2 ноября 2026 года Damian Shaw от имени PyPA анонсировал pip 26.3. Это финальный квартальный feature-релиз 2026: жёстче установка wheel, больше способов поставить зависимости из pylock.toml и видимые предупреждения build backend при локальной сборке.
Если коротко для админа: обновиться имеет смысл. После 26.1 unexpected imports при установке wheel только предупреждали, в 26.3 их уже блокируют. Плюс меньше шансов оставить мусор после прерванной установки и меньше утечек credentials из предупреждений кэша.
Wheel: unexpected imports больше не проходят
В security policy pip уточнили то, что и раньше подразумевалось: ставить untrusted wheels никогда не считалось безопасным. У Python динамический import, поэтому pip не может гарантировать, что установка wheel не выполнит чужой код.
С 26.1 pip предупреждал о неожиданных import во время установки. В 26.3 такие import блокируются, а после установки остаются предупреждения про unsafe imports. Отдельно улучшили восстановление после прерванной установки. Если легитимный пакет ломается на этой политике, авторы просят открыть issue.
pylock.toml: extras, groups и —no-binary
Экспериментальная установка из pylock.toml получила несколько дыр, которые раньше мешали на практике. Можно выбрать extras из lock-файла:
python -m pip install -r "pylock.toml[extra1,extra2]"
И non-default dependency groups из локального lock:
python -m pip install --group pylock.toml:dev --group pylock.toml:docs
-r pylock.toml ставит default groups, если они заданы. Флаг --no-binary теперь корректно берёт sdist по URL из lock, а не лезет за ним на индекс и не падает, когда в lock нет wheel. Всё это по-прежнему experimental.
BuildBackendWarning на обычной verbosity
При установке локальных проектов, включая editable, предупреждения UserWarning от build backend теперь видны как BuildBackendWarning без поднятия verbosity. Раньше легко пропустить, что в setup.cfg указан long_description = file: README.md, а файла нет.
python -m pip install . # .../setuptools/config/expand.py:128: BuildBackendWarning: File '.../README.md' cannot be found # Successfully installed warning-example-0.1
Для сборок из архивов и remote sources те же предупреждения уходят в debug: чтобы увидеть, нужен -vv.
Что ещё поправили
В changelog и анонсе отдельно отмечены правки конфигурации, build constraints и то, что предупреждения wheel cache больше не светят credentials из URL. Обновили vendored-зависимости (certifi, packaging, urllib3 и другие). Релиз собирали и публиковали на PyPI через GitHub Actions с Trusted Publishing.
Обновиться просто:
python -m pip install --upgrade pip python -m pip --version
pip 26.3 закрывает год feature-релизами: установка wheel стала строже, pylock.toml удобнее в повседневных сценариях, а локальная сборка меньше молчит о проблемах backend. Имеет смысл обновить pip в CI и на рабочих venv, особенно если ставите пакеты из lock-файлов или ловите странные обрывы установки.
