertifika listesini içinde taşıdığı ve bu kapatılamadığı için, işletim sistemi güncel olsa bile eski pip sahte sertifikalara güvenmeye devam ediyor. Python çekir
- Author: GlobalFeed Editor
- Tags: Python, pip, certifi, eMudhra, siber güvenlik, HTTPS, x-ThePSF, x-pypi, dil-tr, elle

Hindistan merkezli sertifika kuruluşu eMudhra'nın sekiz ara sertifikasının gizli anahtarlarının herkes tarafından bulunabilir çıkması, en çok Python kullananları uğraştırıyor. CPython çekirdek geliştiricisi Seth Michael Larson'ın 20 Ekim'de Python'un resmi tartışma sitesinde açtığı ve sabitlenen [bilgilendirme başlığına](https://discuss.python.org/t/information-for-python-users-regarding-emudhra-emsign-ca-certificate-security-incident/109576?ref=globalfeed.ai) göre Python kullanıcılarının bazı paketleri hemen güncellemesi ve kapsayıcı (container) imajlarını önbelleği kapatarak yeniden oluşturması gerekiyor. Aksi halde python.org ve pypi.org'a bağlanan araçlar araya girme saldırısına (MITM) açık kalabiliyor. Başlık iki günde 90 binden fazla kez görüntülendi ve onlarca yanıt aldı.

## Olay neydi

eMudhra'nın Nisan 2025'te ürettiği sekiz ara sertifikanın gizli anahtarları, olması gerekenden çok küçük sayılardı; biri yalnızca 4'tü. Bu anahtarlarla herhangi bir site adına geçerli görünen sahte HTTPS sertifikası üretmek mümkündü. Tarayıcılar sertifikaları 17 Ekim gecesi engelledi, Mozilla ve Google eMudhra'nın ECC kök sertifikasını güvenden çıkardı. Ancak bu ara sertifikaların bir kısmı, eski sertifika listelerinde hala bulunan başka bir kökle (Comodo/Sectigo AAA Certificate Services) de çapraz imzalanmıştı. Python araçlarını asıl zorlayan bu oldu.

## Python neden daha sert etkileniyor

Tarayıcılar ve işletim sistemleri iptal listelerini kendileri dağıttı. Python dünyasında ise birçok araç güvendiği kök sertifikaları kendi içinde taşıyor. Tartışmada uzun süredir Python'un güvenlik tarafında çalışan Christian Heimes'in açıkladığına göre pip, güvendiği sertifikaları her zaman kendi içine gömülü certifi kopyasından okuyor ve bunu kapatmanın desteklenen bir yolu yok. Kendi sertifika dosyanızı göstermek de eski listeyi devre dışı bırakmıyor. Sonuç olarak **26.2.2'den eski her pip sürümü, ele geçirilen ara sertifikalara güvenmeye devam ediyor**; Heimes'e göre tek güvenilir çözüm pip'i güncellemek.

Bu, pip install sırasında araya giren birinin sahte bir sertifikayla kendini PyPI gibi gösterip zararlı paket verebileceği anlamına geliyor. Bu yüzden resmi başlıkta pip'in, doğrulama kodu (hash) sabitlenmiş doğrudan bir adresten kurulması öneriliyor; bu yöntem, araya girme saldırısı olsa bile doğru dosyanın kurulmasını sağlıyor. **Bu komutu ve içindeki doğrulama kodunu ikinci el kaynaklardan değil, yalnızca resmi tartışma başlığından kopyalayın.**

## Güncellenmesi gerekenler

Resmi başlıkta ve bağlantılı güvenlik duyurularında verilen en düşük güvenli sürümler:

- **certifi 2026.10.19** (güvenlik duyurusu 2026.10.18 diyor, başlıkta 2026.10.19 öneriliyor; duyuru "kritik" düzeyde)
- **pip 26.2.2**
- **uv 0.13.4** (uv'nin kendi duyurusu "yüksek" düzeyde)
- **conda 26.9.4**; conda-forge'da ca-certificates 2026.10.19, Anaconda kanalında 2026.10.20
- **pixi 0.82.1**, **sigstore 4.5.1**
- PyPI'a paket yükleyen GitHub eylemi **pypi-publish 1.14.3**; tekerlek (wheel) derleyen **cibuildwheel 4.3.3**, Python 3.9'daki pip için 4.3.4
- Güncel pip içeren Python sürümleri: **3.15.1, 3.14.9 ve 3.13.17**

uv kullananlar için tartışmada ek bir yol da veriliyor: UV\_SYSTEM\_CERTS=true ayarıyla uv işletim sisteminin sertifikalarını kullanabiliyor. pip için böyle bir ayar yok.

## İşletim sistemine göre durum

- **macOS (python.org kurulumu):** Başlığa göre certifi bu kurulumun içinde geliyor; ayrıca güncellenmesi gerekiyor.
- **macOS (sistemle gelen Python):** Olay sayfasına göre macOS ele geçirilen sertifikaları engelledi, ama sistemle gelen python3, curl ve git, güncellenmemiş /etc/ssl/cert.pem dosyasına bakıyor; sistemdeki pip de kendi eski listesini kullanıyor.
- **Windows:** Microsoft engeli otomatik güncellemelerle dağıttı. Güncelleme almayan makineler için ayrı bir betik var, ancak kurumsal yönetilen cihazlarda önerilmiyor.
- **Linux:** Dağıtımın ca-certificates paketine bağlı; Ubuntu, Debian, Fedora, Alpine, Arch ve diğerleri güncelleme yayımladı. Debian, kendi pip paketini sistem sertifikalarını kullanacak şekilde değiştiriyor.

## Docker, CI ve kilit dosyaları

Tartışmada bir kullanıcı, resmi python:3.15-slim Docker imajının pip 26.2.1 ile geldiğini, yani güvensiz olduğunu bildirdi. Python çekirdek ekibinden yanıt, bu "resmi" imajların Python projesinin değil Docker'ın resmi imajları olduğu ve ayrı ekipçe bakıldığı yönündeydi. Python Yönlendirme Konseyi üyesi Barry Warsaw, yarı resmi CI imajlarının en son sürümlere otomatik güncellendiğini, bu yüzden Python 3.13-3.15 için güvenli olması gerektiğini, 3.16'nın ise alpha 2 çıkana kadar tam güvenli olmadığını yazdı.

Bağımlılıklarını kilit dosyalarıyla (lockfile) ya da sabit sürümlerle yöneten projeler, eski certifi sürümünü sabitlediyse otomatik olarak düzelmiyor. Yeni sürümleri belli bir süre geciktiren (dependency cooldown) ayarlar kullananlar da güncelleyene kadar açık kalıyor. Kapsayıcı imajlarının önbelleksiz yeniden oluşturulması da bu yüzden isteniyor; eski katmanda kalan pip ve certifi, imaj yeniden kurulsa bile değişmeyebiliyor.

## Tartışmanın odağı: 3.11 ve 3.12

Tartışmanın en çok kaynayan kısmı, yalnızca güvenlik düzeltmesi alan Python 3.11 ve 3.12\. Bu dalların güvenlik sürümleri normalde içindeki pip'i güncellemiyor. Sürüm yöneticisi Hugo van Kemenade bunu "güvenlik sürümlerinde normalde pip'i güncellemeyiz" diye açıkladı. Yönlendirme Konseyi'nden Thomas Wouters da pip'in yeni özelliklerden ve geriye uyumsuz değişikliklerden ayrı güvenlik sürümleri olmadığını hatırlattı. Kullanıcılar ise bu sürümleri kullananların varsayılan olarak güvensiz kalacağını söyleyerek eski pip dalları için düzeltilmiş sürüm istedi. pip bakımcıları eski dalları sürdüremeyeceklerini belirtti.

Moderatör Łukasz Langa, sürüm yöneticilerinin pip'i topyekun yükseltmek yerine hedefli bir düzeltmeyi tercih ettiğini ve yakında açıklama yapacaklarını duyurdu. Bu düzeltmenin parçası olarak Heimes, CPython'un ssl modülüne ele geçirildiği bilinen anahtarlar için bir engel listesi ekleyen bir değişiklik önerdi. Önerinin kendisi de tartışma yarattı: Bazı çekirdek geliştiriciler listenin bir güvenlik sınırı olmadığını ve her yeni olayda "Python'u güncelleyin" demenin kalıcı bir çözüm olmaması gerektiğini vurguladı; Heimes listenin yalnızca güvenilen bir kök ya da ara sertifika ele geçirildiğinde güncelleneceğini, son savunma hattı olarak tasarlandığını belirtti. Node.js de benzer bir engel listesi ekledi.

## Kontrol etmek için

- pip sürümünüzü `python -m pip --version` ile, certifi'nin yerini `python -m certifi` ile kontrol edin.
- Olay sayfasındaki deneme adreslerine curl ile bağlanın; sertifika hatası almanız, aracınızın ele geçirilen sertifikalara güvenmediğini gösteriyor.
- Bilgisayarınızdaki bütün sanal ortamları (venv) unutmayın; her birinin içinde ayrı bir pip ve certifi kopyası olabiliyor.

Haberdeki bilgiler Python'un resmi tartışma başlığına, certifi, uv ve conda'nın güvenlik duyurularına ve olayı bildiren araştırmacının sayfasına dayanıyor. Ele geçirilen anahtarların Nisan 2025'ten bu yana fiilen tahmin edilebilir olduğu ve bu sürede kötüye kullanılıp kullanılmadığının bilinmediği unutulmamalı. Tarayıcıların aksine Python araçlarının çoğu sertifika şeffaflık kayıtlarını denetlemediği için, sunucularda, CI hatlarında ve eski Docker imajlarında çalışan Python kodunun güncellenmesi tarayıcıdan daha önemli. Gelişmeleri farklı açılardan görmek için bağımsız güvenlik araştırmacılarının değerlendirmelerini de takip edin.