certifi : risque d’interception TLS lié à des clés intermédiaires emSign compromises

Veille sécuritéBackend & données

P3Critique

Les versions de `certifi` antérieures à 2026.10.19 incluaient une racine emSign associée à huit certificats intermédiaires dont les clés privées étaient compromises et révoquées. Un attaquant disposant d’une clé compromise et placé sur le chemin réseau pouvait présenter des certificats valides en apparence et intercepter ou modifier le trafic TLS des clients concernés.

IdentifiantAvis de sécurité

GravitéCritique

Exploitationnon connue / non déterminée

Correctif2026.10.19

Source : GitHub Advisory — GHSA-6q48-6c7w-9gw2

Analyse technique

Certifi 2026.10.18 a retiré toutes les racines emSign; la version 2026.10.19 a rétabli celles qui ne sont pas concernées. Le problème touche notamment les clients utilisant le magasin de certificats fourni par certifi.

Impact, versions et correctif

Événement datéL’avis GHSA a été publié pendant la période demandée; cet événement de publication est retenu.

ImpactInterception ou modification possible du trafic TLS pour les clients vulnérables, sous les conditions décrites dans l’avis.

Versions affectéescertifi >= 2019.03.09, < 2026.10.19

Version corrigée2026.10.19

Exploitation activenon connue / non déterminée

PoC publicinconnu

Publication2026-10-20T19:35:05Z

Mise à jour2026-10-20T19:35:06Z

Action recommandée

Mettre à niveau certifi vers 2026.10.19 ou une version ultérieure et reconstruire les images de conteneur qui embarquent certifi.

Sources

GitHub Advisory — GHSA-6q48-6c7w-9gw2

Priorisation DFS : P3 · 1 source(s).