Cyber ·
Incidente do certificado CA eMudhra/emSign e a recomendação sobre certificados raiz em Python
Em 22 de outubro de 2026, um participante da lista oss-sec recomendou que pacotes Python deixem de incluir certificados raiz e usem por padrão o repositório de confiança do sistema, com exceção do certifi.
O Radar registra um post publicado na lista de discussão oss-sec em 22 de outubro de 2026, no contexto de um incidente de segurança envolvendo o certificado CA da eMudhra/emSign. O autor diz ter passado o dia lidando com esse problema específico e afirma que pacotes Python, com exceção do certifi, deveriam parar imediatamente de empacotar certificados raiz.
A recomendação central é que os usuários instalem o pacote ca-certificates da distribuição ou algo semelhante. Se isso for impossível por algum motivo, o autor sugere oferecer uma opção para usar o certifi, que deveria ser uma dependência e não ser empacotado junto, mas afirma que o repositório de confiança do sistema deveria ser a fonte padrão de referência.
O texto disponível no Radar é uma tradução automática e está truncado no fim, com a frase sobre o tipo de surpresa incompleta. Por isso, o Radar não reporta detalhes técnicos do incidente além do que está acima. Para o escopo exato do certificado afetado, as datas de ação e as versões de pacotes envolvidas, consulte a mensagem original na lista oss-sec e as comunicações da própria emissora.
A relevância para organizações que usam Python é de gestão de confiança: se bibliotecas carregam uma cópia própria de certificados raiz, a correção de um incidente pode depender de atualizar pacotes diferentes em momentos diferentes. Para verificar o próprio ambiente, liste as bibliotecas de comunicação HTTPS utilizadas e confirme de onde cada uma lê os certificados confiáveis.