【漏洞预警】Python 开始拒绝已泄露的中间证书，官方镜像还没有对应标签（CVE-2026-115557）

发布日期： 2026 年 10 月 26 日
更新日期： 2026 年 10 月 27 日
更新内容： 官方镜像已有 3.14.10 和 3.15.2。请按版本线拉取并重建，不要继续用 3.14.9 或 3.15.1。
风险等级： 高危（安全更新）
漏洞编号： CVE-2026-115557
涉及镜像： library/python — 轩辕镜像 · Docker Hub
CVSS： 见 NVD
披露时间： 源码安全版于 2026 年 10 月 25 日发布
相关公告： Python 3.14.10 Security

---

一、漏洞概述

八枚 eMudhra / emSign 中间证书的私钥已经泄露。客户端如果仍接受含这些中间证的 TLS 链，能劫持流量或 DNS 的攻击者就可以伪造服务端。

CPython 在 3.14.10 和 3.15.2 的 ssl 里加了内置 denylist，按公钥拒绝这类链路。更新说明已经写上 CVE-2026-115557。

这是 Python 进程自己的证书校验，和 Docker Engine 29.9.2 里那次 Go 运行时更新不是同一次升级。只升 Engine，不会换掉容器里的 Python。

---

二、漏洞状态

统计截止： 2026 年 10 月 26 日（UTC+8）

---

三、影响范围

用 Python ssl 去连外部 TLS 服务的容器，包括自己写的客户端和基于 library/python 构建的业务镜像。仓库证书已经换成其他 CA 的，这条伪造链不会被接受。Python 版本仍低于上面的修复版时，遇到仍挂在这些中间证上的服务器，校验会继续放行。

3.14.9 和 3.15.1 不包含这次 denylist。把它们重新拉取一遍，不会变成 3.14.10 或 3.15.2。

---

四、修复建议

1. 源码线已经可以升级

源码发行：v3.14.10 · v3.15.2。

发行版安全包的版本号可能不会显示成这两个上游小版本。以该发行版的安全通告为准，安装后重启使用 Python 的进程。

2. 拉取官方镜像并重建（推荐）

bash
docker pull docker.xuanyuan.run/library/python:3.14.10
docker pull docker.xuanyuan.run/library/python:3.15.2

3.14 线用 3.14.10，3.15 线用 3.15.2。需要 slim 变体时，使用 3.14.10-slim 或 3.15.2-slim。把业务镜像的基础标签改掉后重新构建，进入容器执行 python --version 确认。

3.14.9 和 3.15.1 不包含这份 denylist。3.13 及更早还没有对应的正式小版本，继续用发行版安全包，或等该分支的安全版。

Docker Hub： library/python

轩辕镜像： library/python

---

五、临时缓解措施

在容器里的 Python 换到修复版之前：

1. 先处理仍使用这些中间证的服务器
   换掉证书可以缩小伪造面。Python 侧的 denylist 仍然要装。

2. 不要为了连上仓库就关掉证书校验
   未更新的 ssl 会继续接受含这些中间证的链路。

3. 不要把 3.14.9、3.15.1 的一次拉取当成 3.14.10、3.15.2
   修复标签已经分开存在，需要写明小版本号。

---

六、与轩辕镜像用户的相关说明

轩辕镜像提供的是镜像加速与拉取服务，不替代 CPython 的版本修复。加速拉取 3.14.9 或 3.15.1 不会带上这次 denylist。

• 站内页：library/python。
• 3.14 线：docker.xuanyuan.run/library/python:3.14.10。3.15 线：docker.xuanyuan.run/library/python:3.15.2。
• 配置与排错见 轩辕镜像使用手册、镜像拉取 FAQ。

---

七、参考链接

• Changelog：Python 3.14.10 Security · Python 3.15
• 源码发行：v3.14.10 · v3.15.2
• NVD：CVE-2026-115557
• Docker Hub：library/python
• 轩辕站内镜像页：library/python

---

轩辕镜像安全团队
2026 年 10 月 26 日