--- title: "Node.js وJava وPython: دليل الثغرات الأمنية الحديثة ومعالجتها" description: "قم بمراجعة تحديثات وقت التشغيل وإطار العمل والشهادات، مع خطوط أساس التصحيح الخاصة بالفرع وظروف التعرض وعمليات التخفيف المؤقتة والتحقق من الإنتاج." language: "ar" url: "https://keendigit.com/ar/insights/node-java-python-security-remediation-guide" author: "KeenDigit" published: "2026-10-23" --- # Node.js وJava وPython: دليل الثغرات الأمنية الحديثة ومعالجتها قم بمراجعة تحديثات وقت التشغيل وإطار العمل والشهادات، مع خطوط أساس التصحيح الخاصة بالفرع وظروف التعرض وعمليات التخفيف المؤقتة والتحقق من الإنتاج. **تم فحص المصادر اعتبارًا من 23 أكتوبر 2026 (UTC)** **فترة التغطية: 25 يوليو - 23 أكتوبر 2026، مع التركيز على الإعلانات الجديدة والتصحيحات اللاحقة من سبتمبر إلى أكتوبر.** **الجمهور: المهندسون والمستجيبون الأمنيون الذين يقومون بالصيانة Node.js , Java , Python الخدمات والحاويات وبناء خطوط الأنابيب وبيئات التطوير.** تلخص هذه المقالة المخاطر الأمنية الهامة الأخيرة في Node.js , Java ، و Python أوقات التشغيل والمكتبات القياسية وأطر عمل الخادم الشائعة وتبعياته، ويوفر نطاق التأثير والإصدارات الثابتة وإجراءات التخفيف المؤقتة واختيار التصحيح وطرق التحقق. قم بتقييم التأثير مقابل إصدارات المكونات والميزات الممكّنة ونقاط الدخول التي يمكن الوصول إليها. تأتي حقائق الضعف من التحذيرات الرسمية؛ تشير التواريخ إلى الكشف العام ما لم تتم الإشارة بوضوح إلى إصدار تصحيح سابق. نحن لا نستنتج ظروف استغلال غير مؤكدة، أو نقاط CVSS أو استغلال في البرية. يتم تحديد نصيحة النشر كإرشادات للتنفيذ. ## TL;DR: أولويات المعالجة 1. **قم بتحديث وقت التشغيل الذي يستضيف الخدمة فعليًا أولاً.** قم بتحديث فرع Node.js المطابق إلى **22.23.4 / 24.22.1 / 26.12.1**. يمكن للخدمات التي تستخدم Node 24 الترقية إلى **24.22.1 ضمن نفس الإصدار الرئيسي أو إصدار أحدث** الذي يحتوي على نفس الإصلاحات. [S1](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-1)[S2](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-2) 2. **قم بتحديث تبعيات تطبيق Node بشكل منفصل.** بالنسبة إلى Next.js، استخدم **15.5.28 / 16.4.1** كخط أساسي للترقية؛ عند استخدام React Server Components بشكل مستقل، تحقق من حزمة `react-server-dom-*` المثبتة بالفعل. تحديث الملف الثنائي Node فقط لا يغطي ثغرات إطار العمل هذه. [S8](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-8)[S9](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-9)[S10](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-10)[S11](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-11)[S12](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-12) 3. **Java : تغطية جولتي التحديثات.** قم بتثبيت إصدار البائع الذي يغطي كلاً من 20 أكتوبر CPU و21 أكتوبر **CVE-2026-91403** إصلاح شهادة الثقة في حالات الطوارئ. انظر القسم 2.2 ل Oracle JDK 11 -27 نسخة خارج النطاق؛ التحقق من التوزيعات الأخرى مقابل حزم الأمان الخاصة بها وأرقام البناء الكاملة. تحديث المقابلة Tomcat فرع ل **9.0.123 / 10.1.61 / 11.0.27** . [S16](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-16) [S17](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-17) [S18](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-18) [S20](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-20) [S21](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-21) [S22](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-22) [S23](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-23) 4. **Python : قم بتحديث المترجم وحزم التطبيقات وحزم الشهادات بشكل منفصل.** انظر القسم 2.3 لخطوط الأساس للمترجم؛ `certifi` يوصي **≥ 2026.10.19** , `pip` **≥ 26.2.2** ، عند الاستخدام `uv` **≥ 0.13.4** . يجب فحص كل venv الموجود. ل `wrap_bio()` الرموز ذات الصلة، صحيحة وغير فارغة `server_hostname` يجب أن يتم تمريرها أيضًا. [S29](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-29) [S30](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-30) [S31](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-31) [S33](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-33) [S35](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-35) [S36](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-36) [S37](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-37) 5. **إذا كانت الترقية الفورية مستحيلة، فقم بتقليل التعرض عند نقاط الدخول ذات الصلة.** إعطاء الأولوية لإيقاف فك تشفير Brotli غير الموثوق به، ومعالجة الصور/الترحيل/الأرشفة المتأثرة، وعزل LDAP التي بها مشكلات أو إدخالات المصادقة؛ الحفاظ على التحقق من شهادات TLS وأسماء المضيفين. لا يمكن لـ WAF الوارد تغطية المسارات الصادرة مثل التطبيقات التي تسحب استجابات مضغوطة ضارة. [S3](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-3)[S11](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-11)[S25](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-25)[S27](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-27)[S30](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-30)[S32](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-32) 6. **إعادة البناء واستبدال العمليات القديمة والتحقق من خلال مسارات الخدمة الحقيقية.** حفظ ملف القفل وملخص الصورة، وإعادة بناء التطبيق والصورة، وطرح البدائل لجميع العمال/JVM/الحاويات؛ تحقق من العملية الفعلية وشجرة التبعية ومخزن الثقة واختبارات انحدار الأعمال. لا يثبت إصدار سطر الأوامر الأحدث وحده أن عملية المعالجة قد اكتملت. 7. **إذا تم تثبيت LiteLLM 1.107.0 أو تشغيله، فاتبع إجراءات الاستجابة للحوادث.** أكد المشروع تسوية الإصدار في 21 أكتوبر. عزل البيئات المتأثرة، والتحقيق من بيئة نظيفة، وإعادة بناء بيانات الاعتماد المكشوفة وتدويرها. لا تبدأ تشغيل Python/pip في بيئة مشبوهة للتحقق أولاً. انظر القسم 9 للحصول على التفاصيل. [S41](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-41) ## 1. نظرة عامة على نقاط الضعف وتقييم المخاطر ### 1.1 إعطاء الأولوية للمعالجة من خلال التعرض الفعلي أولويات النشر أدناه هي إرشادات التنفيذ. تتبع تسميات الخطورة كل مورد، بما في ذلك تصنيف Apache's **Important**. CVSS 3.1 و4.0 هما نظامان مختلفان للتسجيل؛ لا تصنف المشكلات عبرها حسب النتيجة وحدها. | النظام البيئي/الطبقة | القضايا الرئيسية | الدرجة الرسمية أو النتيجة التي تم التحقق منها | أولوية النشر | | ----------------------- | -------------------------------------------------------------------------- | --------------------------------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------ | | Node.js التبعية الأصلية | CVE-2026-111497: تمت كتابة Brotli خارج الحدود، وهناك خطر RCE | Node：High | فك تشفير بيانات Brotli [S1](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-1)[S3](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-3) في نص الطلب الخارجي أو الاستجابة الخارجية | | Node.js TLS / DNS | CVE-2026-105482، 105483، 106069: التحليل والتحقق من الهوية غير متناسقين | High | زحف URL، الوكيل، Webhook، عنوان الهدف الديناميكي [S1](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-1)[S5](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-5)[S6](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-6) | | Node.js HTTP/2 | CVE-2026-56846، 56848: استنفدت الذاكرة وUAF | High | Node يتعامل مباشرة مع حركة مرور HTTP/2 غير الموثوق بها [S7](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-7) | | React / Next.js | RSC / `use cache` typed arrays RCE | Critical；CVSS 4.0 9.5 | الخادم RSC ومكونات ذاكرة التخزين المؤقت ذات الصلة ومسار البيانات [S9](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-9)[S10](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-10) | | Next.js تحسين الصورة | CVE-2026-96889: SVG معالجة الصور RCE | Critical；CVSS 4.0 9.5 | المثيلات الموجودة على glibc Linux التي يمكنها التعامل مع الصور غير الموثوق بها [S11](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-11) | | Next.js Server Actions | يؤدي الطلب المصمم خصيصًا إلى استنفاد CPU | High；CVSS 4.0 8.2 | App Router وواحد على الأقل Server Action [S12](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-12) | | Java TLS الثقة | CVE-2026-91403: استمر في الثقة في الوسيط المتأثر CA | CVSS 3.1 9.1 | سيناريو TLS/API [S17](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-17) باستخدام سلسلة الثقة المتأثرة | | Tomcat | تجاوز مصادقة JNDIRealm، وخلط الطلبات المتبادلة HTTP/2، وتسرب الاستجابة AJP | Important | الموافق لمسار Realm / Connector / async Servlet [S21](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-21)[S22](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-22)[S23](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-23) | | Spring for GraphQL | CVE-2026-59285: إلغاء تسلسل الترحيل RCE | High | Jackson 2 + Connection الترحيل + Classpath القابل للاستغلال [S25](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-25) | | Spring Security | CVE-2026-59270: كشف هوية الإدارة المعروفة LDAP المضمنة | Critical | تم تمكين LDAP المضمن ويمكن للمهاجم [S27](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-27) الوصول إلى منفذ الاستماع | | CPython `ssl` | CVE-2026-19445: يؤدي تبديل السياق SNI إلى UAF | Critical | ينهي Python TLS بنفسه، ويفي بشرط دورة حياة السياق [S29](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-29) | | CPython `ssl` | CVE-2026-19553: تخطي التحقق عندما يكون اسم المضيف مفقودًا | High | `wrap_bio()` / استدعاء غير متزامن ذو صلة يفتقد اسم المضيف المتوقع [S30](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-30) | | CPython `tarfile` | CVE-2026-82049: تجاوز الارتباط الثابت والارتباط الرمزي | High | استخراج أرشيف القطران غير الموثوق به تلقائيًا [S32](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-32) | | Django / GeoDjango | CVE-2026-15307: ملف كتابة الاستعلام المكاني، SSRF، تحت الشرط RCE | High | الاستعلامات المكانية أو واجهات الإدارة ذات الصلة التي تقبل الإدخال غير الموثوق به [S38](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-38) | | تبعية شهادة Python | certifi: عدم الثقة في الشهادة ذات الصلة بـ emSign | Critical; GHSA، لا يوجد CVE معروف | أداة إدارة العميل والحزم TLS [S36](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-36)[S37](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-37) لا تزال تستخدم CA bundle المتأثرة | الاختصارات: RCE يرمز إلى تنفيذ التعليمات البرمجية عن بعد، وUAF يرمز إلى الاستخدام بعد الاستخدام المجاني، وSSRF يرمز إلى تزوير الطلب من جانب الخادم. الأذونات المباشرة لـ RCE هي عادةً أذونات العملية التي تستضيف التطبيق ولا يمكن أن تكون معادلة تلقائيًا لأذونات الجذر. **التسلسل الموصى به: يعالج** أولاً RCE، الذي يمكن الوصول إليه خارجيًا ويفي بالشروط وتجاوز المصادقة وتسرب البيانات عبر المستخدمين ومشكلات مصادقة الشهادة؛ وفي الوقت نفسه، قم بجدولة التحديثات لنقطة دخول DoS المواجهة للعامة. ليست هناك حاجة لتشغيل حمولات هجومية في الإنتاج لإثبات قابلية الاستغلال. التبعيات موجودة، ويمكن الوصول إلى مسارات التعليمات البرمجية، ويتم استيفاء شروط الهجوم. هذه ثلاث مشكلات تحتاج إلى التحقق منها بشكل منفصل. ### 1.2 ثلاثة حدود يمكن الخلط بينها بسهولة - **ترقية أوقات التشغيل والتبعيات بشكل منفصل.** لا تقوم التحديثات الأمنية لـ Node وJDK وCPython بإصلاح عمليات التثبيت المستقلة لـ Next.js وSpring وDjango تلقائيًا certifi أو الامتدادات الأصلية. - إن عتبة معالجة **منفصلة عن خط الأساس الحالي للنشر.** إن التصحيح الأول للثغرة الأمنية في أغسطس ليس مضمونًا لتغطية المشكلات الجديدة من سبتمبر إلى أكتوبر؛ يستخدم القسم 2 التحديثات اللاحقة التي تم التحقق منها كهدف للتنفيذ. - **التمييز بين الثغرة الأمنية والاختراق الفعلي لسلسلة التوريد.** بالنسبة للثغرات الأمنية الشائعة، تعمل التصحيحات على إزالة مسارات الهجوم المستقبلية؛ عند تشغيل حزم ضارة، يجب دراسة تأثير بيانات الاعتماد واستمراريتها. القسم 9 LiteLLM هو الحدث المؤكد رسميًا. [S41](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-41) ما إذا كان هناك استغلال مؤكد في البرية يجب أن يعتمد على الإفصاحات الرسمية. ولم يذكر البائع أنشطة الاستغلال ولا يمكنه إثبات عدم وجود هجوم؛ يجب إجراء المعالجة بناءً على سطح الهجوم الفعلي. ## 2. فحص سريع للإصدار الثابت وخط الأساس للنشر ### المرجع: 2.1 Node.js、React、Next.js | المكون/الفرع | النسخة الأساسية الموصى بها | تعليمات الاستخدام | | --------------------------------------- | -------------------------------------- | ----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | Node.js 22.x | **22.23.4** | الإصدار الأمني [S1](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-1)[S2](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-2) في 21 أكتوبر | | Node.js 24.x | **24.22.1** | ينطبق على فرع 24.x؛ 24.22.0 لا يحتوي على التصحيح الأمني بتاريخ 21 أكتوبر [S1](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-1)[S2](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-2) | | Node.js 26.x | **26.12.1** | الإصدار الأمني في نفس الدفعة [S1](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-1)[S2](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-2) | | Node.js 20 وفروع المنبع السابقة | الترحيل إلى فرع معتمد | لا يقبل Node 20 هذا الإصلاح الأولي؛ يجب التحقق من الدعم الموسع للمورد بشكل منفصل [S3](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-3) | | Next.js 15.x | **15.5.28** | تم التحديث في 14 أكتوبر [S8](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-8) | | Next.js 16.x | **16.4.1** | نفس ما ورد أعلاه [S8](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-8) | | فرع RSC 19.0 / 19.1 / 19.2 / 19.3 مستقل | **19.0.9 / 19.1.10 / 19.2.9 / 19.3.1** | تحقق من حزم `react-server-dom-*` الثلاثة بشكل منفصل؛ لا تنظر فقط إلى الطبقة العليا `react` [S10](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-10) | | قام Next بالفعل بتحميل `sharp` | **≥0.35.5** | شروط الإصلاح المؤقتة الرسمية لثغرة SVG؛ لا يحل محل تصحيحات Next.js الأخرى [S11](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-11) | يسرد Node رسميًا فروع الصيانة المتأثرة بثغرة أكتوبر، لكنه لا يوفر إصدار التصحيح الذي تم تقديمه في البداية عنصرًا تلو الآخر، لذلك لا يمكن تحديد إصدار البداية الدقيق لكل ثغرة استنادًا إلى نطاق فرع الصيانة وحده. عند النشر، أعط الأولوية لاستخدام الإصدار أعلاه من نفس الفرع أو إصدار لاحق تم تأكيد احتوائه على نفس الإصلاحات. ### 2.2 Java: أكتوبر CPU بالإضافة إلى تحديث شهادة خارج النطاق ينطبق هذا الجدول على **Oracle JDK**. يغطي العمود الثاني CPU بتاريخ 20 أكتوبر فقط؛ والثالث يتضمن إصدار 21 أكتوبر خارج النطاق. لا تغطي إصدارات CPU وحدها جميع مخاطر Java التي تمت مناقشتها هنا. [S16](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-16)[S17](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-17)[S18](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-18) | فرع | 20 أكتوبر CPU | تم إصدار Oracle خارج النطاق في 21 أكتوبر | | --- | ------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------ | | 11 | 11.0.33 | **11.0.33.0.2** | | 17 | 17.0.21 | **17.0.21.0.2** | | 21 | 21.0.13 | **21.0.13.0.2** | | 25 | 25.0.5 | **25.0.5.0.2** | | 27 | 27.0.1 | **27.0.1.0.2** | | 8 | 8u511 | لا يزال جدول الإصدار العام يعرض **8u511**؛ يجب التحقق من البنية الأمنية المحددة وإصلاح سلسلة الثقة، ولا يمكن تحديدها بناءً على رقم الإصدار القصير وحده | يجب التحقق من \*\*Java 8 مقابل معلومات البناء الكاملة:\*\*Oracle يسرد التنبيه 8u511 كإصدار متأثر، وتسرد قائمة الإصدار التحديثات اللاحقة بنفس الاسم المختصر. لا يمكن تمييز حالة التصحيح بناءً على رقم الإصدار القصير "8u511" وحده. يجب عليك التأكد من بناء الأمان المحدد وإصلاحات سلسلة الثقة. [S17](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-17)[S18](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-18) **Temurin، Corretto، Zulu، Microsoft Build of OpenJDK، إصدار الإصدار OpenJDK، وما إلى ذلك، تحقق وفقًا لإعلاناتهم وأرقام الحزمة/الإصدار الكاملة.** على سبيل المثال، سجل الإصدار الرسمي لـ ينص Adoptium على إعادة تجميع البنية ذات الصلة لإضافة إصلاح eMudhra؛ نفس اسم الإصدار الرئيسي لا يعني أن محتوى الحزمة هو نفسه. لا يمكن تطبيق قواعد اللاحقة `.0.2` الخاصة بـ Oracle ميكانيكيًا على الناشرين الآخرين. [S20](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-20) | مكونات التطبيق Java | النسخة الأساسية الموصى بها | ملاحظات | | ------------------------------------- | ------------------------------------- | ----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | Tomcat 9 / 10.1 / 11 | **9.0.123 / 10.1.61 / 11.0.27** | التحقق من فرع تلو الآخر؛ توقف Tomcat 10.0 عن الصيانة [S21](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-21)[S22](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-22)[S23](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-23) | | Spring for GraphQL 2.0.x | **2.0.5（OSS）** | الدعم التجاري هو أيضًا 2.0.4.1 [S25](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-25) | | Spring Security 7.1 / 7.0 | **7.1.1 / 7.0.7（OSS）** | يتوافق مع الحد الأدنى لإصدار الإصلاح الذي تم الإعلان عنه في أغسطس؛ تحتاج إلى التحقق من نشرة الأمان اللاحقة [S27](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-27)[S28](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-28) قبل النشر | | Spring Security 6.5 / 6.4 / 5.8 / 5.7 | **6.5.12 / 6.4.19 / 5.8.28 / 5.7.26** | تم إدراج الإعلان كإصلاح دعم تجاري؛ يتم تقييم الترحيل عند عدم وجود دعم مطابق، ولا يمكن افتراض أن Maven Central متاح مجانًا [S27](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-27) | يجب أن تحترم ترقيات Spring الحد الأدنى لإصدار Spring Boot BOM وJava وخطوط التوافق الخاصة بالمشروع. لا تقم بإجبار جميع وحدات Spring مباشرة على نفس الرقم فقط للحصول على التصحيح. ### 2.3 CPython وDjango وتبعيات الشهادة يركز العمود الثاني من الجدول أدناه على إصدار TLS الذي تم الكشف عنه في سبتمبر؛ تظهر اختلافات الفروع لـ `tarfile` في القسم 5.3.. قامت إصدارات 21 أكتوبر أيضًا بتحديث أدوات الشهادات المجمعة، لذا يتضمن العمود الأخير خطوط الأساس للنشر اللاحقة. [S29](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-29)[S30](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-30)[S33](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-33)[S35](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-35) | فرع CPython | الإصدار الأدنى من دفعة الأمان لشهر سبتمبر | خط الأساس للنشر الموصى به | | ----------- | ----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | 3.10 | 3.10.22 | الإصدار الأخير من المنبع، EOL؛ ترتيب الترحيل أو التحقق من دعم ملحق الإصدار [S34](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-34) | | 3.11 | **3.11.17** | 3.11.17، وقم بتحديث pip/certifi في كل بيئة على حدة | | 3.12 | **3.12.15** | 3.12.15، وقم بتحديث pip/certifi في كل بيئة على حدة | | 3.13 | 3.13.16 | **3.13.17** | | 3.14 | 3.14.8 | **3.14.9** | | 3.15 | يتضمن الإصدار النهائي من 3.15.0 كلا من إصلاحات TLS [S31](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-31)[S47](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-47) | **3.15.1** | لا يجوز إصدار إصدارات الأمان الأولية من 3.11 و3.12 إلا في التعليمات البرمجية المصدر؛ عند استخدام حزمة نظام التشغيل، تحقق من إرشادات المنفذ الخلفي للبائع وإصدار الحزمة الكاملة، وليس هناك أي شرط لاستبدال النظام Python بالقوة بإصدار مجمع ذاتيًا. [S33](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-33)[S34](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-34) | التبعية المستقلة | النسخة الأساسية الموصى بها | الوصف | | ---------------------- | -------------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------ | | Django 5.2 / 6.0 / 6.1 | **5.2.18 / 6.0.9 / 6.1.2** | دمج التصحيح اللاحق [S38](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-38)[S39](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-39) في 6 أكتوبر | | certifi | **≥2026.10.19** | التصحيح الأولي GHSA هو .18؛ توصي PSF بـ .19 للحفاظ على التوافق مع الشهادات غير المتأثرة [S36](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-36)[S37](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-37) | | pip | **≥26.2.2** | تحتاج النسخة المضمنة من certifi إلى التحديث بشكل منفصل [S35](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-35)[S37](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-37) | | uv (إذا تم استخدامه) | **≥0.13.4** | قم بتحديث [S37](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-37) وفقًا لطريقة التثبيت الفعلية | **تغطي خطوط الأساس هذه الإصلاحات المدرجة.** تم الكشف عن مشكلة أخرى متوسطة الخطورة في `tar_filter` في 22 أكتوبر. اعتبارًا من 23 أكتوبر 2026، لم يتم تأكيد إصدار الصيانة الرسمي الذي يحتوي على هذا الإصلاح بعد؛ لذلك، لا يمكن اعتبار أن 3.13.17 / 3.14.9 / 3.15.1 قد غطى كافة مشكلات ملف التعريفة. راجع القسم 5.4. [S40](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-40) ### 2.4 التحقق من منافذ التوزيع الخلفية مبادئ التنفيذ المطبقة على Ubuntu وDebian وRHEL وحزم البرامج الأخرى: 1. قم بتسجيل إصدار نظام التشغيل ومصدر المستودع وإصدار الحزمة الكاملة ورقم النشرة الأمنية للمورد. 2. تأكد من أن الاستشارة تغطي CVE المحددة وتحدد الحزمة الثابتة لإصدار التوزيع ذي الصلة. 3. قارن بين الثنائيات/المكتبات التي تم تحميلها بواسطة عملية التشغيل الفعلية، وليس فقط الإصدار القصير المنبع. 4. عندما لا يكون هناك دليل على تصحيح البائع، اترك الأمر "ليتم تأكيده" ولا تعتبره الاستنتاج الوحيد بأن رقم الإصدار يبدو قديمًا أو جديدًا. توجد اختلافات في إصدارات حزمة apt/RPM واستراتيجيات المنفذ الخلفي للتوزيعات المختلفة. يجب أن تسود نشرة الأمان وإصدار الحزمة الكاملة لكل توزيع. ## 3. النظام البيئي Node.js / JavaScript: تحليل الأسباب والعلاج ### 3.1 CVE-2026-111497: الكتابة خارج الحدود لوحدة فك الترميز الأصلية Brotli **الإفصاح: 2026-10-21؛ Node الصف الرسمي: High. تتطلب الإصدارات المتأثرة من** Node 22.x و24.x و26.x تثبيت قسم التصحيح 2.1. Node لا يتضمن الإعلان درجة CVSS الرقمية. [S1](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-1) تحدث المشكلة في منطق فك التشفير الأصلي عند معالجة الدفق المضغوط Brotli المشوه، والذي يمكن أن يؤدي إلى عمليات كتابة خارج الحدود. يؤكد الوصف الرسمي لـ Vercel أن العرض البحثي يتضمن عمليات تسرب للذاكرة وتنفيذ الأوامر. تعتمد قدرة المهاجم على الوصول إلى وحدة فك التشفير على ما إذا كان التطبيق أو التبعية يقوم بالفعل بفك تشفير البيانات التي يتحكم فيها. [S3](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-3) يجب التحقق من كلا الاتجاهين في نفس الوقت: - **inbound: يقوم إطار عمل** أو البرنامج الوسيط تلقائيًا بإلغاء ضغط نص طلب Brotli المقدم من قبل المستخدم. - \*\*outbound:\*\*HTTP يقوم العملاء وجامعو الصور وما إلى ذلك بالوصول إلى المصادر التي يمكن التحكم فيها من قبل المهاجمين وإلغاء ضغط المحتوى الذي تم إرجاعه تلقائيًا. لا يؤدي تعطيل ضغط Brotli للاستجابات المرسلة إلى المستعرضات إلى إزالة نقطة إدخال فك التشفير. لا تغطي حماية Inbound WAF أيضًا التطبيقات التي تقوم بجلب وفك تشفير الاستجابات الخارجية. [S3](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-3) اتجاه \*\*Patch:\*\*Node انقل إصلاح Brotli إلى التبعية الأصلية، وأكمل فحص حالة فك التشفير غير القانوني ونشر الأخطاء. عند الحفاظ على نسخة مجمعة ذاتيًا، يجب عليك استخدام الإصدار الأمني ​​الرسمي أو التصحيح الكامل للفرع المطابق. لا يمكنك فقط تغيير بيان إصدار حزمة JavaScript. [S4](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-4) **اقتراحات التنفيذ المؤقتة:** إيقاف فك تشفير Brotli غير الضروري وغير الموثوق به؛ التحقق من سلوك إلغاء الضغط التلقائي للبرامج الوسيطة وعميل HTTP؛ إذا كان يجب على الشركة قبول هذا التنسيق، فأكمل المعالجة في البيئة المصححة في أقرب وقت ممكن. يعد ضبط `Accept-Encoding` مجرد عملية تفاوض ويجب ألا يكون بمفرده كدليل على حظر الاستجابة الضارة. ### 3.2 TLS / DNS ثلاثة High: كائن التحقق غير متوافق مع الهدف الفعلي تم الكشف عن الثلاثة في 21 أكتوبر، مع تحديد حد الترقية الرسمي في القسم 2.1. [S1](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-1) | المعرف | تم تأكيد المشكلة | الفروع المتضررة | | --------------- | ------------------------------------------------------------------------------ | ------------------ | | CVE-2026-105482 | `dns.resolve` اقتطاع الأسماء التي تحتوي على NUL | 22.x / 24.x / 26.x | | CVE-2026-105483 | يؤدي IP في شكل رقمي كامل العرض إلى تجاوز التحقق من اسم مضيف الشهادة | 24.x / 26.x | | CVE-2026-106069 | اسم المضيف الذي يمكن تفسيره بشكل فضفاض على أنه IP يؤدي إلى تجاوز التحقق من TLS | 22.x / 24.x / 26.x | DNS جوهر المشكلة هو أن السلسلة التي تم فحصها بواسطة الطبقة العليا تختلف عن الاسم الذي تم تحليله بالفعل بواسطة الطبقة السفلية. يرفض التصحيح الرسمي NUL عند إدخال التحليل ويضيف تغطية الانحدار. [S6](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-6) TLS يشتمل العنصران على تسوية الاسم واتساق تفسير IP ومطابقة الشهادة. قم بالتصحيح بحيث يتم رفض إدخال IP غير القياسي أو يتم التعامل معه بشكل صحيح لتجنب الخلط بين نقطة نهاية IP الفعلية وهوية مجال الشهادة. [S5](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-5) اقتراحات استكشاف الأخطاء وإصلاحها الفعلية لـ **:** تعطي الأولوية للتحقق من رمز المستخدم المتلقي URL أو هدف الوكيل الديناميكي أو عنوان Webhook؛ توحيد المعايير والسماح بالحكم على القائمة، ورفض أحرف NUL/التحكم، والتأكيد على أن IPv4 وIPv6 وأسماء النطاقات الدولية لا تزال تعمل. ما إذا كان من الممكن تشكيل SSRF بشكل أكبر يتطلب تطبيق دليل الارتباط، والذي لا يمكن استنتاجه مباشرة من الاسم CVE. لا تستخدم `NODE_TLS_REJECT_UNAUTHORIZED=0` أو `rejectUnauthorized: false` لإزالة أخطاء المجموع الاختباري بعد الترقية. يجب تصحيح العنوان والشهادة وتكوين العمل. ### 3.3 يوليو HTTP/2 High-مشكلات نموذج المخاطر والأذونات لا تزال القضايا التالية التي تم الكشف عنها في يوليو بحاجة إلى تضمينها في التحقيق. يوصى باستخدام خط الأساس لإصدار الأمان لشهر أكتوبر مباشرةً في القسم 2.1 عند النشر. [S7](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-7) | CVE | الأسباب والآثار | النسخة الثابتة الأولى | | -------------- | ------------------------------------------------------------------------------------------------------------------------------- | --------------------------------------- | | CVE-2026-56846 | لم يتم تضمين كتلة HTTP/2 header المحتفظ بها بشكل صحيح في ميزانية `maxSessionMemory` ويمكن أن تستنفد الذاكرة؛ إمباكت 22.x / 24.x | 22.23.2 / 24.18.1 | | CVE-2026-56848 | يعيد HTTP/2 إدخال مسار الإرسال أثناء تجميع الحزم، مما يتسبب في حدوث كومة UAF؛ تأثير 22.x / 24.x / 26.x | 22.23.2 / 24.18.1 / 26.5.1 | | CVE-2026-58043 | `--permission` تطابق حدود بادئة المسار واسع جدًا، ويمكن الوصول إلى الملفات الموجودة خارج القائمة المسموح بها. | نفس خطوط الصيانة الثلاثة المذكورة أعلاه | الثلاثة هم رسميًا High. يعطي العنصران الأولان الأولوية للتحقق مما إذا كان HTTP/2 قد تمت معالجته بواسطة Node نفسه؛ العنصر الثالث له معنى مقابل فقط عند استخدام نموذج الإذن والاعتماد على هذه الحدود. لا يمكن وصف جميع عناصر نموذج الإذن على أنها شبكة RCE لا تتطلب المصادقة. [S7](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-7) يعد إنهاء HTTP/2 مؤقتًا على وكيل منفصل ومحدث والحد من مصادر الواجهة الخلفية خيار نشر لتقليل التعرض؛ يمكن لحصص الموارد التحكم فقط في عواقب استنفاد الموارد ولا يمكنها تصحيح UAF. ### 3.4 أكتوبر React / Next.js: عنصران RCE وعنصر واحد DoS #### A. RCE في وظائف RSC / `use cache` التي تقوم بإرجاع المصفوفات المكتوبة **التاريخ العام: 14-10-2026; Critical، CVSS 4.0 9.5.** المعرفات الاستشارية الرسمية: - React：**GHSA-xqc2-xf4c-x3h3**。 - Next.js：**GHSA-673q-mjm6-r5xr**。[S9](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-9)[S10](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-10) تتضمن مشكلة المنبع React عدة صفائف مكتوبة مدمجة مع قيم يمكن التحكم فيها من قبل المهاجم في استجابة RSC. إصدارات حزمة `react-server-dom-*` الثلاثة المتأثرة هي **19.0.0 — 19.0.8، 19.1.0 — 19.1.9، 19.2.0 — 19.2.8، 19.3.0**; راجع الفصل 2.1. جانب المتصفح النقي React، أو التطبيقات التي لا تستخدم أطر العمل/المكونات الإضافية التي تدعم RSC على الإطلاق، لا تقع ضمن نطاق هذا العنصر. [S10](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-10) يسرد إعلان Next.js **16.0.0 — 16.4.0**، المنقح في **16.4.1**؛ السيناريو هو دالات App Router وCache Components و`use cache` التي ترجع صفائف مكتوبة متعددة. لا يوجد حل عام رسمي وموثوق، ويطلب من مستخدمي الإصدارات المتأثرة الترقية في الوقت المناسب. ليس من المناسب الاعتماد فقط على عمليات البحث اليدوية عن "لا يبدو أن هذه الوظيفة موجودة" لإنهاء المعالجة. [S9](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-9) #### المرجع: B. SVG Image Optimization RCE **CVE-2026-96889/GHSA-2464-fhr4-w9xw, 2026-10-14, Critical, CVSS 4.0 9.5. تحدث مشكلة** في المكتبة الأصلية الأولية المستخدمة لتحسين الصورة. وأشار المسؤولون إلى أن خطر RCE موجود في سيناريو **glibc Linux**. [S11](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-11) حقول النسخة الرسمية هي: - `>=10.0.0 <=15.5.27`； - `>16.0.0 <=16.4.0`。 يستخدم المسؤول حدًا أدنى صارمًا لـ `>16.0.0` للفرع 16.x، لكن بيان النطاق هذا لا يكفي لإثبات أن 16.0.0 آمن. هدف الترقية الفعلي هو **15.5.28 / 16.4.1** بشكل موحد. [S11](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-11) الحل المؤقت الرسمي هو التأكد من أن **Next يقوم فعليًا بتحميل ≥0.35.5** بشكل حاد. قد تظل ملفات القفل والتبعيات المتداخلة وصور النشر تحتوي على مثيلات قديمة، لذا فإن مجرد إضافة إصدار جديد من تبعية `sharp` في المستوى الأعلى لا يكفي، ويجب فحص شجرة التبعية النهائية وإعادة بنائها. [S11](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-11) #### C. Server Actions CPU استنفدت \*\*GHSA-p3m5-59mp-jv5r، 14-10-2026، High، CVSS 4.0 8.2.\*\*Next يؤثر على **13.0.0—15.5.27، 16.0.0 — 16.4.0**، يعمل على إصلاح **15.5.28 /16.4.1**. الشروط هي App Router وServer Action واحد على الأقل؛ يمكن للطلبات الضارة أن تبقي CPU مشغولة لفترة طويلة، مما يمنع الطلبات اللاحقة في نفس العملية. لا تتأثر التطبيقات التي تحتوي على Pages Router أو بدون Server Actions بهذا. [S12](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-12) لا يوجد أي حل رسمي يمكن أن يحل محل الترقية. يمكن أن تؤدي حدود المعدلات وحدود التزامن وحصص الموارد إلى تقليل الضرر، ولكن لا يمكن استخدامها كاستنتاج للتحقق من التصحيح. ### 3.5 سابق Next.js في نفس النافذة مشكلة خطيرة تهدف العناصر التالية إلى تجنب عمليات النشر المفقودة التي لا تزال عالقة في الإصدارات السابقة لشهر أغسطس وسبتمبر؛ لا يُنصح بالانتقال إلى حدود الإصلاح القديمة في الجدول الآن. | التاريخ | المعرف / السيناريو | الإصلاح الأول؛ العمل الحالي | | ---------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------ | --------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | 2026-08-25 | GHSA-2xp9-vwfh-vxw4: المكتبة الأصلية لتحسين الصور AVIF RCE، Critical | 15.5.24 / 16.3.3; الآن 15.5.28 / 16.4.1 [S13](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-13) | | 2026-08-25 | CVE-2026-75604: RCE، Critical عند استخدام Pages Router وApp Router في نفس الوقت على Windows، ولم يتم تمكين Cache Components؛ الإصدارات `>=13.4.0 <15.5.24`، `>=16.0.0 <16.3.3` | 15.5.24 / 16.3.3; لا يتأثر Linux/macOS بمشكلة Windows المحددة [S14](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-14) | | 2026-09-22 | GHSA-vcvr-r3jv-pc5j: يقوم مسار إنشاء الصور Node في `next/og` بمعالجة SVG وCritical غير الموثوق بها؛ 16.2.0—16.3.5 | 16.3.6; يقع تطبيق Edge خارج نطاق هذه المشكلة، و15.x ليس فرعًا متأثرًا لـ RCE [S15](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-15) | ## 4. النظام البيئي Java: يتم التعامل مع الثقة في وقت التشغيل والحاويات والأطر بشكل منفصل ### 4.1 JDK: CPU العادي وCVE-2026-91403 عبارة عن تحديثات ذات مستويين تسرد مصفوفة المخاطر Java SE لـ Oracle CPU في 20 أكتوبر **55 تصحيحًا أمنيًا جديدًا، تم وضع علامة على 49 منها على أنها قابلة للاستغلال عبر الشبكة دون مصادقة**. هذا لا يعني أن هناك 55 Critical، ولا يعني أن هناك 49 مسار RCE قابل للاستغلال المباشر لكل خدمة ويب Java؛ ويجب فهمه جنبًا إلى جنب مع المكونات وواجهات برمجة التطبيقات وتفاعلات المستخدم وشروط النشر في المصفوفة. [S16](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-16) يتعامل **CVE-2026-91403 (CVSS 3.1 9.1)** لليوم التالي مع نوع آخر من المخاطر: مجموعة من CA المتوسطة المرتبطة بحدث eMudhra الذي لم يعد موثوقًا به. فهو يؤثر على مصادقة الأقران TLS وسرية/تكامل الاتصال ولا يمكن وصفه بأنه ثغرة أمنية لتلف الذاكرة في JVM. [S17](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-17) يسرد تحذير Oracle الإصدار الذي تم إصداره في 20 أكتوبر على أنه متأثر، لذا يجب أيضًا تثبيت التحديث خارج النطاق في 21 أكتوبر. راجع القسم 2.2 للاطلاع على الإصدار المحدد. لدى GraalVM أيضًا منتجات متأثرة مقابلة، ويجب أن يخضع الإصدار الثابت لنشرة الأمان الحصرية الخاصة به. [S17](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-17)[S18](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-18) **التدابير الرسمية المؤقتة:** قم بالنسخ الاحتياطي أولاً، ثم قم بإزالة الشهادة الجذر المحددة من كل مخزن ثقة مستخدم بالفعل: - `emSign ECC Root CA - G3`، Oracle الاسم المستعار `emsigneccrootcag3 [jdk]`. - `AAA Certificate Services`، Oracle الاسم المستعار `comodoaaaca [jdk]`. [S19](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-19) JDK 11 والإصدارات الأحدث، المثال الرسمي هو: ```bash keytool -delete -cacerts -alias "emsigneccrootcag3 [jdk]" keytool -delete -cacerts -alias "comodoaaaca [jdk]" ``` استخدم **keytool من الهدف JDK** لهذه الأوامر وتأكد من أنها تعمل في مخزن الثقة الفعلي للتطبيق. يستخدم Java 8 المسار المطابق لـ `jre/lib/security/cacerts`؛ يجب التعامل مع تخصيص مخزن الثقة بشكل منفصل، وقد يكون للناشرين الآخرين أسماء مستعارة مختلفة. ستؤدي إزالة شهادة الجذر إلى توسيع نطاق الرفض وسلاسل شهادات الخدمة الشرعية لاختبار الانحدار. [S19](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-19) يوفر المسؤول أيضًا خيار تمكين فحص الإلغاء، لكن التأثير يعتمد على التنفيذ الفعلي لـ TLS وإمكانية الوصول إلى خدمة الإلغاء واستراتيجية الفشل. بالنسبة لعمليات النشر العامة، قم بإعطاء الأولوية لتثبيت تحديثات المورد الكاملة لتجنب التعامل مع محولي JVM كدليل على إصلاح جميع مكتبات TLS. ### 4.2 Tomcat: تجاوز المصادقة وعزل الطلبات عبر المستخدمين تم نشر العناصر الثلاثة التالية على **2026-10-20**؛ إدخال الإصدار الذي تم إصلاحه بتاريخ **October 12**. الدرجة الرسمية لـ Apache هي **Important**. [S21](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-21)[S22](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-22)[S23](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-23) | CVE | الإصدارات المتأثرة المؤكدة | السيناريوهات/النتائج الضرورية | | --------------- | ---------------------------------------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | CVE-2026-101296 | 9.0.0.M1—9.0.122；10.1.0-M1—10.1.60；11.0.0-M1—11.0.26 | JNDIRealm يقوم بتكوين آلية مصادقة غير GSSAPI SASL، والتحقق من بيانات الاعتماد مفقود، وقد تمر أيضًا كلمات مرور غير صحيحة | | CVE-2026-101356 | 9.0.118—9.0.122；10.1.55—10.1.60；11.0.22—11.0.26 | يؤدي خطأ Servlet غير المتزامن الخاص بـ HTTP/2 في معالجة الكائنات بشكل غير صحيح إلى إعادة تدوير/إعادة استخدام الكائنات، مما يتسبب في اختلاط الطلبات أو الاستجابات بين المستخدمين | | CVE-2026-103119 | قم فقط بتأكيد **11.0.0-M25—11.0.26** | يمكن أن تؤدي عمليات الكتابة الكبيرة غير المحظورة AJP إلى عدم قراءة المخزن المؤقت، مما يؤدي إلى كشف بيانات الاستجابة السابقة في الطلبات اللاحقة. | الإصلاح المقابل هو **9.0.123 / 10.1.61 / 11.0.27**؛ تم إدراج AJP كـ Tomcat 11 فقط وفقًا للإعلان، ولا يمكن توسيعه إلى ثلاثة فروع بنفس المشكلة. [S21](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-21)[S22](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-22)[S23](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-23) يعمل تصحيح JNDIRealm على إصلاح فجوة التحقق في عملية المصادقة الفعلية، حيث لا يمكن استخدام "واجهة تسجيل الدخول للتطبيق تبدو طبيعية" بدلاً من التحقق. يجب التحقق من آليات SASL للتأكد من التكوين الفعلي للخدمة، ويجب أن تفشل الاختبارات بسبب كلمات المرور غير الصحيحة. [S24](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-24) **اقتراحات التنفيذ المؤقتة:** عزل مسار المصادقة المتأثر؛ تعليق معالجة HTTP/2 لـ Tomcat عندما يسمح العمل بذلك؛ إغلاق AJP عديمة الفائدة. إن تقييد الوصول المباشر إلى منفذ AJP فقط لا يمكن أن يثبت أن حركة المرور التي تدخل عبر الوكيل الأمامي القانوني لن تتأثر. بعد التحديث الرسمي، يجب اختبار الطلبات المتزامنة غير المتزامنة من مستخدمين مستقلين للتأكد من عدم وجود تداخل بين الهويات والاستجابات. ### المرجع: 4.3 Spring for GraphQL：CVE-2026-59285 **التاريخ العام: 2026-08-20؛ High.** متأثر **2.0.0 — 2.0.4**، تم إصلاحه **2.0.5 (OSS)** أو **2.0.4.1 (الدعم التجاري)**. [S25](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-25) يعد هذا خطرًا غير آمن لإلغاء التسلسل في استعلامات الترحيل. الشرط الرسمي هو أنه يجب استيفاء الشروط التالية في نفس الوقت: 1. استخدم Spring for GraphQL. 2. قم بإلغاء تسلسل JSON باستخدام Jackson 2.x. 3. توفير حقل ترحيل الاتصال بالعالم الخارجي. 4. يحتوي مسار الفصل على فئات محددة يمكنها تنفيذ منطق غير متوقع أثناء إنشاء مثيل أو إلغاء التسلسل. قد يتسبب طلب GraphQL الضار في حدوث RCE عند استيفاء الشروط. لا يمكن اختزاله إلى "يمكن استغلال جميع برامج Java التي تستخدم جاكسون". [S25](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-25) **لماذا 2.0.4 غير كافٍ:** في يونيو، قدمت CVE-2026-41699 خطوط أساس للتصحيح مثل 2.0.4، وفي أغسطس، أدرج الإعلان بوضوح 2.0.4 في نطاق التأثير الجديد. لذلك، يجب تحديث سجل الإصلاح وفقًا للإعلانات اللاحقة، ولا يمكن استخدام الحد الأدنى من الإصدار القديم CVE. [S26](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-26) عندما تكون الترقية غير متاحة مؤقتًا، يمكن تعليق حقول ترقيم الصفحات المتأثرة التي يمكن للمتصلين غير الموثوق بهم الوصول إليها؛ يعد تضييق نطاق الأنواع القابلة للإلغاء ومسارات الفئات إجراءً متعمقًا. يجب أن تغطي الانحدارات المؤشرات القانونية، والنتائج المرقّمة، ورفض إدخال الاستثناءات، والتحقق من إصدارات المكونات الفعلية داخل تطبيق JAR النهائي. ### 4.4 Spring Security: CVE-2026-59270 ومخاطر المصادقة ذات الصلة **CVE-2026-59270, 2026-08-20, Critical.** المضمن `UnboundIdContainer` يسجل بيانات اعتماد المسؤول المعروفة افتراضيًا ويستمع إلى جميع واجهات الشبكة. عندما يتم تمكين المكون ويكون المنفذ قابلاً للوصول، يمكن للمهاجم قراءة بيانات الدليل أو تعديلها؛ المشاريع التي تقدم Spring Security بشكل عام لن تعرض LDAP تلقائيًا. [S27](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-27) المنطقة المتضررة: | فرع | تتأثر | قناة الإصلاح/الاكتساب الأولى | | --------- | ------------------------- | -------------------------------- | | 7.1 | 7.1.0 | 7.1.1 OSS; أيضا 7.1.0.1 التجارية | | 7.0 | 7.0.0—7.0.6 | 7.0.7 OSS; أيضا 7.0.6.1 التجارية | | 6.5 / 6.4 | 6.5.0—6.5.11；6.4.0—6.4.18 | 6.5.12/6.4.19، تجاري | | 5.8 / 5.7 | 5.8.0—5.8.27；5.7.0—5.7.25 | 5.8.28/5.7.26، تجاري | المصدر: [S27](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-27). استكشاف أخطاء التكوين التلقائي `spring.ldap.embedded.*` ورمز إنشاء مثيل مباشر وإصلاحها؛ أغلق المكون عندما لا تكون هناك حاجة إليه للإنتاج، وتحقق من عنوان الاستماع الفعلي. عندما تحتاج الشركة إلى ذلك حقًا، قم أولاً بتحديد مصادر الاتصال ثم أكمل ترقية المكونات. \*\*مشكلة المصادقة ذات الصلة: CVE-2026-47841 (High).\*\*WebAuthn تم تعيين مصادقة المستخدم على `REQUIRED`، وبعد إجراء تسلسل لجلسة HTTP بواسطة التخزين الموزع، قد تؤدي مقارنة هوية الكائن غير الصحيحة إلى إبطال متطلبات المصادقة. يتطلب الهجوم أيضًا أن يمتلك المهاجم جهاز مصادقة المستخدم، وليس تسجيل الدخول التعسفي عن بعد بدون جهاز. بالنسبة للإصدارات المتأثرة المقابلة من 7.1 و7.0 و6.5 و6.4، يتوافق خط الأساس للتصحيح مع هذه الفروع في الجدول أعلاه؛ يجب أن يغطي التحقق الجلسات عبر العقدة ولا يزال يتطلب التحقق من رقم التعريف الشخصي/المقاييس الحيوية. [S28](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-28) ## 5. النظام البيئي Python: المترجم الفوري والمكتبة القياسية والإطار والشهادات ### 5.1 CVE-2026-19445: SSLContext UAF في رد الاتصال SNI **تاريخ النشر: 30-09-2026; مستوى PSF: Critical.** في خادم Python TLS، يقوم `sni_callback` بتبديل الاتصال إلى `SSLContext` آخر، وعندما لا يحتوي السياق الأصلي على أي مراجع أخرى باقية، فإن المحتوى غير المصادق عليه قد يتعطل عميل TLS في الخدمة أو يستدعي مؤشرًا في كائن تم إصداره. [S29](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-29) جوهر الأمر هو أن كائن Python غير متوافق مع دورة حياة رد الاتصال TLS الأساسية. تم تحرير السياق الأصلي، وقد تظل الطبقة الأساسية محتفظة بالحالة المطلوبة لرد الاتصال؛ يجب استخدام التصحيح الأصلي للمترجم لإصلاح دورة الحياة المرجعية. [S47](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-47) **Scope:** كود Python الذي يعمل فقط كعميل TLS لا يتأثر بهذا العنصر؛ الوضع العادي لمقبس الاستماع الذي يحتفظ بالسياق الأصلي لفترة طويلة لا يقع في مسار الفشل المحدد الموضح في الإعلان. بعد إنهاء Nginx لـ TLS، يقوم فقط بتسليم HTTP المحلي إلى Python، ويتعامل Python مباشرة مع SNI بنفسه، وهو سطح هجوم مختلف. [S29](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-29) وفقًا للإصدار الثابت 3.10—3.14، راجع القسم 2.3.. تم إصلاح الإصدار الرسمي من 3.15، ويمكن بالفعل تحديد 3.15.1. تحديث تبعية pip فقط لا يمكن أن يحل محل تطبيق `_ssl` الخاص بالمترجم. [S33](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-33)[S35](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-35)[S47](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-47) **التخفيف المؤقت الرسمي: يحتفظ** بمراجع قوية لجميع SSLContext التي قامت بتعيين رد الاتصال SNI حتى نهاية دورة حياة الخادم. يحتاج هذا إلى تغطية عملية الإنشاء الديناميكي الفعلي وتبديل المسارات؛ يجب أيضًا على إصدار OpenSSL 1.1.1 المخصص التحقق من شروط إعادة التفاوض جنبًا إلى جنب مع سجل الإصدار الرسمي وإعطاء الأولوية لإكمال التحديثات. [S29](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-29)[S47](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-47) ### 5.2 CVE-2026-19553: تم تشغيل إشارة اسم المضيف، لكن اسم المضيف مفقود عند الاتصال **التاريخ العام: 30-09-2026; High. عندما**`SSLContext.check_hostname=True`، إذا لم يتم تمرير `wrap_bio()` في `server_hostname`، فقد يتخطى التطبيق الأصلي التحقق من اسم المضيف بصمت. لا يعني نجاح التحقق من سلسلة الشهادات أن اسم المجال المستهدف قد تمت مطابقته أيضًا. [S30](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-30) يتطلب العلاج كلا الخطوتين: - قم بتثبيت الإصدار الأمني للمترجم الفوري المدرج في القسم 2.3. - تحقق من `wrap_bio()`، ومسارات `asyncio.create_connection()` / `loop.start_tls()` ذات الصلة، وقم بتمرير اسم المضيف المتوقع وغير الفارغ بشكل صريح، واستمر في تشغيل التحقق من الشهادة. [S30](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-30) \*\*اختلافات التوافق التي لا يمكن حذفها:\*\*3.10، 3.11، 3.12 مخصصة للتوافق، ويتم إصدار `DeprecationWarning` فقط في بعض الحالات التي يكون فيها اسم المضيف مفقودًا؛ 3.13 ثم قم برفع `ValueError` لاحقًا. يميز المنفذ الخلفي 3.12 بوضوح بين `None` والسلاسل الفارغة: تمت إضافة تحذير جديد لـ `None`، ولا يزال يتم الإبلاغ عن خطأ للسلاسل الفارغة. لذلك، لا يمكن للمستخدمين ذوي الفروع المنخفضة افتراض أن التحقق من اسم النطاق المفقود في الأصل قد تمت استعادته تلقائيًا بمجرد الترقية. [S31](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-31)[S33](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-33) في بيئة اختبار، استخدم شهادة سلسلة موثوقة مع اسم مضيف غير متطابق وتأكد من أن عميل التطبيق الفعلي TLS يرفضها. إن مجرد قراءة القيمة المنطقية `check_hostname` لا يشكل قبولًا كاملاً. ### 5.3 CVE-2026-82049: تجاوز مجموعة الارتباط في مرشح ملف tarfile **التاريخ العام: 14-09-2026; High.** في CPython 3.13 والتطبيقات ذات الصلة السابقة، يمكن لمجموعة الروابط الثابتة والروابط الرمزية في القطران غير الموثوق بها تجاوز مرشح الاستخراج `data` / `tar`، وكشف محتويات الملفات خارج دليل التفريغ في شجرة التفريغ، أو تعديل أذوناتهم وأوقات التعديل. [S32](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-32) تشمل التأثيرات المؤكدة لهذه الثغرة الأمنية عرض محتوى الملف وتعديل بيانات التعريف؛ هذه التأثيرات وحدها ليست كافية لإثبات الكتابة التعسفية لمحتوى الملف الخارجي أو التنفيذ غير المشروط لـ RCE. للحصول على خطوط أساس التصحيح المقابلة لـ 3.10 — 3.13، راجع القسم 2.3. **Python تم إعفاء 3.14 من هذه المشكلة المحددة بسبب تغييرات سلوك `os.link()` منذ ذلك الحين 3.14.0b1**، لذلك لا ينطبق النطاق المتأثر للفرع 3.10—3.13 أعلاه. [S33](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-33) **التدابير المؤقتة والمتعمقة:** تعليق الاستخراج التلقائي للأرشيفات غير الموثوق بها؛ استخدام عمليات عاملة معزولة ذات امتيازات منخفضة وأدلة حصرية جديدة عندما يتعين معالجة الأعمال، ورفض الروابط الرمزية والارتباطات الثابتة وإدخالات الأجهزة بواسطة الشركة، والحد من عدد الملفات وموارد إلغاء الضغط. هذه هي توصيات النشر. يعد `filter="data"` أكثر ملاءمة للأرشيفات العامة غير الموثوق بها من استراتيجية الثقة الكاملة، ولكن عامل التصفية نفسه في الإصدار القديم به أيضًا هذه الثغرة الأمنية، وإضافة هذه المعلمة وحدها لا يمكن أن تحل محل التحديث. لا يعد الفلتر أيضًا بمثابة صندوق حماية كامل لنظام الملفات. [S32](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-32)[S45](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-45) ### 5.4 المخاطر التكميلية: CVE-2026-114583 (Medium) وحالة إصدار التصحيح كشف PSF في **2026-10-22** أن معالجة `tarfile.tar_filter` لأسماء روابط محددة يمكن تجاوزها، مما يسمح للأعضاء اللاحقين بالكتابة خارج دليل التفريغ، بمستوى **Medium**. تم دمج الإصلاح الرسمي PR في ذلك اليوم؛ اعتبارًا من 23 أكتوبر 2026، لم يتم تأكيد أي إصدار صيانة رسمي يحتوي على هذا الالتزام. [S40](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-40) لذلك: - تم إدراج هذا العنصر بشكل منفصل باسم Medium. - لا يمكن اعتبار إصدارات المترجم الفوري التي تم إصدارها في 21 أكتوبر متضمنة هذا الإصلاح. - العملية التي لا تزال تستخدم `filter="tar"` للتعامل مع الأرشيفات غير الموثوق بها يجب أن تتبع الإصدار الخلفي؛ عزل أو تعليق مسار المعالجة هذا لفترة قصيرة من الزمن. عند التبديل إلى `data` ورفض الارتباطات، يجب عليك أيضًا التأكد من أنه يلبي متطلبات العمل، ولا يمكن وصف تغيير عامل التصفية بأنه وضع حماية غير مشروط. ### 5.5 GeoDjango: CVE-2026-15307 والإصلاحات اللاحقة في أكتوبر **2026-08-04، Django الرسمي High.** يقوم الاستعلام المكاني بتمرير سلاسل/قواميس معينة ضمنيًا إلى `GDALRaster`، وقد يقوم برنامج التشغيل بكتابة الملفات أو بدء طلبات الشبكة؛ قد يتم تشكيل RCE عندما تكون هناك مسارات محددة وشروط تنفيذ لاحقة. يمكن أيضًا للموظفين الذين لديهم أذونات عرض نموذج المجال المكاني الوصول إلى هذا المسار من خلال قائمة تغييرات المسؤول. [S38](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-38) الإصلاح الأولي هو **5.2.17 / 6.0.8**، والذي يقيد أنواع الإدخال المقبولة بواسطة عمليات البحث المكانية. قد يؤثر هذا التغيير على العمل الأصلي المتمثل في استخدام السلسلة/القاموس للتعبير عن البيانات النقطية؛ إن مجرد تضمين المدخلات غير الموثوق بها في GDALRaster لا يعني التحقق منها. [S38](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-38) في 6 أكتوبر، تم إصلاح **CVE-2026-87890 (متوسط)**: يمكن لـ VRT المعبر عنها بالبايت الإشارة إلى الموارد الخارجية ولا يزال يقوم بتشغيل طلبات الشبكة؛ وفي نفس اليوم، تم أيضًا تعزيز حماية DoS للهندسة المتداخلة لـ CVE-2026-15830. لا يمكن ترقية الأخيرين لوصف RCE الجديد عالي المخاطر، لكنهما يشيران إلى أن خط الأساس للنشر يجب أن يكون **5.2.18 / 6.0.9 / 6.1.2**. [S39](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-39) يتحقق التنفيذ من نقطتي الدخول لواجهة برمجة التطبيقات (API) وواجهة الإدارة، ويقيد البحث المكاني غير الموثوق به، وأذونات كتابة الملفات والوصول للخارج؛ بعد التحديث، واختبار الانحدار الاستعلامات المكانية الصالحة ورفض المدخلات المحظورة. تطبيقات Django العادية التي لا تستخدم GeoDjango يجب ألا تطبق هذا الاستنتاج RCE مباشرة. ### 5.6 certifi / pip: يجب أن تغطي الثقة في الشهادة كل نسخة **GHSA-6q48-6c7w-9gw2، 20/10/2026، Critical، CVE المعروف غير مدرج.** هذا هو تحديث عدم الثقة في الشهادة الناتج عن حادثة eMudhra المتوسطة CA. لا يمكن تلخيص ذلك على أنه آلية تشفير HTTPS أو أن جميع شهادات الجذر قد تم اختراقها. [S36](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-36) أدرجت استشارة certifi في الأصل **2026.10.18** كتصحيح؛ PSF أوصى لاحقًا صراحةً بـ **2026.10.19** للحفاظ على التوافق مع شهادات الجذر غير المتأثرة. خط الأساس التشغيلي هو .19. [S36](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-36)[S37](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-37) تحتاج إلى التمييز: | الثقة بموقع المادة | لماذا تحتاج إلى التحقق بشكل منفصل | | ---------------------------------- | ---------------------------------------------------------------- | | حزمة نظام التشغيل CA | مادة ثقة النظام للصورة أو المضيف | | certifi في venv | CA bundle تستخدم فعليًا بواسطة التطبيقات أو الطلبات وما إلى ذلك. | | pip المدمج في certifi | هي نسخة مختلفة عن certifi المثبتة خارجيًا | | uv / أدوات التعبئة والتغليف الأخرى | اتبع التحديثات الخاصة بالأداة والمصادر الموثوقة | | ملفات CA مخصصة ولقطات مجمعة | قد يستمر في تجاوز المصادر الموثوقة الافتراضية للأنظمة أو الحزم | ما ورد أعلاه عبارة عن قائمة مرجعية تعتمد على مواقع التغليف المختلفة. يتطلب PSF تحديث الأدوات ذات الصلة والبيئات الافتراضية الموجودة وإعادة بناء الصورة؛ فقط تحديث المضيف CA أو إعادة تثبيت المترجم لا يمكن أن يثبت أنه تم تحديث جميع النسخ. [S35](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-35)[S37](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-37) عند الترقية من التمهيد الآمن pip القديم، يوفر PSF أوامر العجلة الثابتة **وSHA-256**، راجع الملحق S37. لا تقم بإيقاف تشغيل التحقق من TLS أو إضافة `--trusted-host` لتجاوز مشكلات الشهادة. ## 6. عملية المعالجة الرسمية الأوامر التالية مخصصة للبيئات الموثوقة المؤكدة. عند التنفيذ، يجب دمج مدير الحزم الحالي وملف القفل وعملية نشر المشروع لتجنب خلط npm/pnpm/yarn أو pip/uv/Poetry لإنشاء ملفات قفل متضاربة. **تعامل مع الاستثناء أولاً:** إذا كنت تشك في أن البيئة قامت بتشغيل الحزمة المخترقة في القسم 9، فقم بعزلها أولاً وفحص القرص وقفل الملف وسجل الصورة من بيئة نظيفة؛ لا تقم بتشغيل الأمر Python/pip التالي أولاً. [S41](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-41) ### 6.1 قم بإنشاء دفتر أستاذ يمكن أن يتوافق مع حركة المرور الحقيقية تسجل كل خدمة على الأقل: - نقطة الدخول الخارجية، والوكيل العكسي، ومسار الاتصال المباشر بالموقع الأصلي، وقائمة انتظار الخلفية/المهام المجدولة. - أمر بدء التشغيل الفعلي أو الحساب قيد التشغيل أو المسار الثنائي أو هوية العملية أو الحاوية. - الإصدار الكامل لوقت التشغيل، أو الناشر/المستودع، أو الإصدار الكامل للحزمة، أو ملخص الصور. - إطار العمل والتبعيات المتعدية، وملفات القفل، والمكتبات الأصلية، ومسارات مخزن الثقة. - يتوافق مع ما إذا كانت حالة الثغرة الأمنية موجودة، وهدف التصحيح، وإعادة تشغيل النطاق، والشخص المسؤول، ونتائج التحقق. يجب أيضًا التحقق من أجهزة التطوير، ومشغلات CI، وبناء الحاويات، ومهام الخلفية وفقًا لمساراتها إلى المحتوى غير الموثوق به؛ لا تقم فقط بتحديث حاوية الويب العامة. ### 6.2 Node.js: تحديد وقت التشغيل أولاً، ثم تحديث تبعيات التطبيق تحقق في بيئة الخدمة الفعلية: ```bash node -p 'JSON.stringify({execPath:process.execPath,node:process.version,openssl:process.versions.openssl,brotli:process.versions.brotli},null,2)' npm ls next react react-dom react-server-dom-webpack react-server-dom-parcel react-server-dom-turbopack sharp --all npm audit --omit=dev ``` يجب تنفيذ `node -p` باستخدام الملف القابل للتنفيذ الفعلي للخدمة أو داخل حاوية فعلية؛ فهو يتحقق من العمليات التي تم إطلاقها حديثًا ولا يثبت بنفسه أنه قد تم استبدال العامل القديم. يمكن لـ Node إضافة التصحيح إلى Brotli المدمج مع الاحتفاظ بسلسلة إصدار المكتبة الأصلية. لذلك، لا تعتمد فقط على `process.versions.brotli` لتحديد ما إذا كان قد تم إصلاحه أم لا. يجب عليك دمجه مع إصدار الأمان Node أو دليل المنفذ الخلفي الخاص بالمورد. [S2](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-2)[S4](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-4) يتم استخدام `npm ls` لرؤية شجرة التبعية الفعلية؛ قد تؤدي الحزم المفقودة أو تعارضات الأقران أيضًا إلى إنتاج رموز خروج غير صفرية، لذا يجب عليك قراءة المخرجات المحددة. يتم استخدام `npm audit` كمساعد للتحقق من التبعية ولا يمكن أن يحل محل فحص المكتبة الثنائية والمحلية Node. استخدم **mise لإدارة بيئة Node 24**، والتي يمكن تحديثها على النحو التالي: ```bash mise use -g node@24.22.1 mise exec node@24.22.1 -- node -p 'process.version + " " + process.execPath' ``` يقوم `mise use -g` بتكوين الإصدار العالمي؛ لا يزال التكوين المحلي للمشروع بحاجة إلى التحقق بشكل منفصل. إذا قامت الخدمة بإصلاح المسار المطلق القديم أو صورة قاعدة الحاوية أو بيئة حساب مختلف، فيجب تحديث التكوين المقابل وإعادة تشغيل الخدمة. الأمر نفسه لا يحل محل عملية تشغيل قديمة. [S43](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-43) في مشروع Next، قم بتنفيذ الأمر المقابل وفقًا للفرع المحدد. ل Next 15: ```bash # Next 15 分支 npm install --save-exact next@15.5.28 ``` ل Next 16: ```bash # Next 16 分支 npm install --save-exact next@16.4.1 ``` تحقق من التبعيات المتوافقة مع React/RSC، وقم بقفل الملفات والمثيل الحاد النهائي، ثم قم بالبناء وفقًا لعملية المشروع. استخدم ملف القفل المحدث في CI للتثبيت القابل للتكرار، وتحقق من الإصدار في الصورة الجاري تشغيلها بعد الإنشاء. لا تستخدم الإصلاح التلقائي غير المنضبط عبر الإصدارات الرئيسية كحل افتراضي لحالة الطوارئ هذه. ### 6.3 Java: التحقق من الناشر وJVM الفعلي والمكونات المضمنة الجرد الأولي: ```bash java -XshowSettings:properties -version ``` يجب أن تتم محاذاة `java.home` و`java.runtime.version` والناشر في المخرجات مع JVM الذي تستخدمه الخدمة بالفعل. بالنسبة إلى JVM الذي لديه إذن إرفاق، يمكن استخدام `jcmd` من JDK للتحقق من العملية المستهدفة، وليس فقط غلاف تسجيل الدخول. تحقق من التبعيات في المشاريع الموثوقة واختر بناءً على أدوات البناء الفعلية: ```bash ./mvnw dependency:tree '-Dincludes=org.apache.tomcat.embed:*,org.springframework.security:*,org.springframework.graphql:*' ./gradlew dependencyInsight --dependency tomcat-embed-core --configuration runtimeClasspath ./gradlew dependencyInsight --dependency spring-security-core --configuration runtimeClasspath ./gradlew dependencyInsight --dependency spring-graphql --configuration runtimeClasspath ``` قد تقوم أوامر البناء هذه بتنفيذ المكونات الإضافية وحل التبعيات عبر الإنترنت، وتعمل فقط على المشاريع الموثوقة. تحقق من JAR/WAR النهائي أو JAR الفعلي في الصورة ولا تستبدل إعلانات ملف البناء بالمنتج النهائي. Spring يتطلب التمهيد المضمن Tomcat إعادة إنشاء التطبيق؛ لن يؤدي تحديث تثبيت Tomcat المنفصل في النظام إلى تعديل النسخة الموجودة في حزمة التطبيق. بعد تحديث وقت التشغيل، تحقق من `javax.net.ssl.trustStore` المخصص وKeyStore المحمل ذاتيًا للتطبيق ووقت تشغيل jlink وGraalVM/الصورة الأصلية ونماذج التسليم الأخرى عنصرًا تلو الآخر. لا يمكن للتطبيقات التي تحتوي بالفعل على مواد ثقة مخصصة إنهاء عملية التحقق لمجرد أن دليل JDK أصبح جديدًا. ### 6.4 Python: مترجم فوري ومعالجة البيئة الافتراضية ضمن الحاوية/الحاوية الفعلية المؤكدة على أنها موثوقة: ```bash python - <<'PY' import sys import ssl import importlib.metadata as metadata print("executable:", sys.executable) print("version:", sys.version) print("openssl:", ssl.OPENSSL_VERSION) print("verify_paths:", ssl.get_default_verify_paths()) for name in ("pip", "certifi", "Django", "urllib3", "Brotli", "litellm"): try: print(name + ":", metadata.version(name)) except metadata.PackageNotFoundError: print(name + ": not installed") PY python -m pip --version python -m pip check ``` يقوم هذا البرنامج النصي بجمع المعلومات فقط ولا يقوم بتحديد تأهيل الإصدار. `ssl.get_default_verify_paths()` هي معلومات المسار الافتراضي ولا يمكنها إثبات أن كافة عملاء الجهات الخارجية يستخدمون نفس مخزن الثقة؛ يجب تأكيده بناءً على تكوين التطبيق. بعد إكمال ترقية التمهيد pip الموثوق بها للملحق S37، قم بتحديث تبعيات الشهادة وفقًا لقيود المشروع، على سبيل المثال: ```bash python -m pip install --upgrade 'certifi>=2026.10.19' # 仅适用于当前就选择 Django 5.2 的项目 python -m pip install --upgrade 'Django>=5.2.18,<5.3' python -m pip check ``` يجب تحديث ملف متطلبات/قفل المشروع في نفس الوقت، وإلا فقد يعود النشر التالي إلى الإصدار القديم. عند استخدام uv أو Poetry أو مستودع حزم المؤسسة، استخدم عمليات القفل والنشر الحالية الخاصة بهم؛ لا تقم بتعديل الحزم يدويًا داخل حاوية الإنتاج فقط. يمكن استخدام سير عمل `pip-audit` الحالي للمشروع للتحقق من ثغرات التبعية المعروفة في بيئة موثوقة؛ إنه ليس ماسحًا ضوئيًا للأكواد الضارة ولا يغطي جميع مخاطر المترجم الفوري ومكتبة النظام ومخزن الثقة. [S44](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-44) **لا يوصى بإجبار النظام `/usr/bin/python3` على الإشارة إلى إصدار مجمع جديد.** استخدم تحديثات أمان الإصدار أو أوقات تشغيل عزل المشروع لتجنب انقطاع أدوات الإدارة التي تعتمد على نظام Python. يعد هذا خيار تنفيذ وليس متطلب إصلاح إضافي لهذه الثغرة الأمنية. ### 6.5 إعادة إنشاء المثيل قيد التشغيل واستبداله يوصى باتخاذ الخطوات التالية كتغيير كامل: 1. احصل على التصحيح من المصدر الأصلي الموثوق به واحفظ الإصدار/التجزئة وقفل التبعية. 2. قم بإرجاع الوظائف الرئيسية في بيئة قريبة من الإنتاج وتأكد من أن الامتدادات الأصلية متوافقة مع JVM/framework. 3. تحديث وقت التشغيل وتبعيات التطبيق ومخزن الثقة الفعلي؛ قم بتحديث الصورة الأساسية ونظام CA للحاوية، ولا تقم فقط بإعادة استخدام الطبقة القديمة. 4. أعد بناء التطبيقات والصور، واستبدل الخدمة والعامل ومستهلك قائمة الانتظار ومثيلات المهام المجدولة على أساس دوري. 5. أعد التحقق من الإصدار والتكوين في المثيل الجديد قيد التشغيل وتأكد من خروج كافة النسخ القديمة. 6. راقب معدلات الخطأ، وزمن الوصول، وCPU/الذاكرة، وحالات فشل المصافحة TLS، وتعطل العملية. يجب أن يعطي التراجع الأولوية للاحتفاظ بوقت التشغيل الآمن وتبعيات التصحيح، والتراجع عن تكوين التطبيق أو تغييرات الأعمال. إذا كان عليك العودة إلى منتج قديم به ثغرات أمنية، فيجب استعادة قيود الدخول المقابلة في وقت واحد، ويجب تحديد الشخص المسؤول والحد الأدنى لفترة الاسترداد بوضوح. ## 7. التخفيف المؤقت واختيار التصحيح ### 7.1 حدود التغطية للتدابير المؤقتة فيما يلي اقتراحات التنفيذ بناءً على شروط الاستخدام المعلنة. ما لم تتم الإشارة إلى الخطة الرسمية، لا يضمن البائع إمكانية حظر جميع المتغيرات بالكامل. | خطر | التدابير المؤقتة التي يمكن اتخاذها | الجزء الذي لا يمكن اعتباره مكتملاً بناءً على ذلك | | -------------------------- | ------------------------------------------------------------------------------------------------------- | --------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | فك تشفير Brotli | إيقاف فك تشفير المدخلات غير الموثوق بها؛ التحقق من الضغط التلقائي الوارد والصادر | الوارد WAF أو إيقاف تشغيل ضغط الاستجابة لا يغطي جميع إدخالات فك التشفير [S3](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-3) | | Next.js typed arrays RCE | قم بالترقية على الفور؛ عزل الخدمات المتأثرة مؤقتًا إذا لزم الأمر | لا يوجد حل عالمي موثوق به لـ [S9](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-9) | | Next.js SVG RCE | الخطة الرسمية: التأكد من الحدة الفعلية ≥0.35.5؛ تعليق نقاط دخول التحسين ذات الصلة عندما يسمح العمل بذلك | لا يغطي مشكلات Next/RSC الأخرى [S11](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-11) | | عالم Tomcat / HTTP/2 / AJP | اعزل المسار المقابل وأغلق الموصلات غير الضرورية | لا تزال بحاجة إلى حزمة إصلاح الفرع المقابلة [S21](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-21)[S22](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-22)[S23](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-23) | | إلغاء التسلسل GraphQL | تعليق حقول الاتصال المتأثرة؛ تقييد المتصلين غير الموثوق بهم | حد طول الطلب فقط لا يمكنه إصلاح مشكلة النوع/إلغاء التسلسل [S25](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-25) | | Spring embedded LDAP | تعطيل عند عدم الحاجة إليها؛ الحد من الوصول إلى منفذ الاستماع الحقيقي | لا تزال الهوية الإدارية الافتراضية وتكامل الدليل بحاجة إلى التحقق من [S27](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-27) | | CPython SNI UAF | الخطة الرسمية: احتفظ بالمرجع القوي SSLContext ذي الصلة حتى نهاية الخدمة | يجب تغطية جميع مسارات الإنشاء/التبديل [S29](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-29) | | تخطي اسم المضيف Python | الحل الرسمي: قم بتمرير اسم server\_hostname المتوقع بشكل صحيح | لا يمكن فقط التحقق من علامة check\_hostname أو تجاهل التحذير [S30](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-30)[S31](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-31) | | القطران غير جدير بالثقة | تعطيل/عزل الاستخراج، ورفض الروابط غير الضرورية وإدخالات الجهاز | لا تعتبر المرشحات ولا حصص الموارد بمثابة صناديق حماية عالمية [S32](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-32) [S40](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-40) [S45](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-45) | | حدث الثقة بالشهادة | تحديث مادة CA الصحيحة؛ يمكن تقييد ثقة Java وفقًا للتخفيف الرسمي | يؤدي تعطيل التحقق من TLS إلى زيادة المخاطر [S19](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-19)[S37](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-37) | ### 7.2 حدد التصحيح بناءً على طريقة التسليم | طريقة التسليم | تحديد أولويات طرق الإصلاح | الأدلة التي ينبغي الاحتفاظ بها | | ----------------------------- | ---------------------------------------------------------------------------- | -------------------------------------------------------------------- | | وقت التشغيل المُدار بالتوزيع | التحديثات الأمنية المقابلة للشركة المصنعة | إصدار الحزمة الكاملة، الإعلان، مصدر المستودع | | مدير ثنائي/وقت التشغيل الرسمي | بيان أمني رسمي من نفس الفرع | الإصدار والمصدر والملخص ومسار التنفيذ الفعلي | | ذاتية التجميع Node / CPython | إصدار المصدر الرسمي للفرع المطابق أو مجموعة التصحيح الكاملة الخاصة بالمورد | مجموعة الالتزام وبناء المعلمات والمكتبات التابعة ونتائج الانحدار | | Spring / Next / Django | متوافق مع التحديثات داخل الفرع وإعادة بناء أقفال التبعية والتطبيقات النهائية | شجرة التبعية النهائية، الإصدار الفعلي في JAR/package/image | | متجر ثقة مخصص | خطة السحب الرسمية أو تحديث البائع الذي يؤكد الانسحاب | مسار الاستخدام الفعلي وتغيير المواد واختبارات النجاح والرفض لـ TLS | | بيئة معرضة للخطر | أعد البناء من منتجات نظيفة وجديرة بالثقة وقم بإجراء تحقيق منفصل في الحادث | ملخص الحزمة/الصورة التاريخية وسجل التثبيت وسجل تناوب بيانات الاعتماد | ### 7.3 آلية تصحيح المفاتيح وتركيز المراجعة - **Brotli: يهتم** بما إذا كان فحص الحدود وإرجاع الخطأ لحالة فك التشفير الأصلية قد اكتمل قبل الدخول إلى الإنشاء؛ فقط استبدال حزمة JavaScript لا يمكن تغيير الكود المترجم بشكل ثابت إلى Node. [S4](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-4) - **Node DNS/TLS: يركز** على رفض الإدخال، وتطبيع العنوان، والتمييز بين هويتي IP SAN وDNS، ورد الاتصال/الوعد DNS تحليل المسار واختبار مطابقة اسم المضيف TLS. [S5](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-5)[S6](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-6) - **Tomcat JNDIRealm:** يركز على ما إذا كانت عملية المصادقة تتحقق بالفعل من بيانات الاعتماد، بدلاً من مجرد الحصول على سياق الدليل؛ إعطاء الأولوية للإصدار الرسمي وعدم التعامل مع استبدال ملف مصدر واحد باعتباره تصحيحًا ثنائيًا كاملاً. [S24](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-24) - **CPython ssl:** يركز على ملكية مرجع Python ودورة حياة SSLContext الأساسي؛ `wrap_bio()` backports مع وجود اختلافات في توافق الفروع، ويجب عليك قراءة التنفيذ الفعلي للفرع المستخدم. [S31](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-31)[S47](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-47) - **شهادة عدم الثقة:** قد تظهر مثل هذه التحديثات كمواد موثوقة أو ترفض تغييرات القائمة بدلاً من تغييرات واجهة برمجة التطبيقات الواضحة. تتضمن نفس الدفعة من Node أيضًا آلية رفض الوسيط المتأثر CA؛ لا تزال مصادر الثقة الخاصة بـ Java وPython بحاجة إلى التحقق بشكل منفصل. [S19](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-19)[S37](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-37)[S46](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-46) \*\*يجب أيضًا التحقق من ربط Brotli المستقل.\*\*Google أصدر **1.0.10 / 1.1.1 / 1.2.1** في نفس اليوم لإصلاحه CVE-2026-111497. يجب تحديث/إعادة بناء الامتدادات الأصلية Python أو عناصر JNI التي تتضمن نفس تطبيق C المتأثر؛ لا يمكن استنتاج أن جميع أجهزة فك التشفير Java النقية قد تأثرت، ولا يمكن افتراض أن ترقية Node تحل محل النسخ الموجودة باللغات الأخرى تلقائيًا. [S42](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-42) ## 8. فحوصات التحقق والمتابعة ### 8.1 الحد الأدنى لقائمة التحقق من التحقق | تحقق من العناصر | الأدلة المطلوبة | | -------------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------ | | وقت التشغيل | النسخة الكاملة أو الأدلة الخلفية للمورد صحيحة في العملية/الحاوية الحقيقية | | تبعيات التطبيق | وصلت Next/RSC/sharp وTomcat/Spring وDjango/certifi في منتجات النشر النهائية إلى الحد المقابل | | نطاق الاستبدال | تم استبدال كافة نسخ العامل/JVM/الحاوية ومهام الخلفية بأخرى جديدة، وتم الخروج من المثيلات القديمة. | | TLS | نجاح شهادات المجال الصالحة؛ فشل أسماء المضيفين غير المتطابقة والسلاسل غير الصالحة وفقًا للسياسة؛ يتم تضمين المتاجر الثقة المخصصة | | عدم الثقة eMudhra | تم رفض سلسلة الشهادات التي تم إنشاؤها بواسطة الوسيط المتأثر CA أثناء وقت التشغيل الفعلي، أو كان هناك دليل على أنه تم نشر قائمة الرفض/البناء الأمني الخاص بالمورد المحدد؛ لا يمكن إغلاق الحالة بناءً على اختبار TLS العام أو رقم الإصدار القصير Java 8. | | فك التشفير والصور Node | الاستجابة المضغوطة العادية، التحميل، تحسين الصورة ووظائف RSC متوفرة؛ سياسة المصدر غير الموثوق بها سارية المفعول | | المصادقة والعزل Java | تم رفض كلمة المرور الخاطئة؛ الطلبات غير المتزامنة المتزامنة للمستخدم المستقل دون خلط الهوية/الاستجابة؛ LDAP الاستماع كما هو متوقع | | Python SNI / الأرشيف | الاسم العادي متعدد النطاقات TLS مستقر؛ ترفض الأرشفة اجتياز المسار والارتباطات غير المسموح بها، ولا يتم تعديل الملفات الموجودة خارج الدليل | | البيانات والانحدار الوظيفي | اجتازت مهام الترحيل والاستعلام المكاني والتحقق من الأذونات ومهام الخلفية الاختبارات الحالية للمشروع | | الموارد والملاحظات | لا توجد زيادة غير طبيعية في CPU والذاكرة ومعدل الخطأ وزمن الوصول وأخطاء TLS. | | إمكانية التتبع | يمكنك توفير وقت الترقية وملخص الحزمة/الصورة وتغييرات التكوين ونتائج التحقق والعناصر التي لم يتم حلها | هذه هي توصيات قبول التنفيذ ولا تتطلب إنتاج برنامج نصي للهجوم لكل CVE. يجب أن يستخدم التحقق الذي يتضمن الأعطال واستنفاد الموارد والأرشفة خارج الحدود اختبار الانحدار الأولي أو بيانات الاختبار الخاضعة للتحكم في المشروع في بيئة معزولة. ### 8.2 يعتبر التصحيح والتحقيق في التسلل مهمتين مختلفتين تحقق من السجلات الموجودة بحثًا عن أخطاء غير عادية في فك التشفير، وتعطل العامل/JVM، وعمليات كتابة الملفات المشبوهة، وتغييرات بيانات الدليل، واستثناءات المصادقة، والطلبات الصادرة، وسجلات استخدام بيانات الاعتماد. يجب الحكم على هذه العلامات في السياق: فالتعطل أو OOM ليس دليلاً على نجاح الاستغلال؛ عدم وجود التنبيهات لا يثبت أن النظام لم يتأثر. عند اكتشاف تعديلات غير مصرح بها، أو بيانات اعتماد مخترقة، أو تبعيات ضارة مؤكدة، يجب الحفاظ على الأدلة، وعزل المثيلات ذات الصلة، وتدوير بيانات الاعتماد المتأثرة من بيئة موثوق بها، وإعادة بناء النظام. لن يقوم التصحيح بإلغاء الرموز المميزة التي حصل عليها المهاجم أو استعادة البيانات التي تم تعديلها. ## 9. حادث أمني لسلسلة التوريد: تسوية LiteLLM 1.107.0 **تاريخ التأكيد الرسمي: 21-10-2026. أبلغ**LiteLLM أن خط أنابيب الإصدار الخاص به قد تعرض للاختراق. تحتوي PyPI's **litellm==1.107.0** وبعض منتجات Docker/GHCR في نفس الفترة على تعليمات برمجية ضارة للسرقة والتحكم عن بعد، وتم سحب المنتجات ذات الصلة. [S41](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-41) لتحديد التأثير، يجب عليك التحقق من سجلات التثبيت التاريخية وملخص الصور؛ تشير العلامات مثل `latest` و`main-latest` و`main-stable` الآن إلى صور نظيفة، وهو ما لا يثبت أن المنتجات التي تم سحبها وقت وقوع الحادث كانت نظيفة. كانت التوصية الرسمية في ذلك الوقت هي تثبيت **1.106.2** مؤقتًا؛ استندت هذه التوصية إلى هذا الحادث، ولا تزال هناك حاجة إلى التحقق من الإعلانات الأمنية الأخرى أثناء النشر. [S41](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-41) بالنسبة للبيئات التي تم فيها تثبيت المنتجات ذات الصلة أو تشغيلها: 1. عزل سجلات التثبيت والصور والسجلات والحفاظ عليها وفحصها من بيئة نظيفة. 2. **لا تبدأ تشغيل Python/pip** في بيئة مشبوهة أولاً؛ قد يتم تنفيذ `.pth` / `sitecustomize.py` الضارة مرة أخرى بعد بدء التشغيل. 3. إعادة بناء الأجهزة المضيفة والمنافذ/الحاويات من مصادر موثوقة؛ لا يمكن فقط إلغاء تثبيت الحزم أو تقليلها. 4. إبطال/تدوير بيانات الاعتماد السحابية، ومفاتيح موفر LLM، ومفاتيح LiteLLM وبيانات اعتماد قاعدة البيانات بناءً على إمكانية الوصول الفعلية ومراجعة الاستخدام غير الطبيعي. [S41](https://keendigit.com/ar/insights/node-java-python-security-remediation-guide#source-41) يعد هذا حادثًا مؤكدًا في سلسلة التوريد ويتطلب مراعاة تنفيذ التعليمات البرمجية الضارة وتسرب بيانات الاعتماد ومخاطر الاستمرارية عند التعامل معها. اعتبارًا من 23 أكتوبر 2026، كان المسؤولون لا يزالون يحققون في الاختراق الأولي. ## ملحق: المصادر والروابط المذكورة تاريخ التحقق من المصدر التالي هو **2026-10-23**، بما في ذلك إعلان الأمان الرسمي للمشروع ومستودع التعليمات البرمجية الرسمي وتعليمات البائع. النص الرئيسي \[Sx] يتوافق مع هذا الملحق؛ عند إجراء التحديثات، يجب عليك التحقق مما إذا كان المورد قد أصدر مراجعات لاحقة. ### S1 — Node.js: 21-10-2026 إشعار الأمان - الغرض: أربعة أوقات تشغيل High، تؤثر على الفروع، الإصدار الأمني لشهر أكتوبر. - المرجع: [Official Security Bulletin](https://nodejs.org/en/blog/vulnerability/october-2026-security-releases) ### S2 — Node.js: تعليمات الإصدار الرسمية لثلاثة خطوط صيانة - الغرض: التحقق من 22.23.4 و24.22.1 و26.12.1 والتصحيحات المدمجة الفعلية. - المرجع: [Node.js 22.23.4](https://nodejs.org/en/blog/release/v22.23.4/) - المرجع: [Node.js 24.22.1](https://nodejs.org/en/blog/release/v24.22.1/) - المرجع: [Node.js 26.12.1](https://nodejs.org/en/blog/release/v26.12.1/) ### S3 — Vercel: الاستشارات الأمنية Node.js Brotli RCE - الغرض: شروط فك التشفير الواردة/الصادرة، وحدود التغطية WAF، والحالة Node 20. - المرجع: [Node.js security advisory: Brotli decoder RCE](https://vercel.com/kb/bulletin/node-js-security-advisory) ### S4 — Node.js: إرسال التصحيح الرسمي لـ Brotli - الغرض: أساس التنفيذ للتحقق من فك التشفير الأصلي وانتشار الأخطاء. - المرجع: [Brotli Patch commit 49dff6f57a](https://github.com/nodejs/node/commit/49dff6f57a) ### S5 — Node.js: تصحيح تطبيع العنوان TLS - الغرض: التحقق من هوية الشهادة للأرقام كاملة العرض وIP غير القياسية. - المرجع: [IP normalization regression Patch](https://github.com/nodejs/node/commit/935918e342) - المرجع: [rejects the patching of non-standard IP address](https://github.com/nodejs/node/commit/de49c913f2) ### S6 — Node.js: تصحيح التحقق DNS NUL - الغرض: رفض الإدخال وتغطية الانحدار. - المرجع: [dns.resolve Input verification patch](https://github.com/nodejs/node/commit/843a1627dc) ### S7 — Node.js: 29-07-2026 إشعار الأمان - الغرض: استنفاد الذاكرة HTTP/2، ونقاط الضعف في UAF ونماذج الأذونات. - المرجع: [July 2026 Security Releases](https://nodejs.org/en/blog/vulnerability/july-2026-security-releases) ### S8 — Next.js: التحديث الأمني 2026-10-14 - الغرض: توحيد خط الأساس للترقية والمخاطر الرئيسية الثلاثة. - المرجع: [Next.js Security Update for Upstream Vulnerabilities](https://nextjs.org/blog/nextjs-security-update-october-14-2026) ### المرجع: S9 — Next.js：typed arrays / use cache RCE - الغرض: GHSA-673q-mjm6-r5xr؛ يؤثر على الفاصل الزمني والحالة والنتيجة وحالة الحل البديل. - المرجع: [Next.js Official Security Bulletin](https://github.com/vercel/next.js/security/advisories/GHSA-673q-mjm6-r5xr) ### المرجع: S10 — React：React Server Components RCE - الغرض: GHSA-xqc2-xf4c-x3h3؛ الإصدارات المتأثرة والثابتة من ثلاث حزم RSC. - المرجع: [React Official Security Bulletin](https://github.com/react/react/security/advisories/GHSA-xqc2-xf4c-x3h3) ### المرجع: S11 — Next.js：SVG Image Optimization RCE - الغرض: CVE-2026-96889 / GHSA-2464-fhr4-w9xw؛ glibc، حدود الإصدار الحادة والأصلية. - المرجع: [SVG Image Optimization Official Security Bulletin](https://github.com/vercel/next.js/security/advisories/GHSA-2464-fhr4-w9xw) ### المرجع: S12 — Next.js：Server Actions DoS - الغرض: GHSA-p3m5-59mp-jv5r؛ يؤثر على الشروط والإصدارات والتقييمات. - المرجع: [Server Actions DoS Official Security Bulletin](https://github.com/vercel/next.js/security/advisories/GHSA-p3m5-59mp-jv5r) ### S13 — Next.js: AVIF تحسين الصورة RCE - الغرض: 25-08-2026، GHSA-2xp9-vwfh-vxw4. - المرجع: [AVIF Official Security Bulletin](https://github.com/vercel/next.js/security/advisories/GHSA-2xp9-vwfh-vxw4) ### المرجع: S14 — Next.js：Windows RCE - الغرض: 25-08-2026، CVE-2026-75604/GHSA-p293-qw3h-jr36. - المرجع: [Windows RCE Official Security Bulletin](https://github.com/vercel/next.js/security/advisories/GHSA-p293-qw3h-jr36) ### المرجع: S15 — Next.js：next/og ImageResponse RCE - الغرض: 22-09-2026, GHSA-vcvr-r3jv-pc5j; الفرق بين Node وEdge. - المرجع: [ImageResponse Official Security Bulletin](https://github.com/vercel/next.js/security/advisories/GHSA-vcvr-r3jv-pc5j) - المرجع: [September 22 release notes](https://nextjs.org/blog/nextjs-security-update-september-22-2026) ### المرجع: S16 — Oracle: October 2026 CPU - الغرض: مصفوفة المخاطر Java SE وكمية التصحيح والشروط المطبقة. - المرجع: [Oracle Critical Patch Update – October 2026](https://www.oracle.com/security-alerts/cpuoct2026.html) - المرجع: [Oracle Java SE CPU Version list](https://docs.oracle.com/en-us/iaas/releasenotes/java-management/jdk-cpu-october-2026.htm) ### S17 — Oracle: CVE-2026-91403 إنذار خارج النطاق - الغرض: 21-10-2026، ومخاطر الثقة بشهادة JSSE، والمنتجات المتأثرة وCVSS 3.1 9.1. - المرجع: [Oracle Security Alert](https://www.oracle.com/security-alerts/alert-cve-2026-91403.html) ### S18 — Oracle: الإصدار الرسمي وتنزيل JDK - الغرض: التمييز بين CPU في 20 أكتوبر والإصدار خارج النطاق في 21 أكتوبر؛ التمييز بين قيود الإصدار القصير من Java 8. - المرجع: [JDK release list](https://ops.java/releases/) - المرجع: [Oracle Java Download page](https://www.oracle.com/java/technologies/downloads/) ### S19 — Oracle: خطة السحب المؤقتة eMudhra - الغرض: تم التحديث بتاريخ 22-10-2026؛ شهادتان جذريتان، وأداة المفاتيح، ومخزن الثقة المخصص، والتحقق من الإلغاء. - المرجع: [Distrusting eMudhra Intermediate Certificates in Oracle JDK](https://ops.java/emudhra) ### S20 — Eclipse Adoptium: إصدار سجل البناء - الغرض: تتم إعادة تجميع Temurin بسبب حادث الشهادة؛ لا يمكن تطبيق لاحقة الإصدار Oracle ميكانيكيًا. - المرجع: [Adoptium Release Scorecards](https://github.com/adoptium/adoptium/wiki/Adoptium-Release-Scorecards) ### S21 - إشعار الأمان Apache Tomcat 9 - الغرض: الفاصل الزمني المتأثر الدقيق المكون من 9 فروع مع إصلاح 9.0.123. - المرجع: [Tomcat 9 vulnerabilities](https://tomcat.apache.org/security-9.html) ### S22 - إشعار الأمان Apache Tomcat 10 - الغرض: الفاصل الزمني الدقيق لفرع 10.1 وإصلاح 10.1.61؛ 10.0 EOL. - المرجع: [Tomcat 10 vulnerabilities](https://tomcat.apache.org/security-10.html) ### S23 - إشعار الأمان Apache Tomcat 11 - الغرض: ثلاثة عناصر Important، 11.0.27، AJP النطاق المطبق وتاريخ الكشف/الإصدار. - المرجع: [Tomcat 11 vulnerabilities](https://tomcat.apache.org/security-11.html) ### S24 — Apache Tomcat: الالتزام بالتصحيح JNDIRealm - الغرض: الأساس الرسمي لسد فجوات التحقق من الشهادات. - المرجع: [JNDIRealm Patch commit](https://github.com/apache/tomcat/commit/e43453fc04abb44f64faf571ca98af71aa3c20a1) ### المرجع: S25 — Spring：GraphQL CVE-2026-59285 - الغرض: 20-08-2026، مطلوب، الإصلاح التجاري 2.0.5 OSS / 2.0.4.1. - المرجع: [Spring for GraphQL Unsafe Deserialization](https://spring.io/security/cve-2026-59285/) ### المرجع: S26 — Spring：GraphQL CVE-2026-41699 - الغرض: حد إصلاح سابق، فقط لتوضيح سبب عدم قدرتك على البقاء عند خط الأساس القديم. - المرجع: [6 Month GraphQL Security Bulletin](https://spring.io/security/cve-2026-41699/) ### المرجع: S27 — Spring Security：CVE-2026-59270 - الغرض: تضمين UnboundID LDAP، وهوية الإدارة المعروفة وتمييز OSS/الإصدار التجاري. - المرجع: [Spring embedded LDAP Security Bulletin](https://spring.io/security/cve-2026-59270/) ### المرجع: S28 — Spring Security：CVE-2026-47841 - الغرض: مصادقة المستخدم WebAuthn وتسلسل الجلسة وفرضية الهجوم. - المرجع: [WebAuthn Security Bulletin](https://spring.io/security/cve-2026-47841/) ### S29 — PSF: CVE-2026-19445 استشارات أمنية مستقلة - الغرض: 30-09-2026, Critical, SNI الشروط والتدابير المؤقتة التي استشهد بها SSLContext. - المرجع: [SSLContext UAF Official announcement](https://mail.python.org/archives/list/security-announce@python.org/thread/QMQIUQB6WGGC3MI7I3WKQXOYOBDSPPS3/) ### S30 — PSF: CVE-2026-19553 استشارات أمنية مستقلة - الغرض: 30-09-2026، High، اسم المضيف مفقود وتخفيف المعلمات الصريحة. - المرجع: [wrap\_bio Official announcement of hostname verification](https://mail.python.org/archives/list/security-announce@python.org/thread/QNZRG3YOAMTHDCMVCICXGY6YEFPY2VDL/) ### S31 — CPython: التصحيح الرسمي Wrap\_bio والمنفذ الخلفي 3.12 - الغرض: سياسة توافق تحذير 3.10 — 3.12، الفرق بين None والسلسلة الفارغة. - المرجع: [Main Patch PR #158503](https://github.com/python/cpython/pull/158503) - المرجع: [3.12 Backfill PR #158513](https://github.com/python/cpython/pull/158513) - المرجع: [3.15 Backfill PR #158511](https://github.com/python/cpython/pull/158511) ### S32 — PSF: CVE-2026-82049 استشارات أمنية مستقلة - الغرض: 14-09-2026، High، مجموعة الارتباطات، وتعديل البيانات الوصفية وعرض المحتوى. - المرجع: [tarfile link bypasses the official announcement](https://mail.python.org/archives/list/security-announce@python.org/thread/EFJWGAZJA56AKSBR2WHMHQZO7RRLZPRH/) ### S33 — CPython: الإصدار الأمني الرسمي في نهاية سبتمبر/أوائل أكتوبر - الغرض: الحد الأدنى من إصدار الإصلاح وطريقة توزيع التعليمات البرمجية المصدر وإعفاء 3.14 للمشكلات الخاصة بملف tarfile. - المرجع: [Python Cross-branch security release instructions](https://blog.python.org/2026/10/python-31022-31117/) - المرجع: [Python 3.11.17](https://www.python.org/downloads/release/python-31117/) - المرجع: [Python 3.12.15](https://www.python.org/downloads/release/python-31215/) - المرجع: [Python 3.13.16](https://www.python.org/downloads/release/python-31316/) - المرجع: [Python 3.14.8](https://www.python.org/downloads/release/python-3148/) ### S34 — CPython: 3.10 آخر إصدار آمن - الغرض: 3.10.22 ونهاية دورة حياة المنبع. - المرجع: [Python 3.10.22](https://www.python.org/downloads/release/python-31022/) ### S35 — CPython: إصدار صيانة الطوارئ 2026-10-21 - الغرض: تحديثات 3.13.17 / 3.14.9 / 3.15.1، وتحديثات pip وcertifi المضمنة، ومتطلبات venv الحالية. - المرجع: [Python 3.13.17](https://www.python.org/downloads/release/python-31317/) - المرجع: [Python 3.14.9](https://www.python.org/downloads/release/python-3149/) - المرجع: [Python 3.15.1](https://www.python.org/downloads/release/python-3151/) ### S36 — certifi: إعلان عدم الثقة في شهادة emSign - الغرض: 20-10-2026، GHSA-6q48-6c7w-9gw2، Critical، غير معروف CVE. - المرجع: [certifi Official Security Bulletin](https://github.com/certifi/python-certifi/security/advisories/GHSA-6q48-6c7w-9gw2) ### S37 — PSF: تأثير eMudhra / emSign على مستخدمي Python - الغرض: توصية certifi .19 وخط الأساس pip/uv وأمر ترقية التمهيد الموثوق به مع SHA-256. - المرجع: [PSF Official event and upgrade instructions](https://discuss.python.org/t/information-for-python-users-regarding-emudhra-emsign-ca-certificate-security-incident/109576) أمر ترقية التمهيد pip المقدم من خلال الإرشادات الرسمية التي استشهد بها S37 هو كما يلي. يُستخدم فقط في بيئات Python التي تم التأكد من أنها جديرة بالثقة؛ إذا كان هناك اشتباه في حدوث تسمم في القسم 9، فقم أولاً بالعزل وإعادة البناء وفقًا لعملية الحادث. يعمل على إصلاح تجزئة محتوى العجلة ثم يقوم بعد ذلك بتحديث التبعيات الأخرى وفقًا لعملية المشروع. ```bash python -m pip install "pip @ https://files.pythonhosted.org/packages/3f/06/3e4420302363fbb71be3c7f35ce042f54bfca330e3e66b3a2e3c4cca579f/pip-26.2.2-py3-none-any.whl#sha256=fd7f4dfa8190e014013b9f08f3e973f4e4c26ffd179a204895533a7254813a70" ``` ### S38 — Django: 04-08-2026 الإصدار الآمن - الاستخدام: ظروف الاستغلال CVE-2026-15307، GeoDjango والإصلاحات الأولية وتغييرات التوافق. - المرجع: [Django 6.0.8 / 5.2.17](https://www.djangoproject.com/weblog/2026/aug/04/security-releases/) ### S39 — Django: الإصدار الآمن 2026-10-06 - الغرض: CVE-2026-87890، هندسة DoS التعزيز اللاحق مع خط الأساس المحدد حاليًا. - المرجع: [Django 6.1.2 / 6.0.9 / 5.2.18](https://www.djangoproject.com/weblog/2026/oct/06/security-releases/) ### S40 — PSF / CPython: أحدث ملاحظة جانبية لمرشح tar\_filter - الغرض: 22-10-2026، CVE-2026-114583 (Medium)؛ لا يعني دمج PR أنه قد تم إصدار نسخة الصيانة الرسمية. - المرجع: [PSF Independent Announcement](https://mail.python.org/archives/list/security-announce@python.org/thread/43JOWPRAV5DI3VZ4FUEUAZOHCATXXOCK/) - المرجع: [CPython Patch PR #160098](https://github.com/python/cpython/pull/160098) ### S41 — LiteLLM: التقرير الرسمي لحوادث سلسلة التوريد، 21 أكتوبر - الغرض: المنتج الملوث 1.107.0 والملخص التاريخي وإعادة بناء العزل والتخلص من بيانات الاعتماد. - المرجع: [Contained: LiteLLM v1.107.0 Compromised](https://docs.litellm.ai/blog/security-incident-oct-21-2026) ### S42 — Google Brotli: الإصدار الرسمي الآمن - الغرض: أساس التحقق من النسخ المضمن Brotli 1.0.10 / 1.1.1 / 1.2.1 المستقل وعبر اللغات. - المرجع: [Brotli releases](https://github.com/google/brotli/releases) ### S43 — الخطأ: استخدم الوثائق الرسمية للأمر - الغرض: تحديد إصدار الأداة ودلالات الأمر الخاصة بالتكوين العام. - المرجع: [mise use](https://mise.jdx.dev/cli/use.html) ### S44 — PyPA: مشروع التدقيق الرسمي pip - الغرض: Python الغرض وحدود القدرة الخاصة بتدقيق ثغرات التبعية. - المرجع: [pip-audit](https://github.com/pypa/pip-audit) ### S45 — Python: مستند تصفية استخراج ملف tarfile - الغرض: استراتيجية البيانات، وتغييرات السلوك الافتراضية، والقيود التي لا يمكن أن تحل محل وضع الحماية. - المرجع: [tarfile extraction filters](https://docs.python.org/3/library/tarfile.html#extraction-filters) ### S46 — Node.js: آلية رفض CA المتوسطة - الغرض: معالجة سلسلة الثقة ذات الصلة بـ eMudhra لا تعادل إبطال التشفير لجميع الشهادات الجذرية. - المرجع: [Node.js PR #66871](https://github.com/nodejs/node/pull/66871) ### S47 — CPython: الملاحظات والإصلاحات الفنية لـ SNI UAF - الغرض: دورة الحياة المرجعية، وظروف البناء الخاصة، وتراجع الفروع. - المرجع: [official issue #156293](https://github.com/python/cpython/issues/156293) - المرجع: [official patch PR #158504](https://github.com/python/cpython/pull/158504) - المرجع: [3.15 Backfill PR #158514](https://github.com/python/cpython/pull/158514) ## استشارة صيانة الأمن هل أنت غير متأكد من كيفية تأثير تغييرات الثقة في الشهادة على أنظمتك؟ يمكننا المساعدة في تقييم العملاء المتأثرين والتخطيط للتحديثات الأمنية. [مناقشة التحديثات الأمنية]() [الصفحة الأصلية]() · [فهرس المحتوى]() KeenDigit LLC · معرف الايداع وايومنغ: 2026-002106155 [تحقق مع وزير خارجية وايومنغ]() © 2026 KeenDigit LLC · شيريدان، وايومنغ، الولايات المتحدة الأمريكية · جميع الحقوق محفوظة.