
<html>

  <head>


    <meta http-equiv="content-type" content="text/html; charset=utf-8">

  </head>

  <body text="#000000" bgcolor="#FFFFFF">

    <br>

    <br>

    My six-month cadence means it's time for the next releases of 3.4

    and 3.5.Â  There haven't been many changes since the last

    releases--two, to be exact.Â  These two security fixes were

    backported to both 3.4 and 3.5:<br>

    <ul>

      <li>bpo-32981: Fix catastrophic backtracking vulns (GH-5955)</li>

      <li>bpo-33001: Prevent buffer overrun in os.symlink (GH-5989)</li>

    </ul>

    3.5 also got some doc-only changes related to the online "version

    switcher" dropdown.Â  (They weren't backported to 3.4 because we

    don't list 3.4 in the version switcher dropdown anymore.)<br>

    <br>

    <br>

    There are currently no PRs open for either 3.4 or 3.5, and they also

    have no open "release blocker" or "deferred blocker" bugs.Â  It seems

    things are pretty quiet in our two security-fixes-only branches--a

    good way to be!<br>

    <br>

    I therefore propose to cut the RCs in a week and a half, and the

    finals two weeks later.Â  So:<tt><br>

    </tt>

    <blockquote><font size="+1"><tt>WednesdayÂ  July 18 2018 - 3.4.9rc1

          and 3.5.6rc1</tt><tt><br>

        </tt><tt>Wednesday August 1 2018 - 3.4.9 final and 3.5.6 final</tt></font><br>

    </blockquote>

    If anybody needs more time I'm totally happy to accommodate

    them--you can probably have all the time you need.Â  I'm trying to

    keep to my rough six-month cadence, but honestly that's pretty

    arbitrary. <br>

    <br>

    Thanks to all of you who keep making 3.4 and 3.5 better,<br>

    <br>

    <br>

    <i>/arry</i><br>

  </body>

</html>