تم فحص المصادر اعتبارًا من 23 أكتوبر 2026 (UTC) فترة التغطية: 25 يوليو - 23 أكتوبر 2026، مع التركيز على الإعلانات الجديدة والتصحيحات اللاحقة من سبتمبر إلى أكتوبر. الجمهور: المهندسون والمستجيبون الأمنيون الذين يقومون بالصيانة Node.js , Java , Python الخدمات والحاويات وبناء خطوط الأنابيب وبيئات التطوير.

تلخص هذه المقالة المخاطر الأمنية الهامة الأخيرة في Node.js , Java ، و Python أوقات التشغيل والمكتبات القياسية وأطر عمل الخادم الشائعة وتبعياته، ويوفر نطاق التأثير والإصدارات الثابتة وإجراءات التخفيف المؤقتة واختيار التصحيح وطرق التحقق.

قم بتقييم التأثير مقابل إصدارات المكونات والميزات الممكّنة ونقاط الدخول التي يمكن الوصول إليها. تأتي حقائق الضعف من التحذيرات الرسمية؛ تشير التواريخ إلى الكشف العام ما لم تتم الإشارة بوضوح إلى إصدار تصحيح سابق. نحن لا نستنتج ظروف استغلال غير مؤكدة، أو نقاط CVSS أو استغلال في البرية. يتم تحديد نصيحة النشر كإرشادات للتنفيذ.

TL;DR: أولويات المعالجة

  1. قم بتحديث وقت التشغيل الذي يستضيف الخدمة فعليًا أولاً. قم بتحديث فرع Node.js المطابق إلى 22.23.4 / 24.22.1 / 26.12.1. يمكن للخدمات التي تستخدم Node 24 الترقية إلى 24.22.1 ضمن نفس الإصدار الرئيسي أو إصدار أحدث الذي يحتوي على نفس الإصلاحات. S1S2
  2. قم بتحديث تبعيات تطبيق Node بشكل منفصل. بالنسبة إلى Next.js، استخدم 15.5.28 / 16.4.1 كخط أساسي للترقية؛ عند استخدام React Server Components بشكل مستقل، تحقق من حزمة react-server-dom-* المثبتة بالفعل. تحديث الملف الثنائي Node فقط لا يغطي ثغرات إطار العمل هذه. S8S9S10S11S12
  3. Java : تغطية جولتي التحديثات. قم بتثبيت إصدار البائع الذي يغطي كلاً من 20 أكتوبر CPU و21 أكتوبر CVE-2026-91403 إصلاح شهادة الثقة في حالات الطوارئ. انظر القسم 2.2 ل Oracle JDK 11 -27 نسخة خارج النطاق؛ التحقق من التوزيعات الأخرى مقابل حزم الأمان الخاصة بها وأرقام البناء الكاملة. تحديث المقابلة Tomcat فرع ل 9.0.123 / 10.1.61 / 11.0.27 . S16 S17 S18 S20 S21 S22 S23
  4. Python : قم بتحديث المترجم وحزم التطبيقات وحزم الشهادات بشكل منفصل. انظر القسم 2.3 لخطوط الأساس للمترجم؛ certifi يوصي ≥ 2026.10.19 , pip ≥ 26.2.2 ، عند الاستخدام uv ≥ 0.13.4 . يجب فحص كل venv الموجود. ل wrap_bio() الرموز ذات الصلة، صحيحة وغير فارغة server_hostname يجب أن يتم تمريرها أيضًا. S29 S30 S31 S33 S35 S36 S37
  5. إذا كانت الترقية الفورية مستحيلة، فقم بتقليل التعرض عند نقاط الدخول ذات الصلة. إعطاء الأولوية لإيقاف فك تشفير Brotli غير الموثوق به، ومعالجة الصور/الترحيل/الأرشفة المتأثرة، وعزل LDAP التي بها مشكلات أو إدخالات المصادقة؛ الحفاظ على التحقق من شهادات TLS وأسماء المضيفين. لا يمكن لـ WAF الوارد تغطية المسارات الصادرة مثل التطبيقات التي تسحب استجابات مضغوطة ضارة. S3S11S25S27S30S32
  6. إعادة البناء واستبدال العمليات القديمة والتحقق من خلال مسارات الخدمة الحقيقية. حفظ ملف القفل وملخص الصورة، وإعادة بناء التطبيق والصورة، وطرح البدائل لجميع العمال/JVM/الحاويات؛ تحقق من العملية الفعلية وشجرة التبعية ومخزن الثقة واختبارات انحدار الأعمال. لا يثبت إصدار سطر الأوامر الأحدث وحده أن عملية المعالجة قد اكتملت.
  7. إذا تم تثبيت LiteLLM 1.107.0 أو تشغيله، فاتبع إجراءات الاستجابة للحوادث. أكد المشروع تسوية الإصدار في 21 أكتوبر. عزل البيئات المتأثرة، والتحقيق من بيئة نظيفة، وإعادة بناء بيانات الاعتماد المكشوفة وتدويرها. لا تبدأ تشغيل Python/pip في بيئة مشبوهة للتحقق أولاً. انظر القسم 9 للحصول على التفاصيل. S41

1. نظرة عامة على نقاط الضعف وتقييم المخاطر

1.1 إعطاء الأولوية للمعالجة من خلال التعرض الفعلي

أولويات النشر أدناه هي إرشادات التنفيذ. تتبع تسميات الخطورة كل مورد، بما في ذلك تصنيف Apache’s Important. CVSS 3.1 و4.0 هما نظامان مختلفان للتسجيل؛ لا تصنف المشكلات عبرها حسب النتيجة وحدها.

النظام البيئي/الطبقةالقضايا الرئيسيةالدرجة الرسمية أو النتيجة التي تم التحقق منهاأولوية النشر
Node.js التبعية الأصليةCVE-2026-111497: تمت كتابة Brotli خارج الحدود، وهناك خطر RCENode：Highفك تشفير بيانات Brotli S1S3 في نص الطلب الخارجي أو الاستجابة الخارجية
Node.js TLS / DNSCVE-2026-105482، 105483، 106069: التحليل والتحقق من الهوية غير متناسقينHighزحف URL، الوكيل، Webhook، عنوان الهدف الديناميكي S1S5S6
Node.js HTTP/2CVE-2026-56846، 56848: استنفدت الذاكرة وUAFHighNode يتعامل مباشرة مع حركة مرور HTTP/2 غير الموثوق بها S7
React / Next.jsRSC / use cache typed arrays RCECritical；CVSS 4.0 9.5الخادم RSC ومكونات ذاكرة التخزين المؤقت ذات الصلة ومسار البيانات S9S10
Next.js تحسين الصورةCVE-2026-96889: SVG معالجة الصور RCECritical；CVSS 4.0 9.5المثيلات الموجودة على glibc Linux التي يمكنها التعامل مع الصور غير الموثوق بها S11
Next.js Server Actionsيؤدي الطلب المصمم خصيصًا إلى استنفاد CPUHigh；CVSS 4.0 8.2App Router وواحد على الأقل Server Action S12
Java TLS الثقةCVE-2026-91403: استمر في الثقة في الوسيط المتأثر CACVSS 3.1 9.1سيناريو TLS/API S17 باستخدام سلسلة الثقة المتأثرة
Tomcatتجاوز مصادقة JNDIRealm، وخلط الطلبات المتبادلة HTTP/2، وتسرب الاستجابة AJPImportantالموافق لمسار Realm / Connector / async Servlet S21S22S23
Spring for GraphQLCVE-2026-59285: إلغاء تسلسل الترحيل RCEHighJackson 2 + Connection الترحيل + Classpath القابل للاستغلال S25
Spring SecurityCVE-2026-59270: كشف هوية الإدارة المعروفة LDAP المضمنةCriticalتم تمكين LDAP المضمن ويمكن للمهاجم S27 الوصول إلى منفذ الاستماع
CPython sslCVE-2026-19445: يؤدي تبديل السياق SNI إلى UAFCriticalينهي Python TLS بنفسه، ويفي بشرط دورة حياة السياق S29
CPython sslCVE-2026-19553: تخطي التحقق عندما يكون اسم المضيف مفقودًاHighwrap_bio() / استدعاء غير متزامن ذو صلة يفتقد اسم المضيف المتوقع S30
CPython tarfileCVE-2026-82049: تجاوز الارتباط الثابت والارتباط الرمزيHighاستخراج أرشيف القطران غير الموثوق به تلقائيًا S32
Django / GeoDjangoCVE-2026-15307: ملف كتابة الاستعلام المكاني، SSRF، تحت الشرط RCEHighالاستعلامات المكانية أو واجهات الإدارة ذات الصلة التي تقبل الإدخال غير الموثوق به S38
تبعية شهادة Pythoncertifi: عدم الثقة في الشهادة ذات الصلة بـ emSignCritical; GHSA، لا يوجد CVE معروفأداة إدارة العميل والحزم TLS S36S37 لا تزال تستخدم CA bundle المتأثرة

الاختصارات: RCE يرمز إلى تنفيذ التعليمات البرمجية عن بعد، وUAF يرمز إلى الاستخدام بعد الاستخدام المجاني، وSSRF يرمز إلى تزوير الطلب من جانب الخادم. الأذونات المباشرة لـ RCE هي عادةً أذونات العملية التي تستضيف التطبيق ولا يمكن أن تكون معادلة تلقائيًا لأذونات الجذر.

التسلسل الموصى به: يعالج أولاً RCE، الذي يمكن الوصول إليه خارجيًا ويفي بالشروط وتجاوز المصادقة وتسرب البيانات عبر المستخدمين ومشكلات مصادقة الشهادة؛ وفي الوقت نفسه، قم بجدولة التحديثات لنقطة دخول DoS المواجهة للعامة. ليست هناك حاجة لتشغيل حمولات هجومية في الإنتاج لإثبات قابلية الاستغلال. التبعيات موجودة، ويمكن الوصول إلى مسارات التعليمات البرمجية، ويتم استيفاء شروط الهجوم. هذه ثلاث مشكلات تحتاج إلى التحقق منها بشكل منفصل.

1.2 ثلاثة حدود يمكن الخلط بينها بسهولة

  • ترقية أوقات التشغيل والتبعيات بشكل منفصل. لا تقوم التحديثات الأمنية لـ Node وJDK وCPython بإصلاح عمليات التثبيت المستقلة لـ Next.js وSpring وDjango تلقائيًا certifi أو الامتدادات الأصلية.
  • إن عتبة معالجة منفصلة عن خط الأساس الحالي للنشر. إن التصحيح الأول للثغرة الأمنية في أغسطس ليس مضمونًا لتغطية المشكلات الجديدة من سبتمبر إلى أكتوبر؛ يستخدم القسم 2 التحديثات اللاحقة التي تم التحقق منها كهدف للتنفيذ.
  • التمييز بين الثغرة الأمنية والاختراق الفعلي لسلسلة التوريد. بالنسبة للثغرات الأمنية الشائعة، تعمل التصحيحات على إزالة مسارات الهجوم المستقبلية؛ عند تشغيل حزم ضارة، يجب دراسة تأثير بيانات الاعتماد واستمراريتها. القسم 9 LiteLLM هو الحدث المؤكد رسميًا. S41

ما إذا كان هناك استغلال مؤكد في البرية يجب أن يعتمد على الإفصاحات الرسمية. ولم يذكر البائع أنشطة الاستغلال ولا يمكنه إثبات عدم وجود هجوم؛ يجب إجراء المعالجة بناءً على سطح الهجوم الفعلي.

2. فحص سريع للإصدار الثابت وخط الأساس للنشر

المرجع: 2.1 Node.js、React、Next.js

المكون/الفرعالنسخة الأساسية الموصى بهاتعليمات الاستخدام
Node.js 22.x22.23.4الإصدار الأمني S1S2 في 21 أكتوبر
Node.js 24.x24.22.1ينطبق على فرع 24.x؛ 24.22.0 لا يحتوي على التصحيح الأمني بتاريخ 21 أكتوبر S1S2
Node.js 26.x26.12.1الإصدار الأمني في نفس الدفعة S1S2
Node.js 20 وفروع المنبع السابقةالترحيل إلى فرع معتمدلا يقبل Node 20 هذا الإصلاح الأولي؛ يجب التحقق من الدعم الموسع للمورد بشكل منفصل S3
Next.js 15.x15.5.28تم التحديث في 14 أكتوبر S8
Next.js 16.x16.4.1نفس ما ورد أعلاه S8
فرع RSC 19.0 / 19.1 / 19.2 / 19.3 مستقل19.0.9 / 19.1.10 / 19.2.9 / 19.3.1تحقق من حزم react-server-dom-* الثلاثة بشكل منفصل؛ لا تنظر فقط إلى الطبقة العليا react S10
قام Next بالفعل بتحميل sharp≥0.35.5شروط الإصلاح المؤقتة الرسمية لثغرة SVG؛ لا يحل محل تصحيحات Next.js الأخرى S11

يسرد Node رسميًا فروع الصيانة المتأثرة بثغرة أكتوبر، لكنه لا يوفر إصدار التصحيح الذي تم تقديمه في البداية عنصرًا تلو الآخر، لذلك لا يمكن تحديد إصدار البداية الدقيق لكل ثغرة استنادًا إلى نطاق فرع الصيانة وحده. عند النشر، أعط الأولوية لاستخدام الإصدار أعلاه من نفس الفرع أو إصدار لاحق تم تأكيد احتوائه على نفس الإصلاحات.

2.2 Java: أكتوبر CPU بالإضافة إلى تحديث شهادة خارج النطاق

ينطبق هذا الجدول على Oracle JDK. يغطي العمود الثاني CPU بتاريخ 20 أكتوبر فقط؛ والثالث يتضمن إصدار 21 أكتوبر خارج النطاق. لا تغطي إصدارات CPU وحدها جميع مخاطر Java التي تمت مناقشتها هنا. S16S17S18

فرع20 أكتوبر CPUتم إصدار Oracle خارج النطاق في 21 أكتوبر
1111.0.3311.0.33.0.2
1717.0.2117.0.21.0.2
2121.0.1321.0.13.0.2
2525.0.525.0.5.0.2
2727.0.127.0.1.0.2
88u511لا يزال جدول الإصدار العام يعرض 8u511؛ يجب التحقق من البنية الأمنية المحددة وإصلاح سلسلة الثقة، ولا يمكن تحديدها بناءً على رقم الإصدار القصير وحده

يجب التحقق من **Java 8 مقابل معلومات البناء الكاملة:**Oracle يسرد التنبيه 8u511 كإصدار متأثر، وتسرد قائمة الإصدار التحديثات اللاحقة بنفس الاسم المختصر. لا يمكن تمييز حالة التصحيح بناءً على رقم الإصدار القصير “8u511” وحده. يجب عليك التأكد من بناء الأمان المحدد وإصلاحات سلسلة الثقة. S17S18

Temurin، Corretto، Zulu، Microsoft Build of OpenJDK، إصدار الإصدار OpenJDK، وما إلى ذلك، تحقق وفقًا لإعلاناتهم وأرقام الحزمة/الإصدار الكاملة. على سبيل المثال، سجل الإصدار الرسمي لـ ينص Adoptium على إعادة تجميع البنية ذات الصلة لإضافة إصلاح eMudhra؛ نفس اسم الإصدار الرئيسي لا يعني أن محتوى الحزمة هو نفسه. لا يمكن تطبيق قواعد اللاحقة .0.2 الخاصة بـ Oracle ميكانيكيًا على الناشرين الآخرين. S20

مكونات التطبيق Javaالنسخة الأساسية الموصى بهاملاحظات
Tomcat 9 / 10.1 / 119.0.123 / 10.1.61 / 11.0.27التحقق من فرع تلو الآخر؛ توقف Tomcat 10.0 عن الصيانة S21S22S23
Spring for GraphQL 2.0.x2.0.5（OSS）الدعم التجاري هو أيضًا 2.0.4.1 S25
Spring Security 7.1 / 7.07.1.1 / 7.0.7（OSS）يتوافق مع الحد الأدنى لإصدار الإصلاح الذي تم الإعلان عنه في أغسطس؛ تحتاج إلى التحقق من نشرة الأمان اللاحقة S27S28 قبل النشر
Spring Security 6.5 / 6.4 / 5.8 / 5.76.5.12 / 6.4.19 / 5.8.28 / 5.7.26تم إدراج الإعلان كإصلاح دعم تجاري؛ يتم تقييم الترحيل عند عدم وجود دعم مطابق، ولا يمكن افتراض أن Maven Central متاح مجانًا S27

يجب أن تحترم ترقيات Spring الحد الأدنى لإصدار Spring Boot BOM وJava وخطوط التوافق الخاصة بالمشروع. لا تقم بإجبار جميع وحدات Spring مباشرة على نفس الرقم فقط للحصول على التصحيح.

2.3 CPython وDjango وتبعيات الشهادة

يركز العمود الثاني من الجدول أدناه على إصدار TLS الذي تم الكشف عنه في سبتمبر؛ تظهر اختلافات الفروع لـ tarfile في القسم 5.3.. قامت إصدارات 21 أكتوبر أيضًا بتحديث أدوات الشهادات المجمعة، لذا يتضمن العمود الأخير خطوط الأساس للنشر اللاحقة. S29S30S33S35

فرع CPythonالإصدار الأدنى من دفعة الأمان لشهر سبتمبرخط الأساس للنشر الموصى به
3.103.10.22الإصدار الأخير من المنبع، EOL؛ ترتيب الترحيل أو التحقق من دعم ملحق الإصدار S34
3.113.11.173.11.17، وقم بتحديث pip/certifi في كل بيئة على حدة
3.123.12.153.12.15، وقم بتحديث pip/certifi في كل بيئة على حدة
3.133.13.163.13.17
3.143.14.83.14.9
3.15يتضمن الإصدار النهائي من 3.15.0 كلا من إصلاحات TLS S31S473.15.1

لا يجوز إصدار إصدارات الأمان الأولية من 3.11 و3.12 إلا في التعليمات البرمجية المصدر؛ عند استخدام حزمة نظام التشغيل، تحقق من إرشادات المنفذ الخلفي للبائع وإصدار الحزمة الكاملة، وليس هناك أي شرط لاستبدال النظام Python بالقوة بإصدار مجمع ذاتيًا. S33S34

التبعية المستقلةالنسخة الأساسية الموصى بهاالوصف
Django 5.2 / 6.0 / 6.15.2.18 / 6.0.9 / 6.1.2دمج التصحيح اللاحق S38S39 في 6 أكتوبر
certifi≥2026.10.19التصحيح الأولي GHSA هو .18؛ توصي PSF بـ .19 للحفاظ على التوافق مع الشهادات غير المتأثرة S36S37
pip≥26.2.2تحتاج النسخة المضمنة من certifi إلى التحديث بشكل منفصل S35S37
uv (إذا تم استخدامه)≥0.13.4قم بتحديث S37 وفقًا لطريقة التثبيت الفعلية

تغطي خطوط الأساس هذه الإصلاحات المدرجة. تم الكشف عن مشكلة أخرى متوسطة الخطورة في tar_filter في 22 أكتوبر. اعتبارًا من 23 أكتوبر 2026، لم يتم تأكيد إصدار الصيانة الرسمي الذي يحتوي على هذا الإصلاح بعد؛ لذلك، لا يمكن اعتبار أن 3.13.17 / 3.14.9 / 3.15.1 قد غطى كافة مشكلات ملف التعريفة. راجع القسم 5.4. S40

2.4 التحقق من منافذ التوزيع الخلفية

مبادئ التنفيذ المطبقة على Ubuntu وDebian وRHEL وحزم البرامج الأخرى:

  1. قم بتسجيل إصدار نظام التشغيل ومصدر المستودع وإصدار الحزمة الكاملة ورقم النشرة الأمنية للمورد.
  2. تأكد من أن الاستشارة تغطي CVE المحددة وتحدد الحزمة الثابتة لإصدار التوزيع ذي الصلة.
  3. قارن بين الثنائيات/المكتبات التي تم تحميلها بواسطة عملية التشغيل الفعلية، وليس فقط الإصدار القصير المنبع.
  4. عندما لا يكون هناك دليل على تصحيح البائع، اترك الأمر “ليتم تأكيده” ولا تعتبره الاستنتاج الوحيد بأن رقم الإصدار يبدو قديمًا أو جديدًا.

توجد اختلافات في إصدارات حزمة apt/RPM واستراتيجيات المنفذ الخلفي للتوزيعات المختلفة. يجب أن تسود نشرة الأمان وإصدار الحزمة الكاملة لكل توزيع.

3. النظام البيئي Node.js / JavaScript: تحليل الأسباب والعلاج

3.1 CVE-2026-111497: الكتابة خارج الحدود لوحدة فك الترميز الأصلية Brotli

الإفصاح: 2026-10-21؛ Node الصف الرسمي: High. تتطلب الإصدارات المتأثرة من Node 22.x و24.x و26.x تثبيت قسم التصحيح 2.1. Node لا يتضمن الإعلان درجة CVSS الرقمية. S1

تحدث المشكلة في منطق فك التشفير الأصلي عند معالجة الدفق المضغوط Brotli المشوه، والذي يمكن أن يؤدي إلى عمليات كتابة خارج الحدود. يؤكد الوصف الرسمي لـ Vercel أن العرض البحثي يتضمن عمليات تسرب للذاكرة وتنفيذ الأوامر. تعتمد قدرة المهاجم على الوصول إلى وحدة فك التشفير على ما إذا كان التطبيق أو التبعية يقوم بالفعل بفك تشفير البيانات التي يتحكم فيها. S3

يجب التحقق من كلا الاتجاهين في نفس الوقت:

  • inbound: يقوم إطار عمل أو البرنامج الوسيط تلقائيًا بإلغاء ضغط نص طلب Brotli المقدم من قبل المستخدم.
  • **outbound:**HTTP يقوم العملاء وجامعو الصور وما إلى ذلك بالوصول إلى المصادر التي يمكن التحكم فيها من قبل المهاجمين وإلغاء ضغط المحتوى الذي تم إرجاعه تلقائيًا.

لا يؤدي تعطيل ضغط Brotli للاستجابات المرسلة إلى المستعرضات إلى إزالة نقطة إدخال فك التشفير. لا تغطي حماية Inbound WAF أيضًا التطبيقات التي تقوم بجلب وفك تشفير الاستجابات الخارجية. S3

اتجاه **Patch:**Node انقل إصلاح Brotli إلى التبعية الأصلية، وأكمل فحص حالة فك التشفير غير القانوني ونشر الأخطاء. عند الحفاظ على نسخة مجمعة ذاتيًا، يجب عليك استخدام الإصدار الأمني ​​الرسمي أو التصحيح الكامل للفرع المطابق. لا يمكنك فقط تغيير بيان إصدار حزمة JavaScript. S4

اقتراحات التنفيذ المؤقتة: إيقاف فك تشفير Brotli غير الضروري وغير الموثوق به؛ التحقق من سلوك إلغاء الضغط التلقائي للبرامج الوسيطة وعميل HTTP؛ إذا كان يجب على الشركة قبول هذا التنسيق، فأكمل المعالجة في البيئة المصححة في أقرب وقت ممكن. يعد ضبط Accept-Encoding مجرد عملية تفاوض ويجب ألا يكون بمفرده كدليل على حظر الاستجابة الضارة.

3.2 TLS / DNS ثلاثة High: كائن التحقق غير متوافق مع الهدف الفعلي

تم الكشف عن الثلاثة في 21 أكتوبر، مع تحديد حد الترقية الرسمي في القسم 2.1. S1

المعرفتم تأكيد المشكلةالفروع المتضررة
CVE-2026-105482dns.resolve اقتطاع الأسماء التي تحتوي على NUL22.x / 24.x / 26.x
CVE-2026-105483يؤدي IP في شكل رقمي كامل العرض إلى تجاوز التحقق من اسم مضيف الشهادة24.x / 26.x
CVE-2026-106069اسم المضيف الذي يمكن تفسيره بشكل فضفاض على أنه IP يؤدي إلى تجاوز التحقق من TLS22.x / 24.x / 26.x

DNS جوهر المشكلة هو أن السلسلة التي تم فحصها بواسطة الطبقة العليا تختلف عن الاسم الذي تم تحليله بالفعل بواسطة الطبقة السفلية. يرفض التصحيح الرسمي NUL عند إدخال التحليل ويضيف تغطية الانحدار. S6

TLS يشتمل العنصران على تسوية الاسم واتساق تفسير IP ومطابقة الشهادة. قم بالتصحيح بحيث يتم رفض إدخال IP غير القياسي أو يتم التعامل معه بشكل صحيح لتجنب الخلط بين نقطة نهاية IP الفعلية وهوية مجال الشهادة. S5

اقتراحات استكشاف الأخطاء وإصلاحها الفعلية لـ : تعطي الأولوية للتحقق من رمز المستخدم المتلقي URL أو هدف الوكيل الديناميكي أو عنوان Webhook؛ توحيد المعايير والسماح بالحكم على القائمة، ورفض أحرف NUL/التحكم، والتأكيد على أن IPv4 وIPv6 وأسماء النطاقات الدولية لا تزال تعمل. ما إذا كان من الممكن تشكيل SSRF بشكل أكبر يتطلب تطبيق دليل الارتباط، والذي لا يمكن استنتاجه مباشرة من الاسم CVE.

لا تستخدم NODE_TLS_REJECT_UNAUTHORIZED=0 أو rejectUnauthorized: false لإزالة أخطاء المجموع الاختباري بعد الترقية. يجب تصحيح العنوان والشهادة وتكوين العمل.

3.3 يوليو HTTP/2 High-مشكلات نموذج المخاطر والأذونات

لا تزال القضايا التالية التي تم الكشف عنها في يوليو بحاجة إلى تضمينها في التحقيق. يوصى باستخدام خط الأساس لإصدار الأمان لشهر أكتوبر مباشرةً في القسم 2.1 عند النشر. S7

CVEالأسباب والآثارالنسخة الثابتة الأولى
CVE-2026-56846لم يتم تضمين كتلة HTTP/2 header المحتفظ بها بشكل صحيح في ميزانية maxSessionMemory ويمكن أن تستنفد الذاكرة؛ إمباكت 22.x / 24.x22.23.2 / 24.18.1
CVE-2026-56848يعيد HTTP/2 إدخال مسار الإرسال أثناء تجميع الحزم، مما يتسبب في حدوث كومة UAF؛ تأثير 22.x / 24.x / 26.x22.23.2 / 24.18.1 / 26.5.1
CVE-2026-58043--permission تطابق حدود بادئة المسار واسع جدًا، ويمكن الوصول إلى الملفات الموجودة خارج القائمة المسموح بها.نفس خطوط الصيانة الثلاثة المذكورة أعلاه

الثلاثة هم رسميًا High. يعطي العنصران الأولان الأولوية للتحقق مما إذا كان HTTP/2 قد تمت معالجته بواسطة Node نفسه؛ العنصر الثالث له معنى مقابل فقط عند استخدام نموذج الإذن والاعتماد على هذه الحدود. لا يمكن وصف جميع عناصر نموذج الإذن على أنها شبكة RCE لا تتطلب المصادقة. S7

يعد إنهاء HTTP/2 مؤقتًا على وكيل منفصل ومحدث والحد من مصادر الواجهة الخلفية خيار نشر لتقليل التعرض؛ يمكن لحصص الموارد التحكم فقط في عواقب استنفاد الموارد ولا يمكنها تصحيح UAF.

3.4 أكتوبر React / Next.js: عنصران RCE وعنصر واحد DoS

A. RCE في وظائف RSC / use cache التي تقوم بإرجاع المصفوفات المكتوبة

التاريخ العام: 14-10-2026; Critical، CVSS 4.0 9.5. المعرفات الاستشارية الرسمية:

  • React：GHSA-xqc2-xf4c-x3h3。
  • Next.js：GHSA-673q-mjm6-r5xr。S9S10

تتضمن مشكلة المنبع React عدة صفائف مكتوبة مدمجة مع قيم يمكن التحكم فيها من قبل المهاجم في استجابة RSC. إصدارات حزمة react-server-dom-* الثلاثة المتأثرة هي 19.0.0 — 19.0.8، 19.1.0 — 19.1.9، 19.2.0 — 19.2.8، 19.3.0; راجع الفصل 2.1. جانب المتصفح النقي React، أو التطبيقات التي لا تستخدم أطر العمل/المكونات الإضافية التي تدعم RSC على الإطلاق، لا تقع ضمن نطاق هذا العنصر. S10

يسرد إعلان Next.js 16.0.0 — 16.4.0، المنقح في 16.4.1؛ السيناريو هو دالات App Router وCache Components وuse cache التي ترجع صفائف مكتوبة متعددة. لا يوجد حل عام رسمي وموثوق، ويطلب من مستخدمي الإصدارات المتأثرة الترقية في الوقت المناسب. ليس من المناسب الاعتماد فقط على عمليات البحث اليدوية عن “لا يبدو أن هذه الوظيفة موجودة” لإنهاء المعالجة. S9

المرجع: B. SVG Image Optimization RCE

CVE-2026-96889/GHSA-2464-fhr4-w9xw, 2026-10-14, Critical, CVSS 4.0 9.5. تحدث مشكلة في المكتبة الأصلية الأولية المستخدمة لتحسين الصورة. وأشار المسؤولون إلى أن خطر RCE موجود في سيناريو glibc Linux. S11

حقول النسخة الرسمية هي:

  • >=10.0.0 <=15.5.27；
  • >16.0.0 <=16.4.0。

يستخدم المسؤول حدًا أدنى صارمًا لـ >16.0.0 للفرع 16.x، لكن بيان النطاق هذا لا يكفي لإثبات أن 16.0.0 آمن. هدف الترقية الفعلي هو 15.5.28 / 16.4.1 بشكل موحد. S11

الحل المؤقت الرسمي هو التأكد من أن Next يقوم فعليًا بتحميل ≥0.35.5 بشكل حاد. قد تظل ملفات القفل والتبعيات المتداخلة وصور النشر تحتوي على مثيلات قديمة، لذا فإن مجرد إضافة إصدار جديد من تبعية sharp في المستوى الأعلى لا يكفي، ويجب فحص شجرة التبعية النهائية وإعادة بنائها. S11

C. Server Actions CPU استنفدت

**GHSA-p3m5-59mp-jv5r، 14-10-2026، High، CVSS 4.0 8.2.**Next يؤثر على 13.0.0—15.5.27، 16.0.0 — 16.4.0، يعمل على إصلاح 15.5.28 /16.4.1. الشروط هي App Router وServer Action واحد على الأقل؛ يمكن للطلبات الضارة أن تبقي CPU مشغولة لفترة طويلة، مما يمنع الطلبات اللاحقة في نفس العملية. لا تتأثر التطبيقات التي تحتوي على Pages Router أو بدون Server Actions بهذا. S12

لا يوجد أي حل رسمي يمكن أن يحل محل الترقية. يمكن أن تؤدي حدود المعدلات وحدود التزامن وحصص الموارد إلى تقليل الضرر، ولكن لا يمكن استخدامها كاستنتاج للتحقق من التصحيح.

3.5 سابق Next.js في نفس النافذة مشكلة خطيرة

تهدف العناصر التالية إلى تجنب عمليات النشر المفقودة التي لا تزال عالقة في الإصدارات السابقة لشهر أغسطس وسبتمبر؛ لا يُنصح بالانتقال إلى حدود الإصلاح القديمة في الجدول الآن.

التاريخالمعرف / السيناريوالإصلاح الأول؛ العمل الحالي
2026-08-25GHSA-2xp9-vwfh-vxw4: المكتبة الأصلية لتحسين الصور AVIF RCE، Critical15.5.24 / 16.3.3; الآن 15.5.28 / 16.4.1 S13
2026-08-25CVE-2026-75604: RCE، Critical عند استخدام Pages Router وApp Router في نفس الوقت على Windows، ولم يتم تمكين Cache Components؛ الإصدارات >=13.4.0 <15.5.24، >=16.0.0 <16.3.315.5.24 / 16.3.3; لا يتأثر Linux/macOS بمشكلة Windows المحددة S14
2026-09-22GHSA-vcvr-r3jv-pc5j: يقوم مسار إنشاء الصور Node في next/og بمعالجة SVG وCritical غير الموثوق بها؛ 16.2.0—16.3.516.3.6; يقع تطبيق Edge خارج نطاق هذه المشكلة، و15.x ليس فرعًا متأثرًا لـ RCE S15

4. النظام البيئي Java: يتم التعامل مع الثقة في وقت التشغيل والحاويات والأطر بشكل منفصل

4.1 JDK: CPU العادي وCVE-2026-91403 عبارة عن تحديثات ذات مستويين

تسرد مصفوفة المخاطر Java SE لـ Oracle CPU في 20 أكتوبر 55 تصحيحًا أمنيًا جديدًا، تم وضع علامة على 49 منها على أنها قابلة للاستغلال عبر الشبكة دون مصادقة. هذا لا يعني أن هناك 55 Critical، ولا يعني أن هناك 49 مسار RCE قابل للاستغلال المباشر لكل خدمة ويب Java؛ ويجب فهمه جنبًا إلى جنب مع المكونات وواجهات برمجة التطبيقات وتفاعلات المستخدم وشروط النشر في المصفوفة. S16

يتعامل CVE-2026-91403 (CVSS 3.1 9.1) لليوم التالي مع نوع آخر من المخاطر: مجموعة من CA المتوسطة المرتبطة بحدث eMudhra الذي لم يعد موثوقًا به. فهو يؤثر على مصادقة الأقران TLS وسرية/تكامل الاتصال ولا يمكن وصفه بأنه ثغرة أمنية لتلف الذاكرة في JVM. S17

يسرد تحذير Oracle الإصدار الذي تم إصداره في 20 أكتوبر على أنه متأثر، لذا يجب أيضًا تثبيت التحديث خارج النطاق في 21 أكتوبر. راجع القسم 2.2 للاطلاع على الإصدار المحدد. لدى GraalVM أيضًا منتجات متأثرة مقابلة، ويجب أن يخضع الإصدار الثابت لنشرة الأمان الحصرية الخاصة به. S17S18

التدابير الرسمية المؤقتة: قم بالنسخ الاحتياطي أولاً، ثم قم بإزالة الشهادة الجذر المحددة من كل مخزن ثقة مستخدم بالفعل:

  • emSign ECC Root CA - G3، Oracle الاسم المستعار emsigneccrootcag3 [jdk].
  • AAA Certificate Services، Oracle الاسم المستعار comodoaaaca [jdk]. S19

JDK 11 والإصدارات الأحدث، المثال الرسمي هو:

keytool -delete -cacerts -alias "emsigneccrootcag3 [jdk]"
keytool -delete -cacerts -alias "comodoaaaca [jdk]"

استخدم keytool من الهدف JDK لهذه الأوامر وتأكد من أنها تعمل في مخزن الثقة الفعلي للتطبيق. يستخدم Java 8 المسار المطابق لـ jre/lib/security/cacerts؛ يجب التعامل مع تخصيص مخزن الثقة بشكل منفصل، وقد يكون للناشرين الآخرين أسماء مستعارة مختلفة. ستؤدي إزالة شهادة الجذر إلى توسيع نطاق الرفض وسلاسل شهادات الخدمة الشرعية لاختبار الانحدار. S19

يوفر المسؤول أيضًا خيار تمكين فحص الإلغاء، لكن التأثير يعتمد على التنفيذ الفعلي لـ TLS وإمكانية الوصول إلى خدمة الإلغاء واستراتيجية الفشل. بالنسبة لعمليات النشر العامة، قم بإعطاء الأولوية لتثبيت تحديثات المورد الكاملة لتجنب التعامل مع محولي JVM كدليل على إصلاح جميع مكتبات TLS.

4.2 Tomcat: تجاوز المصادقة وعزل الطلبات عبر المستخدمين

تم نشر العناصر الثلاثة التالية على 2026-10-20؛ إدخال الإصدار الذي تم إصلاحه بتاريخ October 12. الدرجة الرسمية لـ Apache هي Important. S21S22S23

CVEالإصدارات المتأثرة المؤكدةالسيناريوهات/النتائج الضرورية
CVE-2026-1012969.0.0.M1—9.0.122；10.1.0-M1—10.1.60；11.0.0-M1—11.0.26JNDIRealm يقوم بتكوين آلية مصادقة غير GSSAPI SASL، والتحقق من بيانات الاعتماد مفقود، وقد تمر أيضًا كلمات مرور غير صحيحة
CVE-2026-1013569.0.118—9.0.122；10.1.55—10.1.60；11.0.22—11.0.26يؤدي خطأ Servlet غير المتزامن الخاص بـ HTTP/2 في معالجة الكائنات بشكل غير صحيح إلى إعادة تدوير/إعادة استخدام الكائنات، مما يتسبب في اختلاط الطلبات أو الاستجابات بين المستخدمين
CVE-2026-103119قم فقط بتأكيد 11.0.0-M25—11.0.26يمكن أن تؤدي عمليات الكتابة الكبيرة غير المحظورة AJP إلى عدم قراءة المخزن المؤقت، مما يؤدي إلى كشف بيانات الاستجابة السابقة في الطلبات اللاحقة.

الإصلاح المقابل هو 9.0.123 / 10.1.61 / 11.0.27؛ تم إدراج AJP كـ Tomcat 11 فقط وفقًا للإعلان، ولا يمكن توسيعه إلى ثلاثة فروع بنفس المشكلة. S21S22S23

يعمل تصحيح JNDIRealm على إصلاح فجوة التحقق في عملية المصادقة الفعلية، حيث لا يمكن استخدام “واجهة تسجيل الدخول للتطبيق تبدو طبيعية” بدلاً من التحقق. يجب التحقق من آليات SASL للتأكد من التكوين الفعلي للخدمة، ويجب أن تفشل الاختبارات بسبب كلمات المرور غير الصحيحة. S24

اقتراحات التنفيذ المؤقتة: عزل مسار المصادقة المتأثر؛ تعليق معالجة HTTP/2 لـ Tomcat عندما يسمح العمل بذلك؛ إغلاق AJP عديمة الفائدة. إن تقييد الوصول المباشر إلى منفذ AJP فقط لا يمكن أن يثبت أن حركة المرور التي تدخل عبر الوكيل الأمامي القانوني لن تتأثر. بعد التحديث الرسمي، يجب اختبار الطلبات المتزامنة غير المتزامنة من مستخدمين مستقلين للتأكد من عدم وجود تداخل بين الهويات والاستجابات.

المرجع: 4.3 Spring for GraphQL：CVE-2026-59285

التاريخ العام: 2026-08-20؛ High. متأثر 2.0.0 — 2.0.4، تم إصلاحه 2.0.5 (OSS) أو 2.0.4.1 (الدعم التجاري). S25

يعد هذا خطرًا غير آمن لإلغاء التسلسل في استعلامات الترحيل. الشرط الرسمي هو أنه يجب استيفاء الشروط التالية في نفس الوقت:

  1. استخدم Spring for GraphQL.
  2. قم بإلغاء تسلسل JSON باستخدام Jackson 2.x.
  3. توفير حقل ترحيل الاتصال بالعالم الخارجي.
  4. يحتوي مسار الفصل على فئات محددة يمكنها تنفيذ منطق غير متوقع أثناء إنشاء مثيل أو إلغاء التسلسل.

قد يتسبب طلب GraphQL الضار في حدوث RCE عند استيفاء الشروط. لا يمكن اختزاله إلى “يمكن استغلال جميع برامج Java التي تستخدم جاكسون”. S25

لماذا 2.0.4 غير كافٍ: في يونيو، قدمت CVE-2026-41699 خطوط أساس للتصحيح مثل 2.0.4، وفي أغسطس، أدرج الإعلان بوضوح 2.0.4 في نطاق التأثير الجديد. لذلك، يجب تحديث سجل الإصلاح وفقًا للإعلانات اللاحقة، ولا يمكن استخدام الحد الأدنى من الإصدار القديم CVE. S26

عندما تكون الترقية غير متاحة مؤقتًا، يمكن تعليق حقول ترقيم الصفحات المتأثرة التي يمكن للمتصلين غير الموثوق بهم الوصول إليها؛ يعد تضييق نطاق الأنواع القابلة للإلغاء ومسارات الفئات إجراءً متعمقًا. يجب أن تغطي الانحدارات المؤشرات القانونية، والنتائج المرقّمة، ورفض إدخال الاستثناءات، والتحقق من إصدارات المكونات الفعلية داخل تطبيق JAR النهائي.

4.4 Spring Security: CVE-2026-59270 ومخاطر المصادقة ذات الصلة

CVE-2026-59270, 2026-08-20, Critical. المضمن UnboundIdContainer يسجل بيانات اعتماد المسؤول المعروفة افتراضيًا ويستمع إلى جميع واجهات الشبكة. عندما يتم تمكين المكون ويكون المنفذ قابلاً للوصول، يمكن للمهاجم قراءة بيانات الدليل أو تعديلها؛ المشاريع التي تقدم Spring Security بشكل عام لن تعرض LDAP تلقائيًا. S27

المنطقة المتضررة:

فرعتتأثرقناة الإصلاح/الاكتساب الأولى
7.17.1.07.1.1 OSS; أيضا 7.1.0.1 التجارية
7.07.0.0—7.0.67.0.7 OSS; أيضا 7.0.6.1 التجارية
6.5 / 6.46.5.0—6.5.11；6.4.0—6.4.186.5.12/6.4.19، تجاري
5.8 / 5.75.8.0—5.8.27；5.7.0—5.7.255.8.28/5.7.26، تجاري

المصدر: S27. استكشاف أخطاء التكوين التلقائي spring.ldap.embedded.* ورمز إنشاء مثيل مباشر وإصلاحها؛ أغلق المكون عندما لا تكون هناك حاجة إليه للإنتاج، وتحقق من عنوان الاستماع الفعلي. عندما تحتاج الشركة إلى ذلك حقًا، قم أولاً بتحديد مصادر الاتصال ثم أكمل ترقية المكونات.

**مشكلة المصادقة ذات الصلة: CVE-2026-47841 (High).**WebAuthn تم تعيين مصادقة المستخدم على REQUIRED، وبعد إجراء تسلسل لجلسة HTTP بواسطة التخزين الموزع، قد تؤدي مقارنة هوية الكائن غير الصحيحة إلى إبطال متطلبات المصادقة. يتطلب الهجوم أيضًا أن يمتلك المهاجم جهاز مصادقة المستخدم، وليس تسجيل الدخول التعسفي عن بعد بدون جهاز. بالنسبة للإصدارات المتأثرة المقابلة من 7.1 و7.0 و6.5 و6.4، يتوافق خط الأساس للتصحيح مع هذه الفروع في الجدول أعلاه؛ يجب أن يغطي التحقق الجلسات عبر العقدة ولا يزال يتطلب التحقق من رقم التعريف الشخصي/المقاييس الحيوية. S28

5. النظام البيئي Python: المترجم الفوري والمكتبة القياسية والإطار والشهادات

5.1 CVE-2026-19445: SSLContext UAF في رد الاتصال SNI

تاريخ النشر: 30-09-2026; مستوى PSF: Critical. في خادم Python TLS، يقوم sni_callback بتبديل الاتصال إلى SSLContext آخر، وعندما لا يحتوي السياق الأصلي على أي مراجع أخرى باقية، فإن المحتوى غير المصادق عليه قد يتعطل عميل TLS في الخدمة أو يستدعي مؤشرًا في كائن تم إصداره. S29

جوهر الأمر هو أن كائن Python غير متوافق مع دورة حياة رد الاتصال TLS الأساسية. تم تحرير السياق الأصلي، وقد تظل الطبقة الأساسية محتفظة بالحالة المطلوبة لرد الاتصال؛ يجب استخدام التصحيح الأصلي للمترجم لإصلاح دورة الحياة المرجعية. S47

Scope: كود Python الذي يعمل فقط كعميل TLS لا يتأثر بهذا العنصر؛ الوضع العادي لمقبس الاستماع الذي يحتفظ بالسياق الأصلي لفترة طويلة لا يقع في مسار الفشل المحدد الموضح في الإعلان. بعد إنهاء Nginx لـ TLS، يقوم فقط بتسليم HTTP المحلي إلى Python، ويتعامل Python مباشرة مع SNI بنفسه، وهو سطح هجوم مختلف. S29

وفقًا للإصدار الثابت 3.10—3.14، راجع القسم 2.3.. تم إصلاح الإصدار الرسمي من 3.15، ويمكن بالفعل تحديد 3.15.1. تحديث تبعية pip فقط لا يمكن أن يحل محل تطبيق _ssl الخاص بالمترجم. S33S35S47

التخفيف المؤقت الرسمي: يحتفظ بمراجع قوية لجميع SSLContext التي قامت بتعيين رد الاتصال SNI حتى نهاية دورة حياة الخادم. يحتاج هذا إلى تغطية عملية الإنشاء الديناميكي الفعلي وتبديل المسارات؛ يجب أيضًا على إصدار OpenSSL 1.1.1 المخصص التحقق من شروط إعادة التفاوض جنبًا إلى جنب مع سجل الإصدار الرسمي وإعطاء الأولوية لإكمال التحديثات. S29S47

5.2 CVE-2026-19553: تم تشغيل إشارة اسم المضيف، لكن اسم المضيف مفقود عند الاتصال

التاريخ العام: 30-09-2026; High. عندماSSLContext.check_hostname=True، إذا لم يتم تمرير wrap_bio() في server_hostname، فقد يتخطى التطبيق الأصلي التحقق من اسم المضيف بصمت. لا يعني نجاح التحقق من سلسلة الشهادات أن اسم المجال المستهدف قد تمت مطابقته أيضًا. S30

يتطلب العلاج كلا الخطوتين:

  • قم بتثبيت الإصدار الأمني للمترجم الفوري المدرج في القسم 2.3.
  • تحقق من wrap_bio()، ومسارات asyncio.create_connection() / loop.start_tls() ذات الصلة، وقم بتمرير اسم المضيف المتوقع وغير الفارغ بشكل صريح، واستمر في تشغيل التحقق من الشهادة. S30

**اختلافات التوافق التي لا يمكن حذفها:**3.10، 3.11، 3.12 مخصصة للتوافق، ويتم إصدار DeprecationWarning فقط في بعض الحالات التي يكون فيها اسم المضيف مفقودًا؛ 3.13 ثم قم برفع ValueError لاحقًا. يميز المنفذ الخلفي 3.12 بوضوح بين None والسلاسل الفارغة: تمت إضافة تحذير جديد لـ None، ولا يزال يتم الإبلاغ عن خطأ للسلاسل الفارغة. لذلك، لا يمكن للمستخدمين ذوي الفروع المنخفضة افتراض أن التحقق من اسم النطاق المفقود في الأصل قد تمت استعادته تلقائيًا بمجرد الترقية. S31S33

في بيئة اختبار، استخدم شهادة سلسلة موثوقة مع اسم مضيف غير متطابق وتأكد من أن عميل التطبيق الفعلي TLS يرفضها. إن مجرد قراءة القيمة المنطقية check_hostname لا يشكل قبولًا كاملاً.

5.3 CVE-2026-82049: تجاوز مجموعة الارتباط في مرشح ملف tarfile

التاريخ العام: 14-09-2026; High. في CPython 3.13 والتطبيقات ذات الصلة السابقة، يمكن لمجموعة الروابط الثابتة والروابط الرمزية في القطران غير الموثوق بها تجاوز مرشح الاستخراج data / tar، وكشف محتويات الملفات خارج دليل التفريغ في شجرة التفريغ، أو تعديل أذوناتهم وأوقات التعديل. S32

تشمل التأثيرات المؤكدة لهذه الثغرة الأمنية عرض محتوى الملف وتعديل بيانات التعريف؛ هذه التأثيرات وحدها ليست كافية لإثبات الكتابة التعسفية لمحتوى الملف الخارجي أو التنفيذ غير المشروط لـ RCE.

للحصول على خطوط أساس التصحيح المقابلة لـ 3.10 — 3.13، راجع القسم 2.3. Python تم إعفاء 3.14 من هذه المشكلة المحددة بسبب تغييرات سلوك os.link() منذ ذلك الحين 3.14.0b1، لذلك لا ينطبق النطاق المتأثر للفرع 3.10—3.13 أعلاه. S33

التدابير المؤقتة والمتعمقة: تعليق الاستخراج التلقائي للأرشيفات غير الموثوق بها؛ استخدام عمليات عاملة معزولة ذات امتيازات منخفضة وأدلة حصرية جديدة عندما يتعين معالجة الأعمال، ورفض الروابط الرمزية والارتباطات الثابتة وإدخالات الأجهزة بواسطة الشركة، والحد من عدد الملفات وموارد إلغاء الضغط. هذه هي توصيات النشر.

يعد filter="data" أكثر ملاءمة للأرشيفات العامة غير الموثوق بها من استراتيجية الثقة الكاملة، ولكن عامل التصفية نفسه في الإصدار القديم به أيضًا هذه الثغرة الأمنية، وإضافة هذه المعلمة وحدها لا يمكن أن تحل محل التحديث. لا يعد الفلتر أيضًا بمثابة صندوق حماية كامل لنظام الملفات. S32S45

5.4 المخاطر التكميلية: CVE-2026-114583 (Medium) وحالة إصدار التصحيح

كشف PSF في 2026-10-22 أن معالجة tarfile.tar_filter لأسماء روابط محددة يمكن تجاوزها، مما يسمح للأعضاء اللاحقين بالكتابة خارج دليل التفريغ، بمستوى Medium. تم دمج الإصلاح الرسمي PR في ذلك اليوم؛ اعتبارًا من 23 أكتوبر 2026، لم يتم تأكيد أي إصدار صيانة رسمي يحتوي على هذا الالتزام. S40

لذلك:

  • تم إدراج هذا العنصر بشكل منفصل باسم Medium.
  • لا يمكن اعتبار إصدارات المترجم الفوري التي تم إصدارها في 21 أكتوبر متضمنة هذا الإصلاح.
  • العملية التي لا تزال تستخدم filter="tar" للتعامل مع الأرشيفات غير الموثوق بها يجب أن تتبع الإصدار الخلفي؛ عزل أو تعليق مسار المعالجة هذا لفترة قصيرة من الزمن. عند التبديل إلى data ورفض الارتباطات، يجب عليك أيضًا التأكد من أنه يلبي متطلبات العمل، ولا يمكن وصف تغيير عامل التصفية بأنه وضع حماية غير مشروط.

5.5 GeoDjango: CVE-2026-15307 والإصلاحات اللاحقة في أكتوبر

2026-08-04، Django الرسمي High. يقوم الاستعلام المكاني بتمرير سلاسل/قواميس معينة ضمنيًا إلى GDALRaster، وقد يقوم برنامج التشغيل بكتابة الملفات أو بدء طلبات الشبكة؛ قد يتم تشكيل RCE عندما تكون هناك مسارات محددة وشروط تنفيذ لاحقة. يمكن أيضًا للموظفين الذين لديهم أذونات عرض نموذج المجال المكاني الوصول إلى هذا المسار من خلال قائمة تغييرات المسؤول. S38

الإصلاح الأولي هو 5.2.17 / 6.0.8، والذي يقيد أنواع الإدخال المقبولة بواسطة عمليات البحث المكانية. قد يؤثر هذا التغيير على العمل الأصلي المتمثل في استخدام السلسلة/القاموس للتعبير عن البيانات النقطية؛ إن مجرد تضمين المدخلات غير الموثوق بها في GDALRaster لا يعني التحقق منها. S38

في 6 أكتوبر، تم إصلاح CVE-2026-87890 (متوسط): يمكن لـ VRT المعبر عنها بالبايت الإشارة إلى الموارد الخارجية ولا يزال يقوم بتشغيل طلبات الشبكة؛ وفي نفس اليوم، تم أيضًا تعزيز حماية DoS للهندسة المتداخلة لـ CVE-2026-15830. لا يمكن ترقية الأخيرين لوصف RCE الجديد عالي المخاطر، لكنهما يشيران إلى أن خط الأساس للنشر يجب أن يكون 5.2.18 / 6.0.9 / 6.1.2. S39

يتحقق التنفيذ من نقطتي الدخول لواجهة برمجة التطبيقات (API) وواجهة الإدارة، ويقيد البحث المكاني غير الموثوق به، وأذونات كتابة الملفات والوصول للخارج؛ بعد التحديث، واختبار الانحدار الاستعلامات المكانية الصالحة ورفض المدخلات المحظورة. تطبيقات Django العادية التي لا تستخدم GeoDjango يجب ألا تطبق هذا الاستنتاج RCE مباشرة.

5.6 certifi / pip: يجب أن تغطي الثقة في الشهادة كل نسخة

GHSA-6q48-6c7w-9gw2، 20/10/2026، Critical، CVE المعروف غير مدرج. هذا هو تحديث عدم الثقة في الشهادة الناتج عن حادثة eMudhra المتوسطة CA. لا يمكن تلخيص ذلك على أنه آلية تشفير HTTPS أو أن جميع شهادات الجذر قد تم اختراقها. S36

أدرجت استشارة certifi في الأصل 2026.10.18 كتصحيح؛ PSF أوصى لاحقًا صراحةً بـ 2026.10.19 للحفاظ على التوافق مع شهادات الجذر غير المتأثرة. خط الأساس التشغيلي هو .19. S36S37

تحتاج إلى التمييز:

الثقة بموقع المادةلماذا تحتاج إلى التحقق بشكل منفصل
حزمة نظام التشغيل CAمادة ثقة النظام للصورة أو المضيف
certifi في venvCA bundle تستخدم فعليًا بواسطة التطبيقات أو الطلبات وما إلى ذلك.
pip المدمج في certifiهي نسخة مختلفة عن certifi المثبتة خارجيًا
uv / أدوات التعبئة والتغليف الأخرىاتبع التحديثات الخاصة بالأداة والمصادر الموثوقة
ملفات CA مخصصة ولقطات مجمعةقد يستمر في تجاوز المصادر الموثوقة الافتراضية للأنظمة أو الحزم

ما ورد أعلاه عبارة عن قائمة مرجعية تعتمد على مواقع التغليف المختلفة. يتطلب PSF تحديث الأدوات ذات الصلة والبيئات الافتراضية الموجودة وإعادة بناء الصورة؛ فقط تحديث المضيف CA أو إعادة تثبيت المترجم لا يمكن أن يثبت أنه تم تحديث جميع النسخ. S35S37

عند الترقية من التمهيد الآمن pip القديم، يوفر PSF أوامر العجلة الثابتة وSHA-256، راجع الملحق S37. لا تقم بإيقاف تشغيل التحقق من TLS أو إضافة --trusted-host لتجاوز مشكلات الشهادة.

6. عملية المعالجة الرسمية

الأوامر التالية مخصصة للبيئات الموثوقة المؤكدة. عند التنفيذ، يجب دمج مدير الحزم الحالي وملف القفل وعملية نشر المشروع لتجنب خلط npm/pnpm/yarn أو pip/uv/Poetry لإنشاء ملفات قفل متضاربة.

تعامل مع الاستثناء أولاً: إذا كنت تشك في أن البيئة قامت بتشغيل الحزمة المخترقة في القسم 9، فقم بعزلها أولاً وفحص القرص وقفل الملف وسجل الصورة من بيئة نظيفة؛ لا تقم بتشغيل الأمر Python/pip التالي أولاً. S41

6.1 قم بإنشاء دفتر أستاذ يمكن أن يتوافق مع حركة المرور الحقيقية

تسجل كل خدمة على الأقل:

  • نقطة الدخول الخارجية، والوكيل العكسي، ومسار الاتصال المباشر بالموقع الأصلي، وقائمة انتظار الخلفية/المهام المجدولة.
  • أمر بدء التشغيل الفعلي أو الحساب قيد التشغيل أو المسار الثنائي أو هوية العملية أو الحاوية.
  • الإصدار الكامل لوقت التشغيل، أو الناشر/المستودع، أو الإصدار الكامل للحزمة، أو ملخص الصور.
  • إطار العمل والتبعيات المتعدية، وملفات القفل، والمكتبات الأصلية، ومسارات مخزن الثقة.
  • يتوافق مع ما إذا كانت حالة الثغرة الأمنية موجودة، وهدف التصحيح، وإعادة تشغيل النطاق، والشخص المسؤول، ونتائج التحقق.

يجب أيضًا التحقق من أجهزة التطوير، ومشغلات CI، وبناء الحاويات، ومهام الخلفية وفقًا لمساراتها إلى المحتوى غير الموثوق به؛ لا تقم فقط بتحديث حاوية الويب العامة.

6.2 Node.js: تحديد وقت التشغيل أولاً، ثم تحديث تبعيات التطبيق

تحقق في بيئة الخدمة الفعلية:

node -p 'JSON.stringify({execPath:process.execPath,node:process.version,openssl:process.versions.openssl,brotli:process.versions.brotli},null,2)'
npm ls next react react-dom react-server-dom-webpack react-server-dom-parcel react-server-dom-turbopack sharp --all
npm audit --omit=dev

يجب تنفيذ node -p باستخدام الملف القابل للتنفيذ الفعلي للخدمة أو داخل حاوية فعلية؛ فهو يتحقق من العمليات التي تم إطلاقها حديثًا ولا يثبت بنفسه أنه قد تم استبدال العامل القديم. يمكن لـ Node إضافة التصحيح إلى Brotli المدمج مع الاحتفاظ بسلسلة إصدار المكتبة الأصلية. لذلك، لا تعتمد فقط على process.versions.brotli لتحديد ما إذا كان قد تم إصلاحه أم لا. يجب عليك دمجه مع إصدار الأمان Node أو دليل المنفذ الخلفي الخاص بالمورد. S2S4

يتم استخدام npm ls لرؤية شجرة التبعية الفعلية؛ قد تؤدي الحزم المفقودة أو تعارضات الأقران أيضًا إلى إنتاج رموز خروج غير صفرية، لذا يجب عليك قراءة المخرجات المحددة. يتم استخدام npm audit كمساعد للتحقق من التبعية ولا يمكن أن يحل محل فحص المكتبة الثنائية والمحلية Node.

استخدم mise لإدارة بيئة Node 24، والتي يمكن تحديثها على النحو التالي:

mise use -g [email protected]
mise exec [email protected] -- node -p 'process.version + " " + process.execPath'

يقوم mise use -g بتكوين الإصدار العالمي؛ لا يزال التكوين المحلي للمشروع بحاجة إلى التحقق بشكل منفصل. إذا قامت الخدمة بإصلاح المسار المطلق القديم أو صورة قاعدة الحاوية أو بيئة حساب مختلف، فيجب تحديث التكوين المقابل وإعادة تشغيل الخدمة. الأمر نفسه لا يحل محل عملية تشغيل قديمة. S43

في مشروع Next، قم بتنفيذ الأمر المقابل وفقًا للفرع المحدد. ل Next 15:

# Next 15 分支
npm install --save-exact [email protected]

ل Next 16:

# Next 16 分支
npm install --save-exact [email protected]

تحقق من التبعيات المتوافقة مع React/RSC، وقم بقفل الملفات والمثيل الحاد النهائي، ثم قم بالبناء وفقًا لعملية المشروع. استخدم ملف القفل المحدث في CI للتثبيت القابل للتكرار، وتحقق من الإصدار في الصورة الجاري تشغيلها بعد الإنشاء. لا تستخدم الإصلاح التلقائي غير المنضبط عبر الإصدارات الرئيسية كحل افتراضي لحالة الطوارئ هذه.

6.3 Java: التحقق من الناشر وJVM الفعلي والمكونات المضمنة

الجرد الأولي:

java -XshowSettings:properties -version

يجب أن تتم محاذاة java.home وjava.runtime.version والناشر في المخرجات مع JVM الذي تستخدمه الخدمة بالفعل. بالنسبة إلى JVM الذي لديه إذن إرفاق، يمكن استخدام jcmd من JDK للتحقق من العملية المستهدفة، وليس فقط غلاف تسجيل الدخول.

تحقق من التبعيات في المشاريع الموثوقة واختر بناءً على أدوات البناء الفعلية:

./mvnw dependency:tree '-Dincludes=org.apache.tomcat.embed:*,org.springframework.security:*,org.springframework.graphql:*'

./gradlew dependencyInsight --dependency tomcat-embed-core --configuration runtimeClasspath
./gradlew dependencyInsight --dependency spring-security-core --configuration runtimeClasspath
./gradlew dependencyInsight --dependency spring-graphql --configuration runtimeClasspath

قد تقوم أوامر البناء هذه بتنفيذ المكونات الإضافية وحل التبعيات عبر الإنترنت، وتعمل فقط على المشاريع الموثوقة. تحقق من JAR/WAR النهائي أو JAR الفعلي في الصورة ولا تستبدل إعلانات ملف البناء بالمنتج النهائي. Spring يتطلب التمهيد المضمن Tomcat إعادة إنشاء التطبيق؛ لن يؤدي تحديث تثبيت Tomcat المنفصل في النظام إلى تعديل النسخة الموجودة في حزمة التطبيق.

بعد تحديث وقت التشغيل، تحقق من javax.net.ssl.trustStore المخصص وKeyStore المحمل ذاتيًا للتطبيق ووقت تشغيل jlink وGraalVM/الصورة الأصلية ونماذج التسليم الأخرى عنصرًا تلو الآخر. لا يمكن للتطبيقات التي تحتوي بالفعل على مواد ثقة مخصصة إنهاء عملية التحقق لمجرد أن دليل JDK أصبح جديدًا.

6.4 Python: مترجم فوري ومعالجة البيئة الافتراضية

ضمن الحاوية/الحاوية الفعلية المؤكدة على أنها موثوقة:

python - <<'PY'
import sys
import ssl
import importlib.metadata as metadata

print("executable:", sys.executable)
print("version:", sys.version)
print("openssl:", ssl.OPENSSL_VERSION)
print("verify_paths:", ssl.get_default_verify_paths())
for name in ("pip", "certifi", "Django", "urllib3", "Brotli", "litellm"):
    try:
        print(name + ":", metadata.version(name))
    except metadata.PackageNotFoundError:
        print(name + ": not installed")
PY

python -m pip --version
python -m pip check

يقوم هذا البرنامج النصي بجمع المعلومات فقط ولا يقوم بتحديد تأهيل الإصدار. ssl.get_default_verify_paths() هي معلومات المسار الافتراضي ولا يمكنها إثبات أن كافة عملاء الجهات الخارجية يستخدمون نفس مخزن الثقة؛ يجب تأكيده بناءً على تكوين التطبيق.

بعد إكمال ترقية التمهيد pip الموثوق بها للملحق S37، قم بتحديث تبعيات الشهادة وفقًا لقيود المشروع، على سبيل المثال:

python -m pip install --upgrade 'certifi>=2026.10.19'

# 仅适用于当前就选择 Django 5.2 的项目
python -m pip install --upgrade 'Django>=5.2.18,<5.3'

python -m pip check

يجب تحديث ملف متطلبات/قفل المشروع في نفس الوقت، وإلا فقد يعود النشر التالي إلى الإصدار القديم. عند استخدام uv أو Poetry أو مستودع حزم المؤسسة، استخدم عمليات القفل والنشر الحالية الخاصة بهم؛ لا تقم بتعديل الحزم يدويًا داخل حاوية الإنتاج فقط.

يمكن استخدام سير عمل pip-audit الحالي للمشروع للتحقق من ثغرات التبعية المعروفة في بيئة موثوقة؛ إنه ليس ماسحًا ضوئيًا للأكواد الضارة ولا يغطي جميع مخاطر المترجم الفوري ومكتبة النظام ومخزن الثقة. S44

لا يوصى بإجبار النظام /usr/bin/python3 على الإشارة إلى إصدار مجمع جديد. استخدم تحديثات أمان الإصدار أو أوقات تشغيل عزل المشروع لتجنب انقطاع أدوات الإدارة التي تعتمد على نظام Python. يعد هذا خيار تنفيذ وليس متطلب إصلاح إضافي لهذه الثغرة الأمنية.

6.5 إعادة إنشاء المثيل قيد التشغيل واستبداله

يوصى باتخاذ الخطوات التالية كتغيير كامل:

  1. احصل على التصحيح من المصدر الأصلي الموثوق به واحفظ الإصدار/التجزئة وقفل التبعية.
  2. قم بإرجاع الوظائف الرئيسية في بيئة قريبة من الإنتاج وتأكد من أن الامتدادات الأصلية متوافقة مع JVM/framework.
  3. تحديث وقت التشغيل وتبعيات التطبيق ومخزن الثقة الفعلي؛ قم بتحديث الصورة الأساسية ونظام CA للحاوية، ولا تقم فقط بإعادة استخدام الطبقة القديمة.
  4. أعد بناء التطبيقات والصور، واستبدل الخدمة والعامل ومستهلك قائمة الانتظار ومثيلات المهام المجدولة على أساس دوري.
  5. أعد التحقق من الإصدار والتكوين في المثيل الجديد قيد التشغيل وتأكد من خروج كافة النسخ القديمة.
  6. راقب معدلات الخطأ، وزمن الوصول، وCPU/الذاكرة، وحالات فشل المصافحة TLS، وتعطل العملية.

يجب أن يعطي التراجع الأولوية للاحتفاظ بوقت التشغيل الآمن وتبعيات التصحيح، والتراجع عن تكوين التطبيق أو تغييرات الأعمال. إذا كان عليك العودة إلى منتج قديم به ثغرات أمنية، فيجب استعادة قيود الدخول المقابلة في وقت واحد، ويجب تحديد الشخص المسؤول والحد الأدنى لفترة الاسترداد بوضوح.

7. التخفيف المؤقت واختيار التصحيح

7.1 حدود التغطية للتدابير المؤقتة

فيما يلي اقتراحات التنفيذ بناءً على شروط الاستخدام المعلنة. ما لم تتم الإشارة إلى الخطة الرسمية، لا يضمن البائع إمكانية حظر جميع المتغيرات بالكامل.

خطرالتدابير المؤقتة التي يمكن اتخاذهاالجزء الذي لا يمكن اعتباره مكتملاً بناءً على ذلك
فك تشفير Brotliإيقاف فك تشفير المدخلات غير الموثوق بها؛ التحقق من الضغط التلقائي الوارد والصادرالوارد WAF أو إيقاف تشغيل ضغط الاستجابة لا يغطي جميع إدخالات فك التشفير S3
Next.js typed arrays RCEقم بالترقية على الفور؛ عزل الخدمات المتأثرة مؤقتًا إذا لزم الأمرلا يوجد حل عالمي موثوق به لـ S9
Next.js SVG RCEالخطة الرسمية: التأكد من الحدة الفعلية ≥0.35.5؛ تعليق نقاط دخول التحسين ذات الصلة عندما يسمح العمل بذلكلا يغطي مشكلات Next/RSC الأخرى S11
عالم Tomcat / HTTP/2 / AJPاعزل المسار المقابل وأغلق الموصلات غير الضروريةلا تزال بحاجة إلى حزمة إصلاح الفرع المقابلة S21S22S23
إلغاء التسلسل GraphQLتعليق حقول الاتصال المتأثرة؛ تقييد المتصلين غير الموثوق بهمحد طول الطلب فقط لا يمكنه إصلاح مشكلة النوع/إلغاء التسلسل S25
Spring embedded LDAPتعطيل عند عدم الحاجة إليها؛ الحد من الوصول إلى منفذ الاستماع الحقيقيلا تزال الهوية الإدارية الافتراضية وتكامل الدليل بحاجة إلى التحقق من S27
CPython SNI UAFالخطة الرسمية: احتفظ بالمرجع القوي SSLContext ذي الصلة حتى نهاية الخدمةيجب تغطية جميع مسارات الإنشاء/التبديل S29
تخطي اسم المضيف Pythonالحل الرسمي: قم بتمرير اسم server_hostname المتوقع بشكل صحيحلا يمكن فقط التحقق من علامة check_hostname أو تجاهل التحذير S30S31
القطران غير جدير بالثقةتعطيل/عزل الاستخراج، ورفض الروابط غير الضرورية وإدخالات الجهازلا تعتبر المرشحات ولا حصص الموارد بمثابة صناديق حماية عالمية S32 S40 S45
حدث الثقة بالشهادةتحديث مادة CA الصحيحة؛ يمكن تقييد ثقة Java وفقًا للتخفيف الرسمييؤدي تعطيل التحقق من TLS إلى زيادة المخاطر S19S37

7.2 حدد التصحيح بناءً على طريقة التسليم

طريقة التسليمتحديد أولويات طرق الإصلاحالأدلة التي ينبغي الاحتفاظ بها
وقت التشغيل المُدار بالتوزيعالتحديثات الأمنية المقابلة للشركة المصنعةإصدار الحزمة الكاملة، الإعلان، مصدر المستودع
مدير ثنائي/وقت التشغيل الرسميبيان أمني رسمي من نفس الفرعالإصدار والمصدر والملخص ومسار التنفيذ الفعلي
ذاتية التجميع Node / CPythonإصدار المصدر الرسمي للفرع المطابق أو مجموعة التصحيح الكاملة الخاصة بالموردمجموعة الالتزام وبناء المعلمات والمكتبات التابعة ونتائج الانحدار
Spring / Next / Djangoمتوافق مع التحديثات داخل الفرع وإعادة بناء أقفال التبعية والتطبيقات النهائيةشجرة التبعية النهائية، الإصدار الفعلي في JAR/package/image
متجر ثقة مخصصخطة السحب الرسمية أو تحديث البائع الذي يؤكد الانسحابمسار الاستخدام الفعلي وتغيير المواد واختبارات النجاح والرفض لـ TLS
بيئة معرضة للخطرأعد البناء من منتجات نظيفة وجديرة بالثقة وقم بإجراء تحقيق منفصل في الحادثملخص الحزمة/الصورة التاريخية وسجل التثبيت وسجل تناوب بيانات الاعتماد

7.3 آلية تصحيح المفاتيح وتركيز المراجعة

  • Brotli: يهتم بما إذا كان فحص الحدود وإرجاع الخطأ لحالة فك التشفير الأصلية قد اكتمل قبل الدخول إلى الإنشاء؛ فقط استبدال حزمة JavaScript لا يمكن تغيير الكود المترجم بشكل ثابت إلى Node. S4
  • Node DNS/TLS: يركز على رفض الإدخال، وتطبيع العنوان، والتمييز بين هويتي IP SAN وDNS، ورد الاتصال/الوعد DNS تحليل المسار واختبار مطابقة اسم المضيف TLS. S5S6
  • Tomcat JNDIRealm: يركز على ما إذا كانت عملية المصادقة تتحقق بالفعل من بيانات الاعتماد، بدلاً من مجرد الحصول على سياق الدليل؛ إعطاء الأولوية للإصدار الرسمي وعدم التعامل مع استبدال ملف مصدر واحد باعتباره تصحيحًا ثنائيًا كاملاً. S24
  • CPython ssl: يركز على ملكية مرجع Python ودورة حياة SSLContext الأساسي؛ wrap_bio() backports مع وجود اختلافات في توافق الفروع، ويجب عليك قراءة التنفيذ الفعلي للفرع المستخدم. S31S47
  • شهادة عدم الثقة: قد تظهر مثل هذه التحديثات كمواد موثوقة أو ترفض تغييرات القائمة بدلاً من تغييرات واجهة برمجة التطبيقات الواضحة. تتضمن نفس الدفعة من Node أيضًا آلية رفض الوسيط المتأثر CA؛ لا تزال مصادر الثقة الخاصة بـ Java وPython بحاجة إلى التحقق بشكل منفصل. S19S37S46

**يجب أيضًا التحقق من ربط Brotli المستقل.**Google أصدر 1.0.10 / 1.1.1 / 1.2.1 في نفس اليوم لإصلاحه CVE-2026-111497. يجب تحديث/إعادة بناء الامتدادات الأصلية Python أو عناصر JNI التي تتضمن نفس تطبيق C المتأثر؛ لا يمكن استنتاج أن جميع أجهزة فك التشفير Java النقية قد تأثرت، ولا يمكن افتراض أن ترقية Node تحل محل النسخ الموجودة باللغات الأخرى تلقائيًا. S42

8. فحوصات التحقق والمتابعة

8.1 الحد الأدنى لقائمة التحقق من التحقق

تحقق من العناصرالأدلة المطلوبة
وقت التشغيلالنسخة الكاملة أو الأدلة الخلفية للمورد صحيحة في العملية/الحاوية الحقيقية
تبعيات التطبيقوصلت Next/RSC/sharp وTomcat/Spring وDjango/certifi في منتجات النشر النهائية إلى الحد المقابل
نطاق الاستبدالتم استبدال كافة نسخ العامل/JVM/الحاوية ومهام الخلفية بأخرى جديدة، وتم الخروج من المثيلات القديمة.
TLSنجاح شهادات المجال الصالحة؛ فشل أسماء المضيفين غير المتطابقة والسلاسل غير الصالحة وفقًا للسياسة؛ يتم تضمين المتاجر الثقة المخصصة
عدم الثقة eMudhraتم رفض سلسلة الشهادات التي تم إنشاؤها بواسطة الوسيط المتأثر CA أثناء وقت التشغيل الفعلي، أو كان هناك دليل على أنه تم نشر قائمة الرفض/البناء الأمني الخاص بالمورد المحدد؛ لا يمكن إغلاق الحالة بناءً على اختبار TLS العام أو رقم الإصدار القصير Java 8.
فك التشفير والصور Nodeالاستجابة المضغوطة العادية، التحميل، تحسين الصورة ووظائف RSC متوفرة؛ سياسة المصدر غير الموثوق بها سارية المفعول
المصادقة والعزل Javaتم رفض كلمة المرور الخاطئة؛ الطلبات غير المتزامنة المتزامنة للمستخدم المستقل دون خلط الهوية/الاستجابة؛ LDAP الاستماع كما هو متوقع
Python SNI / الأرشيفالاسم العادي متعدد النطاقات TLS مستقر؛ ترفض الأرشفة اجتياز المسار والارتباطات غير المسموح بها، ولا يتم تعديل الملفات الموجودة خارج الدليل
البيانات والانحدار الوظيفياجتازت مهام الترحيل والاستعلام المكاني والتحقق من الأذونات ومهام الخلفية الاختبارات الحالية للمشروع
الموارد والملاحظاتلا توجد زيادة غير طبيعية في CPU والذاكرة ومعدل الخطأ وزمن الوصول وأخطاء TLS.
إمكانية التتبعيمكنك توفير وقت الترقية وملخص الحزمة/الصورة وتغييرات التكوين ونتائج التحقق والعناصر التي لم يتم حلها

هذه هي توصيات قبول التنفيذ ولا تتطلب إنتاج برنامج نصي للهجوم لكل CVE. يجب أن يستخدم التحقق الذي يتضمن الأعطال واستنفاد الموارد والأرشفة خارج الحدود اختبار الانحدار الأولي أو بيانات الاختبار الخاضعة للتحكم في المشروع في بيئة معزولة.

8.2 يعتبر التصحيح والتحقيق في التسلل مهمتين مختلفتين

تحقق من السجلات الموجودة بحثًا عن أخطاء غير عادية في فك التشفير، وتعطل العامل/JVM، وعمليات كتابة الملفات المشبوهة، وتغييرات بيانات الدليل، واستثناءات المصادقة، والطلبات الصادرة، وسجلات استخدام بيانات الاعتماد. يجب الحكم على هذه العلامات في السياق: فالتعطل أو OOM ليس دليلاً على نجاح الاستغلال؛ عدم وجود التنبيهات لا يثبت أن النظام لم يتأثر.

عند اكتشاف تعديلات غير مصرح بها، أو بيانات اعتماد مخترقة، أو تبعيات ضارة مؤكدة، يجب الحفاظ على الأدلة، وعزل المثيلات ذات الصلة، وتدوير بيانات الاعتماد المتأثرة من بيئة موثوق بها، وإعادة بناء النظام. لن يقوم التصحيح بإلغاء الرموز المميزة التي حصل عليها المهاجم أو استعادة البيانات التي تم تعديلها.

9. حادث أمني لسلسلة التوريد: تسوية LiteLLM 1.107.0

تاريخ التأكيد الرسمي: 21-10-2026. أبلغLiteLLM أن خط أنابيب الإصدار الخاص به قد تعرض للاختراق. تحتوي PyPI’s litellm==1.107.0 وبعض منتجات Docker/GHCR في نفس الفترة على تعليمات برمجية ضارة للسرقة والتحكم عن بعد، وتم سحب المنتجات ذات الصلة. S41

لتحديد التأثير، يجب عليك التحقق من سجلات التثبيت التاريخية وملخص الصور؛ تشير العلامات مثل latest وmain-latest وmain-stable الآن إلى صور نظيفة، وهو ما لا يثبت أن المنتجات التي تم سحبها وقت وقوع الحادث كانت نظيفة. كانت التوصية الرسمية في ذلك الوقت هي تثبيت 1.106.2 مؤقتًا؛ استندت هذه التوصية إلى هذا الحادث، ولا تزال هناك حاجة إلى التحقق من الإعلانات الأمنية الأخرى أثناء النشر. S41

بالنسبة للبيئات التي تم فيها تثبيت المنتجات ذات الصلة أو تشغيلها:

  1. عزل سجلات التثبيت والصور والسجلات والحفاظ عليها وفحصها من بيئة نظيفة.
  2. لا تبدأ تشغيل Python/pip في بيئة مشبوهة أولاً؛ قد يتم تنفيذ .pth / sitecustomize.py الضارة مرة أخرى بعد بدء التشغيل.
  3. إعادة بناء الأجهزة المضيفة والمنافذ/الحاويات من مصادر موثوقة؛ لا يمكن فقط إلغاء تثبيت الحزم أو تقليلها.
  4. إبطال/تدوير بيانات الاعتماد السحابية، ومفاتيح موفر LLM، ومفاتيح LiteLLM وبيانات اعتماد قاعدة البيانات بناءً على إمكانية الوصول الفعلية ومراجعة الاستخدام غير الطبيعي. S41

يعد هذا حادثًا مؤكدًا في سلسلة التوريد ويتطلب مراعاة تنفيذ التعليمات البرمجية الضارة وتسرب بيانات الاعتماد ومخاطر الاستمرارية عند التعامل معها. اعتبارًا من 23 أكتوبر 2026، كان المسؤولون لا يزالون يحققون في الاختراق الأولي.

ملحق: المصادر والروابط المذكورة

تاريخ التحقق من المصدر التالي هو 2026-10-23، بما في ذلك إعلان الأمان الرسمي للمشروع ومستودع التعليمات البرمجية الرسمي وتعليمات البائع. النص الرئيسي [Sx] يتوافق مع هذا الملحق؛ عند إجراء التحديثات، يجب عليك التحقق مما إذا كان المورد قد أصدر مراجعات لاحقة.

S1 — Node.js: 21-10-2026 إشعار الأمان

  • الغرض: أربعة أوقات تشغيل High، تؤثر على الفروع، الإصدار الأمني لشهر أكتوبر.
  • المرجع: Official Security Bulletin

S2 — Node.js: تعليمات الإصدار الرسمية لثلاثة خطوط صيانة

S3 — Vercel: الاستشارات الأمنية Node.js Brotli RCE

S4 — Node.js: إرسال التصحيح الرسمي لـ Brotli

  • الغرض: أساس التنفيذ للتحقق من فك التشفير الأصلي وانتشار الأخطاء.
  • المرجع: Brotli Patch commit 49dff6f57a

S5 — Node.js: تصحيح تطبيع العنوان TLS

S6 — Node.js: تصحيح التحقق DNS NUL

S7 — Node.js: 29-07-2026 إشعار الأمان

  • الغرض: استنفاد الذاكرة HTTP/2، ونقاط الضعف في UAF ونماذج الأذونات.
  • المرجع: July 2026 Security Releases

S8 — Next.js: التحديث الأمني 2026-10-14

المرجع: S9 — Next.js：typed arrays / use cache RCE

  • الغرض: GHSA-673q-mjm6-r5xr؛ يؤثر على الفاصل الزمني والحالة والنتيجة وحالة الحل البديل.
  • المرجع: Next.js Official Security Bulletin

المرجع: S10 — React：React Server Components RCE

  • الغرض: GHSA-xqc2-xf4c-x3h3؛ الإصدارات المتأثرة والثابتة من ثلاث حزم RSC.
  • المرجع: React Official Security Bulletin

المرجع: S11 — Next.js：SVG Image Optimization RCE

المرجع: S12 — Next.js：Server Actions DoS

S13 — Next.js: AVIF تحسين الصورة RCE

المرجع: S14 — Next.js：Windows RCE

المرجع: S15 — Next.js：next/og ImageResponse RCE

المرجع: S16 — Oracle: October 2026 CPU

S17 — Oracle: CVE-2026-91403 إنذار خارج النطاق

  • الغرض: 21-10-2026، ومخاطر الثقة بشهادة JSSE، والمنتجات المتأثرة وCVSS 3.1 9.1.
  • المرجع: Oracle Security Alert

S18 — Oracle: الإصدار الرسمي وتنزيل JDK

  • الغرض: التمييز بين CPU في 20 أكتوبر والإصدار خارج النطاق في 21 أكتوبر؛ التمييز بين قيود الإصدار القصير من Java 8.
  • المرجع: JDK release list
  • المرجع: Oracle Java Download page

S19 — Oracle: خطة السحب المؤقتة eMudhra

S20 — Eclipse Adoptium: إصدار سجل البناء

  • الغرض: تتم إعادة تجميع Temurin بسبب حادث الشهادة؛ لا يمكن تطبيق لاحقة الإصدار Oracle ميكانيكيًا.
  • المرجع: Adoptium Release Scorecards

S21 - إشعار الأمان Apache Tomcat 9

  • الغرض: الفاصل الزمني المتأثر الدقيق المكون من 9 فروع مع إصلاح 9.0.123.
  • المرجع: Tomcat 9 vulnerabilities

S22 - إشعار الأمان Apache Tomcat 10

  • الغرض: الفاصل الزمني الدقيق لفرع 10.1 وإصلاح 10.1.61؛ 10.0 EOL.
  • المرجع: Tomcat 10 vulnerabilities

S23 - إشعار الأمان Apache Tomcat 11

  • الغرض: ثلاثة عناصر Important، 11.0.27، AJP النطاق المطبق وتاريخ الكشف/الإصدار.
  • المرجع: Tomcat 11 vulnerabilities

S24 — Apache Tomcat: الالتزام بالتصحيح JNDIRealm

  • الغرض: الأساس الرسمي لسد فجوات التحقق من الشهادات.
  • المرجع: JNDIRealm Patch commit

المرجع: S25 — Spring：GraphQL CVE-2026-59285

المرجع: S26 — Spring：GraphQL CVE-2026-41699

  • الغرض: حد إصلاح سابق، فقط لتوضيح سبب عدم قدرتك على البقاء عند خط الأساس القديم.
  • المرجع: 6 Month GraphQL Security Bulletin

المرجع: S27 — Spring Security：CVE-2026-59270

المرجع: S28 — Spring Security：CVE-2026-47841

  • الغرض: مصادقة المستخدم WebAuthn وتسلسل الجلسة وفرضية الهجوم.
  • المرجع: WebAuthn Security Bulletin

S29 — PSF: CVE-2026-19445 استشارات أمنية مستقلة

S30 — PSF: CVE-2026-19553 استشارات أمنية مستقلة

S31 — CPython: التصحيح الرسمي Wrap_bio والمنفذ الخلفي 3.12

S32 — PSF: CVE-2026-82049 استشارات أمنية مستقلة

S33 — CPython: الإصدار الأمني الرسمي في نهاية سبتمبر/أوائل أكتوبر

S34 — CPython: 3.10 آخر إصدار آمن

  • الغرض: 3.10.22 ونهاية دورة حياة المنبع.
  • المرجع: Python 3.10.22

S35 — CPython: إصدار صيانة الطوارئ 2026-10-21

  • الغرض: تحديثات 3.13.17 / 3.14.9 / 3.15.1، وتحديثات pip وcertifi المضمنة، ومتطلبات venv الحالية.
  • المرجع: Python 3.13.17
  • المرجع: Python 3.14.9
  • المرجع: Python 3.15.1

S36 — certifi: إعلان عدم الثقة في شهادة emSign

S37 — PSF: تأثير eMudhra / emSign على مستخدمي Python

أمر ترقية التمهيد pip المقدم من خلال الإرشادات الرسمية التي استشهد بها S37 هو كما يلي. يُستخدم فقط في بيئات Python التي تم التأكد من أنها جديرة بالثقة؛ إذا كان هناك اشتباه في حدوث تسمم في القسم 9، فقم أولاً بالعزل وإعادة البناء وفقًا لعملية الحادث. يعمل على إصلاح تجزئة محتوى العجلة ثم يقوم بعد ذلك بتحديث التبعيات الأخرى وفقًا لعملية المشروع.

python -m pip install "pip @ https://files.pythonhosted.org/packages/3f/06/3e4420302363fbb71be3c7f35ce042f54bfca330e3e66b3a2e3c4cca579f/pip-26.2.2-py3-none-any.whl#sha256=fd7f4dfa8190e014013b9f08f3e973f4e4c26ffd179a204895533a7254813a70"

S38 — Django: 04-08-2026 الإصدار الآمن

  • الاستخدام: ظروف الاستغلال CVE-2026-15307، GeoDjango والإصلاحات الأولية وتغييرات التوافق.
  • المرجع: Django 6.0.8 / 5.2.17

S39 — Django: الإصدار الآمن 2026-10-06

  • الغرض: CVE-2026-87890، هندسة DoS التعزيز اللاحق مع خط الأساس المحدد حاليًا.
  • المرجع: Django 6.1.2 / 6.0.9 / 5.2.18

S40 — PSF / CPython: أحدث ملاحظة جانبية لمرشح tar_filter

S41 — LiteLLM: التقرير الرسمي لحوادث سلسلة التوريد، 21 أكتوبر

  • الغرض: المنتج الملوث 1.107.0 والملخص التاريخي وإعادة بناء العزل والتخلص من بيانات الاعتماد.
  • المرجع: Contained: LiteLLM v1.107.0 Compromised

S42 — Google Brotli: الإصدار الرسمي الآمن

  • الغرض: أساس التحقق من النسخ المضمن Brotli 1.0.10 / 1.1.1 / 1.2.1 المستقل وعبر اللغات.
  • المرجع: Brotli releases

S43 — الخطأ: استخدم الوثائق الرسمية للأمر

  • الغرض: تحديد إصدار الأداة ودلالات الأمر الخاصة بالتكوين العام.
  • المرجع: mise use

S44 — PyPA: مشروع التدقيق الرسمي pip

  • الغرض: Python الغرض وحدود القدرة الخاصة بتدقيق ثغرات التبعية.
  • المرجع: pip-audit

S45 — Python: مستند تصفية استخراج ملف tarfile

  • الغرض: استراتيجية البيانات، وتغييرات السلوك الافتراضية، والقيود التي لا يمكن أن تحل محل وضع الحماية.
  • المرجع: tarfile extraction filters

S46 — Node.js: آلية رفض CA المتوسطة

  • الغرض: معالجة سلسلة الثقة ذات الصلة بـ eMudhra لا تعادل إبطال التشفير لجميع الشهادات الجذرية.
  • المرجع: Node.js PR #66871

S47 — CPython: الملاحظات والإصلاحات الفنية لـ SNI UAF