هشدار به کاربران پایتون؛ خطر نصب بدافزار به‌واسطه آسیب‌پذیری جدی در گواهی‌های دیجیتال
اخیراً یک نقص امنیتی جدی در گواهی‌های دیجیتال متعلق به شرکت هندی eMudhra کشف شده است که نگرانی‌های بسیاری را درباره‌ی امنیت در نصب بسته‌های پایتون ایجاد کرده است. این آسیب‌پذیری قادر است به هکرها این امکان را بدهد که با جعل هویت وب‌سایت‌های معتبر، فایل‌های آلوده را به کاربران تحویل دهند.
مشکل اصلی وقتی روشن شد که ضعف‌های رمزنگاری در هشت گواهی دیجیتال میانی این شرکت کشف گردید. کلیدهای خصوصی این گواهی‌ها به دلیل استفاده از مقادیر تصادفی ناکافی در فرآیند تولید، به شدت آسیب‌پذیر شدند. تمامی این کلیدها از مقادیر کمتر از ۲۵۶ بیت برخوردار بودند و یکی از آن‌ها تنها دارای مقدار ۴ بود.
اهمیت این حادثه به نقش بنیادین گواهی‌های دیجیتال در تأیید هویت وب‌سایت‌ها مربوط می‌شود. یک مهاجم که بتواند ارتباطات اینترنتی کاربران را تحت نظر قرار دهد، می‌تواند با بهره‌گیری از کلیدهای آسیب‌دیده، اقدام به جعل گواهی معتبر برای دامنه‌هایی نظیر pypi.org کند.
در این وضعیت، ابزارهای آسیب‌پذیر مانند نسخه‌های قدیمی pip ممکن است بدون اینکه هیچگونه هشدار امنیتی ارائه دهند، فایل آلوده‌ای به جای بسته‌ی اصلی را دانلود کنند. این اقدام می‌تواند به سرقت اطلاعات یا نصب بدافزار منجر شود.
یکی از توسعه‌دهندگان با نام کاربری l4ur3n7 در شبکه اجتماعی ایکس با به اشتراک‌گذاری هشداری فوری از کاربران خواست تا ابزارهای توسعه‌ی خود را به‌روز کنند.
طبق بیانیه‌ی رسمی انجمن پایتون، نسخه‌های امن شامل pip 26.2.2، ابزار uv 0.13.4 و کتابخانه‌ی certifi 2026.10.19 هستند. توسعه‌دهندگان همچنین باید محیط‌های مجازی پایتون، گواهی‌های سیستم‌عامل و ایمیج‌های داکر را نیز به‌روزرسانی نمایند.
گوگل و موزیلا از هفته‌ی گذشته اقدام به مسدودسازی گواهی‌های آسیب‌دیده کرده‌اند. تاکنون شواهد معتبر و مشهودی در خصوص سوءاستفاده‌های عملی گزارش نشده است. با وجود نگرانی‌های مطرح‌شده در توییت‌ها، هیچگونه نفوذی در خود زبان پایتون یا مخزن PyPI رخ نداده و خطر عمده متوجه نرم‌افزارهایی است که همچنان به این گواهی‌های آسیب‌دیده اتکا دارند.
