Python 3.15.1、3.14.9 和 3.13.17 发布
内容提要
Python 发布 3.15.1、3.14.9 和 3.13.17 安全更新，内置 pip 升级至 26.2.2（含 certifi 2026.10.19），以应对 eMudhra/emSign CA 证书安全事件。3.13 虽已进入仅安全维护阶段，仍特别提供安装包。建议所有虚拟环境升级 pip 和 uv，文中给出各版本升级命令。macOS 安装包改用预发布 Tk，修复 macOS 27.0 上 tkinter/IDLE 可能卡死的问题。
延伸解读
为何 3.13 也获得特殊安全更新
Python 3.13 已进入仅安全维护阶段，按惯例安全更新不会升级内置 pip，以免引入向后兼容问题。但此次因 eMudhra/emSign CA 证书安全事件，且 3.13 刚转入该阶段不久，发布团队认为提供带安装包的特殊版本是审慎之举。这提醒使用 3.13 的开发者：即使处于安全维护期，也可能因证书类紧急问题收到包含 pip 升级的版本。
虚拟环境需单独升级 pip 和 uv
文章强调，系统中所有现有虚拟环境都应升级 pip 和 uv 至最新版本。这意味着仅安装新版 Python 并不够，已有虚拟环境仍可能使用旧版 pip 和旧证书。文中给出了在虚拟环境中安全升级 pip 的具体命令，并建议同时升级 uv。对于无法立即升级 Python 的用户，也提供了针对 macOS 安装的 pip 和 certifi 升级方式。
macOS 安装包改用预发布 Tk 修复卡死
此次 macOS 安装包使用预发布版 Tk 构建，目的是修复旧版本在 macOS 27.0 上使用 tkinter 的应用（如 IDLE）可能出现的卡死问题。这说明该修复针对特定系统版本下的 GUI 工具链兼容性，而非通用功能更新。使用 tkinter 或 IDLE 的 macOS 用户升级后应能避免该卡死现象，但预发布 Tk 本身也提示该组件尚未进入正式稳定阶段。
Q&A
Python 3.15.1、3.14.9 和 3.13.17 为什么发布？
这些是紧急安全更新版本，主要为了应对 eMudhra/emSign CA 证书安全事件，将内置 pip 升级到 26.2.2（包含 certifi 2026.10.19）。
Python 3.13 已经进入仅安全维护阶段，为什么这次还提供安装包？
因为 3.13 刚刚进入仅安全维护模式，出于安全考虑，特别发布带安装包的版本，以应对证书安全事件。
如何升级虚拟环境中的 pip 到安全版本？
在虚拟环境中运行：python -m pip install "pip @ https://files.pythonhosted.org/packages/3f/06/3e4420302363fbb71be3c7f35ce042f54bfca330e3e66b3a2e3c4cca579f/pip-26.2.2-py3-none-any.whl#sha256=fd7f4dfa8190e014013b9f08f3e973f4e4c26ffd179a204895533a7254813a70"
如果暂时不能升级 Python 版本，如何修复 macOS 上的证书问题？
对于 Python 3.15 macOS 安装，可以分别运行命令升级 pip 和 certifi：使用 /Library/Frameworks/Python.framework/Versions/3.15/bin/python3.15 -m pip install 指定 pip 轮子，以及 -m pip install --upgrade certifi。3.14 和 3.13 类似，替换版本号即可。
这次更新是否解决了 macOS 27.0 上 IDLE 或 tkinter 卡死的问题？
是的，macOS 安装包改用预发布版 Tk 构建，修复了旧版本在 macOS 27.0 上使用 tkinter（如 IDLE）可能卡死的问题。
除了升级 Python 本身，还需要对现有虚拟环境做什么？
建议对所有现有虚拟环境升级 pip 和 uv 到最新版本，以确保安全。
