Incidente com certificado CA da eMudhra/emSign: o que muda para Python em distribuições Linux

O que aconteceu e o que fazer

O post de Eli Schwartz na lista oss-sec, publicado em 22 de outubro de 2026, trata do incidente de segurança com o certificado de autoridade certificadora (CA) da eMudhra/emSign e das implicações para usuários de Python. O autor explica que os pacotes certifi fornecidos por distribuições Linux costumam ser corrigidos ou compilados para usar o repositório de certificados do sistema, e não o pacote embutido. Ele também afirma que o pip é desagregado para usar o certifi do sistema, por meio do requests do sistema.

Na prática, o caminho de confiança de uma aplicação Python depende da distribuição e do modo de empacotamento, não apenas da versão do interpretador. Uma resposta consultiva começaria por um inventário de hosts, imagens de contêiner e pipelines de build que usam Python, identificando onde o certifi é o do sistema e onde é um pacote embutido. Em seguida, seria possível criar testes automatizados de conexões TLS em cada ambiente, um pipeline que reconstrua imagens quando o repositório de certificados for atualizado e um painel com a versão do trust store por ativo. Isso permite remover ou substituir uma CA comprometida de forma rastreável, sem depender de correções manuais em cada servidor.

Como a consultoria pode ajudar

Diagnóstico de exposição: mapeamos quais aplicações Python usam certifi embutido ou o repositório do sistema e quais CAs estão em uso. Depois, implementamos testes de TLS, pipelines de reconstrução de imagens e monitoramento das versões do trust store, com operação contínua no seu ambiente.

Próximo passo

Se sua empresa usa Python em servidores, contêineres ou pipelines de dados, envie uma breve descrição do seu ambiente e do seu caso. Respondemos com uma proposta escopada, com diagnóstico inicial, entregas e formato de operação.