certifiバンドルに、中間CAの鍵が侵害されたemSignのルートCAが含まれています。

2026年10月18日以前のcertifiのバージョンには、`emSign ECC Root CA - G3`というルート証明書がバンドルに含まれています。このルート証明書に連鎖する8つのeMudhraの中間CA証明書について、秘密鍵が侵害されており、そのCAはこれらの証明書を失効させています。

侵害された鍵のいずれかを持っている攻撃者は、任意のホスト名に対して有効に見える証明書を発行できます。また、攻撃者が経路上にいる場合、certifiバンドルを信頼するクライアントからのTLS通信を傍受または改ざんすることができます。例としては、`requests`、`urllib3`、`pip`、およびPython.orgのmacOSインストーラーなどがあります。

certifi 2026年10月18日のバージョンでは、バンドルからすべてのemSignのルート証明書が削除されました。certifi 2026年10月19日のバージョンでは、影響を受けていないemSignのルート証明書が復元されました。2026年10月19日以降のバージョンにアップグレードし、certifiをバンドルしているコンテナイメージを再構築してください。

影響を受けるパッケージ：
- pip (Python) certifi: 影響を受けるバージョンは2019年3月9日以降、2026年10月18日以前。2026年10月18日のバージョンで修正されています。