Node.js, Java və Python: son zəifliklər və bərpa təlimatı

23 oktyabr 2026-cı il tarixinə yoxlanılan mənbələr (UTC) Əhatə müddəti: 25 iyul-23 oktyabr 2026-cı il, sentyabrdan oktyabr ayına qədər yeni elanlara və sonrakı yamaqlara diqqət yetirilir. Audience: Node.js, Java, Python xidmətləri, konteynerlər, boru kəmərləri və inkişaf mühitləri tikən mühəndislər və təhlükəsizlik cavabdehləri.

Bu məqalə Node.js, Java və Python iş vaxtlarında, standart kitabxanalarda və ümumi server çərçivələrində və asılılıqlarında son mühüm təhlükəsizlik risklərini ümumiləşdirir və təsir dairəsi, sabit versiyalar, müvəqqəti azaldılması tədbirləri, yamaq seçimi və yoxlama üsullarını təqdim edir.

Təsiri komponent versiyaları, aktivləşdirilmiş xüsusiyyətlər və əlçatan giriş nöqtələri ilə qiymətləndirin. Zəiflik faktları rəsmi məsləhətlərdən gəlir; daha əvvəl yamaq buraxılışı açıq şəkildə qeyd edilmədiyi halda, tarixlər ictimaiyyətə açıqlanmaya istinad edir. Təsdiqlənməmiş istismar şərtləri, CVSS balları və ya təbiətdə istismar barədə nəticə çıxarmırıq. Yerləşdirmə məsləhəti icra təlimatı kimi müəyyən edilir.

TL;DR: bərpa prioritetləri

Əvvəlcə xidmətə ev sahibliyi edən iş vaxtını yeniləyin. Müvafiqi yeniləyin Node.js heç olmasa filiala 22.23.4 / 24.22.1 / 26.12.1 . Xidmətlərdən istifadə Node 24 -ə yüksəldə bilər 24.22.1 eyni düzəlişləri ehtiva edir. S1 S2
Yeniləyin Node tətbiq asılılıqları ayrıca. üçün Next.js , istifadə edin 15.5.28 / 16.4.1 təkmilləşdirmə bazası kimi; istifadə edərkən React Server Components müstəqil olaraq, faktiki quraşdırılmışı yoxlayın react-server-dom-* paket. Yalnız yenilənir Node binary bu çərçivə zəifliklərini əhatə etmir. S8 S9 S10 S11 S12
Java : yeniləmələrin hər iki dövrəsini əhatə edir. Oktyabrın 20-ni əhatə edən satıcı quruluşunu quraşdırın CPU və 21 oktyabr CVE-2026-91403 fövqəladə sertifikat-etibar düzəlişi. bölməsinə baxın 2.2 üçün Oracle JDK 11 -27 diapazondan kənar versiyalar; digər paylamaları öz təhlükəsizlik paketləri və tam quruluş nömrələri ilə yoxlayın. Müvafiqi yeniləyin Tomcat filialına 9.0.123 / 10.1.61 / 11.0.27 . S16 S17 S18 S20 S21 S22 S23
Python : tərcüməçini, proqram paketlərini və sertifikat paketlərini ayrıca yeniləyin. bölməsinə baxın 2.3 tərcüməçinin əsas xətləri üçün; certifi tövsiyə edir ≥ 2026.10.19 , pip ≥ 26.2.2 , istifadə edərkən uv ≥ 0.13.4 . Hər bir mövcud venv yoxlanılmalıdır. üçün wrap_bio() əlaqəli kodlar, düzgün və boş olmayan server_hostname də keçməlidir. S29 S30 S31 S33 S35 S36 S37
Dərhal təkmilləşdirmə mümkün deyilsə, müvafiq giriş nöqtələrində məruz qalma dərəcəsini azaldın. Etibarsızlığı dayandırmağa üstünlük verin Brotli deşifrə, təsirə məruz qalmış şəkil/peyjinq/arxivləmə emalı və problemli izolyasiya LDAP və ya autentifikasiya qeydləri; saxlamaq TLS sertifikatlar və host adları təsdiqləndi. Gələn WAF zərərli sıxılmış cavabları çəkən proqramlar kimi gedən yolları əhatə edə bilməz. S3 S11 S25 S27 S30 S32
Yenidən qurun, köhnə prosesləri dəyişdirin və real xidmət yolları vasitəsilə yoxlayın. Kilid faylını və təsviri qeyd edin, tətbiqi və təsviri yenidən qurun, bütün işçilər/JVM/konteynerlər üçün əvəzediciləri hazırlayın; faktiki prosesi, asılılıq ağacını, etibar mağazasını və biznes reqressiya testlərini yoxlayın. Təkcə daha yeni bir əmr xətti versiyası düzəlişin tamamlandığını müəyyən etmir.
Əgər LiteLLM 1.107.0 quraşdırılıbsa və ya işə salınıbsa, insident-cavab prosedurlarına əməl edin. Layihə oktyabrın 21-də buraxılış kompromisini təsdiqləyib. Təsirə məruz qalan mühitləri təcrid edin, təmiz mühitdən araşdırın, məruz qalmış etimadnamələri yenidən qurun və fırladın. Əvvəlcə yoxlamaq üçün şübhəli mühitdə Python/pip-ni işə salmayın. Ətraflı məlumat üçün Bölmə 9-a baxın. S41

1. Həssaslığın icmalı və risklərin qiymətləndirilməsi

1.1 Həqiqi məruz qalma ilə remediasiyaya üstünlük verin

Aşağıdakı yerləşdirmə prioritetləri icra təlimatıdır. Ciddilik etiketləri Apache-nin Important reytinqi də daxil olmaqla hər bir satıcını izləyir. CVSS 3.1 və 4.0 fərqli qiymətləndirmə sistemləridir; Məsələləri yalnız xalla sıralamayın.

Ekosistem / qat	Əsas məsələlər	Rəsmi qiymət və ya təsdiqlənmiş xal	Prioritet yerləşdirmə
Node.js yerli asılılıq	CVE-2026-111497: Brotli həddən kənar yazılıb və RCE riski var	Node：High	Xarici sorğu orqanında və ya xarici cavabda Brotli məlumatını deşifrə edin S1 S3
Node.js TLS / DNS	CVE-2026-105482, 105483, 106069: Ayrışdırma və şəxsiyyət yoxlaması uyğun gəlmir	High	URL tarama, proxy, Webhook, dinamik hədəf ünvanı S1 S5 S6
Node.js HTTP/2	CVE-2026-56846, 56848: Yaddaş tükənib və UAF	High	Node birbaşa etibarsız HTTP/2 S7 trafikini idarə edir
React / Next.js	RSC / `use cache` typed arrays RCE	Critical；CVSS 4.0 9.5	Server RSC, əlaqəli keş komponentləri və məlumat yolu S9 S10
Next.js Şəkil optimallaşdırılması	CVE-2026-96889: SVG Şəkil emalı RCE	Critical；CVSS 4.0 9.5	glibc Linux-də etibarsız şəkilləri idarə edə bilən nümunələr S11
Next.js Server Actions	Xüsusi hazırlanmış sorğu CPU-nin tükənməsinə səbəb olur	High；CVSS 4.0 8.2	App Router və ən azı bir Server Action S12
Java TLS Güvən	CVE-2026-91403: Təsirə məruz qalan ara CA-ə etibar etməyə davam edin	CVSS 3.1 9.1	TLS/API Ssenari S17 təsirə məruz qalmış etibar zəncirindən istifadə edir
Tomcat	JNDIRealm autentifikasiya keçidi, HTTP/2 çarpaz sorğu qarışıqları, AJP cavab sızması	Important	Realm / Connector / async Servlet yoluna uyğundur S21 S22 S23
Spring for GraphQL	CVE-2026-59285: Pajinqin seriyadan çıxarılması RCE	High	Jackson 2 + Connection Pajinq + İstismar edilə bilən sinif yolu S25
Spring Security	CVE-2026-59270: Daxili LDAP məlum idarəetmə identifikasiyası ifşa edilib	Critical	Daxili LDAP aktivləşdirilib və dinləmə portu təcavüzkar üçün əlçatandır S27
CPython `ssl`	CVE-2026-19445: SNI keçid konteksti UAF ilə nəticələnir	Critical	Python TLS-ni öz-özünə dayandırır və S29 kontekstinin həyat dövrü şərtinə cavab verir
CPython `ssl`	CVE-2026-19553: Host adı çatışmayanda doğrulamanı keçin	High	`wrap_bio()` / Əlaqəli asinsio zəng çatışmır gözlənilən host adı S30
CPython `tarfile`	CVE-2026-82049: Sərt keçid və simvolik keçid birləşməsindən yan keçid	High	Etibarsız tar arxivini avtomatik çıxarın S32
Django / GeoDjango	CVE-2026-15307: Məkan sorğu yazma faylı, SSRF, RCE şərti ilə	High	Etibarsız girişi qəbul edən məkan sorğuları və ya əlaqəli idarəetmə interfeysləri S38
Python sertifikat asılılığı	certifi: emSign ilə əlaqəli sertifikat etibarsızlığı	Critical; GHSA, heç biri məlum deyil CVE	TLS müştəri və paket idarəetmə aləti S36 S37 hələ də təsirlənmiş CA bundle istifadə edir

İxtisarlar: RCE uzaqdan kodun icrası, UAF pulsuz istifadədən sonra, SSRF isə server tərəfində sorğu saxtakarlığı deməkdir. RCE-nin birbaşa icazələri adətən proqrama ev sahibliyi edən prosesin icazələridir və avtomatik olaraq kök icazələrinə ekvivalent ola bilməz.

Tövsiyə olunan ardıcıllıq: əvvəlcə xaricdən əlçatan olan və şərtlərə cavab verən RCE-ni idarə edir, autentifikasiyadan yan keçmə, istifadəçilər arası məlumat sızması və sertifikatın autentifikasiyası məsələləri; eyni zamanda, ictimaiyyətə baxan DoS giriş nöqtəsi üçün yeniləmələri planlaşdırın. İstismar qabiliyyətini sübut etmək üçün istehsalda hücum yüklərini işə salmağa ehtiyac yoxdur. Asılılıqlar mövcuddur, kod yolları əldə edilir və hücum şərtləri yerinə yetirilir. Bunlar ayrıca yoxlanılmalı olan üç məsələdir.

1.2 Asanlıqla qarışdırılan üç sərhəd

İcra mühitlərini və asılılıqları ayrıca yeniləyin. Node, JDK və CPython təhlükəsizlik yeniləmələri ayrıca quraşdırılmış Next.js, Spring, Django, certifi və ya yerli genişləndirmələri avtomatik düzəltmir.
remediasiya həddi cari yerləşdirmə bazasından ayrıdır. Avqust ayında zəiflik üçün ilk yamağın sentyabrdan oktyabr ayına kimi yeni məsələləri əhatə edəcəyinə zəmanət verilmir; Bölmə 2 həyata keçirmə hədəfi kimi təsdiqlənmiş sonrakı yeniləmələrdən istifadə edir.
Zəifliyi faktiki təchizat zənciri kompromisindən ayırın. Ümumi zəifliklər üçün yamaqlar gələcək hücum yollarını aradan qaldırır; zərərli paketlər işə salındıqda, etimadnamələrin və davamlılığın təsiri araşdırılmalıdır. 9-cu bölmənin LiteLLM rəsmi olaraq təsdiqlənmiş hadisədir. S41

Təbiətdə təsdiqlənmiş istismarın olub-olmaması rəsmi açıqlamalara əsaslanmalıdır. Satıcı istismar fəaliyyətlərini qeyd etməyib və heç bir hücumun olmadığını sübut edə bilməz; remediasiya faktiki hücum səthinə əsasən aparılmalıdır.

2. Sabit versiyanın və yerləşdirmə bazasının sürətli yoxlanılması

İstinad: 2.1 Node.js、React、Next.js

komponent/filial	Tövsiyə olunan versiya bazası	İstifadəyə dair göstərişlər
Node.js 22.x	22.23.4	Oktyabrın 21-də təhlükəsizlik buraxılışı S1 S2
Node.js 24.x	24.22.1	24.x filialına aiddir; 24.22.0 21 oktyabr təhlükəsizlik yamasını ehtiva etmir S1 S2
Node.js 26.x	26.12.1	Eyni topluda təhlükəsizlik buraxılışı S1 S2
Node.js 20 və əvvəlki yuxarı axın filialları	Dəstəklənən filiala köçürün	Node 20 bu upstream düzəlişini qəbul etmir; təchizatçının genişləndirilmiş dəstəyi S3 ayrıca yoxlanılmalıdır
Next.js 15.x	15.5.28	14 oktyabr S8 tarixində yeniləndi
Next.js 16.x	16.4.1	Yuxarıdakı S8 ilə eynidir
Müstəqil RSC 19.0 / 19.1 / 19.2 / 19.3 filialı	19.0.9 / 19.1.10 / 19.2.9 / 19.3.1	Üç `react-server-dom-*` paketini ayrıca yoxlayın; yalnız üst təbəqəyə baxmayın `react` S10
Next əslində `sharp` yüklədi	≥0.35.5	SVG zəifliyi üçün rəsmi müvəqqəti düzəliş şərtləri; digər Next.js yamaqlarını əvəz etmir S11

Node rəsmi olaraq oktyabr ayı zəifliyi üçün təsirə məruz qalmış texniki xidmət sahələrini sadalayır, lakin ilkin təqdim edilmiş yamaq versiyasını maddə üzrə təqdim etmir, ona görə də hər bir zəifliyin dəqiq başlanğıc versiyasını təkcə texniki xidmət bölməsi diapazonuna əsasən müəyyən etmək mümkün deyil. Yerləşdirərkən, eyni filialın yuxarıdakı versiyasından və ya eyni düzəlişləri ehtiva etdiyi təsdiqlənmiş sonrakı versiyadan istifadə etməyə üstünlük verin.

2.2 Java: Oktyabr CPU plus diapazondan kənar sertifikat yeniləməsi

Bu cədvəl Oracle JDK-ə aiddir. İkinci sütun yalnız 20 oktyabr CPU-ni əhatə edir; üçüncü, 21 oktyabrda qrupdan kənar buraxılış daxildir. Təkcə CPU versiyaları burada müzakirə olunan bütün Java risklərini əhatə etmir. S16 S17 S18

filialı	20 oktyabr CPU	Oracle 21 oktyabrda qrupdan çıxdı
11	11.0.33	11.0.33.0.2
17	17.0.21	17.0.21.0.2
21	21.0.13	21.0.13.0.2
25	25.0.5	25.0.5.0.2
27	27.0.1	27.0.1.0.2
8	8u511	İctimai buraxılış cədvəlində hələ də 8u511 göstərilir; xüsusi təhlükəsizlik quruluşu və etibar zəncirinin təmiri yoxlanılmalıdır və yalnız qısa versiya nömrəsinə əsasən müəyyən edilə bilməz

**Java 8 tam qurulma məlumatı ilə yoxlanılmalıdır:**Oracle Xəbərdarlıq təsirə məruz qalmış versiya kimi 8u511-i, buraxılış siyahısı isə eyni qısa adla sonrakı yeniləmələri sadalayır. Yamaq statusu yalnız “8u511” qısa versiya nömrəsinə əsasən fərqləndirilə bilməz. Siz xüsusi təhlükəsizlik quruluşunu və etibar zənciri düzəlişlərini təsdiqləməlisiniz. S17 S18

Temurin , Corretto , Zulu , Microsoft Build of OpenJDK , buraxılış versiyası OpenJDK və s., onların müvafiq elanlarına və tam paket/quraşdırma nömrələrinə uyğun olaraq yoxlayın. Adoptium eMudhra düzəltmək; yuxarı versiyanın eyni adı paket məzmununun eyni olması demək deyil. The .0.2 üçün şəkilçi qaydaları Oracle digər nəşriyyatlara mexaniki şəkildə tətbiq edilə bilməz. S20

Java proqram komponentləri	Tövsiyə olunan versiya bazası	Qeydlər
Tomcat 9 / 10.1 / 11	9.0.123 / 10.1.61 / 11.0.27	Filial üzrə yoxlama; Tomcat 10.0 texniki xidməti dayandırdı S21 S22 S23
Spring for GraphQL 2.0.x	2.0.5（OSS）	Kommersiya dəstəyi də 2.0.4.1 S25
Spring Security 7.1 / 7.0	7.1.1 / 7.0.7（OSS）	Avqust ayında elan edilmiş minimum düzəliş versiyasına uyğundur; yerləşdirmədən əvvəl növbəti təhlükəsizlik bülletenini S27 S28 yoxlamalısınız
Spring Security 6.5 / 6.4 / 5.8 / 5.7	6.5.12 / 6.4.19 / 5.8.28 / 5.7.26	Elan kommersiya dəstəyi kimi verilmişdir; miqrasiya müvafiq dəstək olmadıqda qiymətləndirilir və Maven Central-nin pulsuz S27 üçün mövcud olduğunu güman etmək olmaz.

Spring təkmilləşdirmələri layihənin Spring Boot BOM, Java minimum versiyasına və uyğunluq xətlərinə uyğun olmalıdır. Yalnız bir yamaq əldə etmək üçün bütün Spring modullarını eyni nömrəyə birbaşa məcbur etməyin.

2.3 CPython, Django və sertifikat asılılıqları

Aşağıdakı cədvəlin ikinci sütunu sentyabr ayında açıqlanan TLS məsələsinə diqqət yetirir; tarfile üçün filial fərqləri 5.3. bölməsində göstərilir 21 Oktyabr buraxılışları həmçinin paketlənmiş sertifikat alətlərini yenilədi, ona görə də sonuncu sütuna həmin sonrakı yerləşdirmənin əsas göstəriciləri daxildir. S29 S30 S33 S35

CPython filialı	Sentyabr təhlükəsizlik toplu versiyası	Tövsiyə olunan yerləşdirmə bazası
3.10	3.10.22	Yuxarı axından son buraxılış, EOL; miqrasiyanı təşkil edin və ya buraxılış genişləndirilməsi dəstəyi S34-ni yoxlayın
3.11	3.11.17	3.11.17 və hər bir mühitdə fərdi olaraq pip/certifi-ni yeniləyin
3.12	3.12.15	3.12.15 və hər bir mühitdə fərdi olaraq pip/certifi-ni yeniləyin
3.13	3.13.16	3.13.17
3.14	3.14.8	3.14.9
3.15	Son 3.15.0 buraxılışına hər iki TLS düzəlişləri daxildir S31 S47	3.15.1

3.11 və 3.12-in yuxarı təhlükəsizlik versiyaları yalnız mənbə kodunda buraxıla bilər; əməliyyat sistemi paketindən istifadə edərkən, satıcının backport məsləhətini və paketin tam versiyasını yoxlayın və Python sistemini özü tərtib edilmiş versiya ilə məcburi əvəz etmək tələbi yoxdur. S33 S34

müstəqil asılılıq	Tövsiyə olunan versiya bazası	Təsvir
Django 5.2 / 6.0 / 6.1	5.2.18 / 6.0.9 / 6.1.2	6 oktyabrda S38 S39 sonrakı düzəlişi daxil edin
certifi	≥2026.10.19	GHSA ilkin yamaq .18; PSF təsirsiz sertifikatlar üçün uyğunluğu qorumaq üçün .19-u tövsiyə edir S36 S37
pip	≥26.2.2	certifi-nin daxili nüsxəsi ayrıca yenilənməlidir S35 S37
uv (istifadə edildikdə)	≥0.13.4	Faktiki quraşdırma metoduna uyğun olaraq S37-ni yeniləyin

Bu ilkin göstəricilər sadalanan düzəlişləri əhatə edir. tar_filter-də digər orta ciddi problem oktyabrın 22-də açıqlanıb. 23 oktyabr 2026-cı il tarixinə bu düzəlişi ehtiva edən rəsmi texniki xidmət versiyası hələ təsdiqlənməyib; buna görə də 3.13.17 / 3.14.9 / 3.15.1 bütün tarfile məsələlərini əhatə etmiş hesab edilə bilməz. 5.4. S40 Bölməsinə baxın

2.4 Dağıtım arxa portlarının yoxlanması

Ubuntu, Debian, RHEL və digər proqram paketlərinə tətbiq olunan icra prinsipləri:

Əməliyyat sisteminin versiyasını, depo mənbəyini, tam paket versiyasını və satıcının təhlükəsizlik bülleteni nömrəsini qeyd edin.
Məsləhətçinin xüsusi CVE-ni əhatə etdiyini və müvafiq paylama buraxılışı üçün sabit paketi müəyyən etdiyini təsdiq edin.
Yalnız yuxarıdakı qısa versiya ilə deyil, faktiki işləyən proses tərəfindən yüklənmiş binarları/kitabxanaları müqayisə edin.
Satıcı yamasına dair heç bir sübut olmadıqda, onu “təsdiqlənmək üçün” buraxın və versiya nömrəsinin köhnə və ya yeni göründüyünə dair yeganə nəticə kimi qəbul etməyin.

apt/RPM paket versiyalarında və müxtəlif paylamaların arxa plan strategiyalarında fərqlər var. Hər bir paylamanın təhlükəsizlik bülleteni və tam paket versiyası üstünlük təşkil etməlidir.

3. Node.js / JavaScript ekosistemi: Səbəblərin Təhlili və aradan qaldırılması

3.1 CVE-2026-111497: Brotli yerli dekoder hüduddan kənar yazır

Açıqlama: 21-10-2026; Node rəsmi dərəcəsi: High. Node 22.x, 24.x, 26.x-in təsirlənmiş quruluşları 2.1 yamaq hissəsinin quraşdırılmasını tələb edir. Node Elanda rəqəmsal CVSS balı göstərilmir. S1

Problem, düzgün olmayan Brotli sıxılmış axınla işləyərkən yerli dekodlaşdırma məntiqində baş verir ki, bu da hüdudlardan kənar yazılara səbəb ola bilər. Vercel-nin rəsmi təsviri tədqiqat nümayişinin proses yaddaşının sızması və əmrlərin icrasını əhatə etdiyini təsdiqləyir. Təcavüzkarın dekoderə çata bilib-bilməməsi proqramın və ya asılılığın həqiqətən idarə etdiyi məlumatları deşifrə etməsindən asılıdır. S3

Hər iki istiqamət eyni vaxtda yoxlanılmalıdır:

inbound: The çərçivə və ya ara proqram istifadəçi tərəfindən təqdim edilən Brotli sorğu orqanını avtomatik olaraq açar.
**outbound:**HTTP Müştərilər, şəkil ələ keçirənlər və s. təcavüzkar tərəfindən idarə olunan mənbələrə daxil olur və avtomatik olaraq geri qaytarılan məzmunu açın.

Brauzerlərə göndərilən cavabların Brotli sıxılmasını deaktiv etmək dekodlaşdırma giriş nöqtəsini silmir. Daxil olan WAF mühafizəsi həmçinin xarici cavabları əldə edən və deşifrə edən proqramları əhatə etmir. S3

**Patch istiqaməti:**Node Brotli yuxarı axın düzəlişini yerli asılılığa köçürün və qeyri-qanuni deşifrə statusunun yoxlanılması və xətaların yayılmasını əlavə edin. Öz-özünə tərtib edilmiş versiyanı saxlayarkən, rəsmi təhlükəsizlik buraxılışından və ya uyğun filialın tam yamasından istifadə etməlisiniz. Siz sadəcə JavaScript paketinin versiya bəyanatını dəyişə bilməzsiniz. S4

Müvəqqəti icra təklifləri: lazımsız etibarsız Brotli kodlaşdırmasını dayandırın; ara proqramın və HTTP müştərisinin avtomatik dekompressiya davranışını yoxlamaq; biznes bu formatı qəbul etməlidirsə, mümkün qədər tez yamaqlanmış mühitdə emalını tamamlayın. Accept-Encoding-nin tənzimlənməsi sadəcə danışıqlar aktıdır və təkbaşına zərərli cavabın bloklandığının sübutu kimi durmamalıdır.

3.2 TLS / DNS üç High: Doğrulama obyekti faktiki hədəflə uyğun gəlmir

Hər üçü oktyabrın 21-də açıqlandı, rəsmi təkmilləşdirmə həddi 2.1. S1 Bölməsində qeyd edildi

İdentifikator	Məsələ təsdiqləndi	Təsirə məruz qalan filiallar
CVE-2026-105482	`dns.resolve` NUL ehtiva edən adların kəsilməsi	22.x / 24.x / 26.x
CVE-2026-105483	Tam enli rəqəmli formada IP sertifikat host adının yoxlanılmasından yan keçməyə səbəb olur	24.x / 26.x
CVE-2026-106069	IP kimi sərbəst şəkildə şərh edilə bilən host adı TLS yoxlama yan keçməsi ilə nəticələnir	22.x / 24.x / 26.x

DNS Problemin mahiyyəti ondan ibarətdir ki, yuxarı təbəqə tərəfindən yoxlanılan sətir əslində aşağı təbəqə tərəfindən təhlil edilən addan fərqlidir. Rəsmi yamaq təhlil girişində NUL-ni rədd edir və reqressiya əhatəsini əlavə edir. S6

TLS İki elementə adın normallaşdırılması, IP şərhinin ardıcıllığı və sertifikat uyğunluğu daxildir. Faktiki IP son nöqtəsini sertifikat domeni identifikasiyası ilə qarışdırmamaq üçün qeyri-standart IP daxiletməsinin rədd edilməsi və ya düzgün idarə olunması üçün yamaq edin. S5

: üçün aktual problemlərin aradan qaldırılması təklifləri qəbul edən istifadəçinin kodunun URL, dinamik proksi hədəfi və ya Webhook ünvanının yoxlanılmasına üstünlük verir; vahid standartlaşdırma və siyahı mühakiməsinə icazə verir, NUL/nəzarət simvollarını rədd edir, qanuni IPv4, IPv6 və beynəlxalqləşdirilmiş domen adlarını təsdiqləyir. SSRF-nin daha da formalaşdırılıb-formalaşdırıla bilməməsi birbaşa CVE adından çıxarıla bilməyən əlaqə sübutunun tətbiqini tələb edir.

Təkmilləşdirmədən sonrakı yoxlama səhvlərini aradan qaldırmaq üçün NODE_TLS_REJECT_UNAUTHORIZED=0 və ya rejectUnauthorized: false istifadə etməyin. Ünvan, sertifikat və biznes konfiqurasiyası düzəldilməlidir.

3.3 İyul HTTP/2 High-risk və icazə modeli problemləri

İyulda açıqlanan aşağıdakı məsələlər hələ də istintaqa daxil edilməlidir. Yerləşdirərkən birbaşa 2.1 Bölməsində oktyabr təhlükəsizlik versiyasının əsas xəttindən istifadə etmək tövsiyə olunur. S7

CVE	Səbəblər və təsirlər	İlk sabit versiya
CVE-2026-56846	Saxlanılan HTTP/2 header bloku `maxSessionMemory` büdcəsinə düzgün daxil edilməyib və yaddaşı tükəndirə bilər; Təsir 22.x / 24.x	22.23.2 / 24.18.1
CVE-2026-56848	HTTP/2 paket toplama zamanı göndərmə yoluna yenidən daxil olur və UAF yığınına səbəb olur; təsir 22.x / 24.x / 26.x	22.23.2 / 24.18.1 / 26.5.1
CVE-2026-58043	`--permission` Yol prefiks sərhədi uyğunluğu çox genişdir və icazə verilən siyahıdan kənar fayllara daxil olmaq olar.	Yuxarıdakı üç texniki xidmət xətti ilə eynidir

Hər üçü rəsmi olaraq High-dir. İlk iki bənd HTTP/2-nin Node özü tərəfindən emal edilib-edilmədiyini yoxlamağa üstünlük verir; üçüncü bənd yalnız icazə modelindən istifadə edərkən və bu sərhədə əsaslandıqda müvafiq məna daşıyır. İcazə modeli elementlərinin hamısı autentifikasiya tələb etməyən RCE şəbəkəsi kimi təsvir edilə bilməz. S7

HTTP/2-nin ayrıca, yenilənmiş proxy-də müvəqqəti dayandırılması və arxa uç mənbələrinin məhdudlaşdırılması məruz qalmağı azaltmaq üçün yerləşdirmə seçimidir; resurs kvotaları yalnız resurs tükənməsinin nəticələrinə nəzarət edə bilər və UAF-ni yamaq edə bilməz.

3.4 Oktyabr React / Next.js: iki element RCE və bir maddə DoS

A. RCE RSC / `use cache` funksiyaları tipli massivləri qaytarır

İctimaiyyət tarixi: 2026-10-14; Critical, CVSS 4.0 9.5. Rəsmi məsləhət identifikatorları:

React：GHSA-xqc2-xf4c-x3h3。
Next.js：GHSA-673q-mjm6-r5xr。S9 S10

The React upstream problemi hücumçu tərəfindən idarə olunan dəyərlərlə birləşdirilmiş çoxsaylı tipli massivləri əhatə edir RSC cavab. Üç təsirləndi react-server-dom-* paket versiyalarıdır 19.0.0 — 19.0.8 , 19.1.0 — 19.1.9 , 19.2.0 — 19.2.8 , 19.3.0 ; bölməsinə baxın 2.1. Təmiz brauzer tərəfi React , və ya dəstəkləyən çərçivələr/plug-inlərdən istifadə etməyən proqramlar RSC ümumiyyətlə, bu maddənin əhatə dairəsinə düşməyin. S10

Next.js aşağı axın elan siyahıları 16.0.0 — 16.4.0 , ildə yenidən işlənmişdir 16.4.1 ; ssenari belədir App Router , Cache Components , və use cache çox tipli massivləri qaytaran funksiyalar. Rəsmi etibarlı ümumi həll yolu yoxdur və təsirlənmiş versiyaların istifadəçiləri vaxtında təkmilləşdirmələri tələb olunur. Emal prosesini bitirmək üçün sadəcə olaraq “bu funksiya mövcud deyil” kimi əl axtarışlarına etibar etmək uyğun deyil. S9

İstinad: B. SVG Image Optimization RCE

CVE-2026-96889/GHSA-2464-fhr4-w9xw, 2026-10-14, Critical, CVSS 4.0 9.5. problemi təsvirin optimallaşdırılması üçün istifadə olunan yuxarı axın yerli kitabxanasında baş verir. Rəsmilər RCE riskinin glibc Linux ssenarisində mövcud olduğunu qeyd etdilər. S11

Rəsmi versiya sahələri bunlardır:

>=10.0.0 <=15.5.27；
>16.0.0 <=16.4.0。

Rəsmi şəxs 16.x filialı üçün ciddi aşağı >16.0.0 sərhədindən istifadə edir, lakin bu diapazon bəyanatı 16.0.0-nin təhlükəsiz olduğunu sübut etmək üçün kifayət deyil. Faktiki təkmilləşdirmə hədəfi vahid 15.5.28 / 16.4.1-dir. S11

Rəsmi müvəqqəti həll Next-nin həqiqətən kəskin ≥0.35.5 yüklənməsini təmin etməkdir. Kilid faylları, iç-içə asılılıqlar və yerləşdirmə şəkilləri hələ də köhnə nümunələri saxlaya bilər, ona görə də sharp asılılığının yeni versiyasını yuxarı səviyyədə əlavə etmək kifayət deyil, son asılılıq ağacı yoxlanılmalı və yenidən qurulmalıdır. S11

C. Server Actions CPU tükəndi

GHSA-p3m5-59mp-jv5r , 2026-10-14, High , CVSS 4.0 8.2 . Next təsir edir 13.0.0 — 15.5.27 , 16.0.0 — 16.4.0 , düzəlişlər 15.5.28 / 16.4.1 . Şərtlər var App Router və ən azı bir Server Action ; zərərli istəkləri saxlaya bilir CPU uzun müddət işğal altında, eyni prosesdə sonrakı istəkləri bloklayır. ilə tətbiqlər Pages Router ya da onsuz Server Actions bundan təsirlənmirlər. S12

Təkmilləşdirməni əvəz edə biləcək heç bir rəsmi həll yolu yoxdur. Məzənnə limitləri, paralellik limitləri və resurs kvotaları zərəri azalda bilər, lakin yamaqların yoxlanılması üçün nəticə kimi istifadə edilə bilməz.

3.5 Əvvəllər Next.js eyni pəncərədə Ciddi problem

Aşağıdakı elementlər hələ də avqust-sentyabrdan əvvəlki versiyalarda ilişib qalan çatışmayan yerləşdirmələrin qarşısını almaq üçün nəzərdə tutulub; indi cədvəldəki köhnə düzəltmə hədlərinə keçmək tövsiyə edilmir.

Tarix	İdentifikator / ssenari	İlk düzəliş; cari fəaliyyət
2026-08-25	GHSA-2xp9-vwfh-vxw4: AVIF təsvirin optimallaşdırılması üçün yerli kitabxana RCE, Critical	15.5.24 / 16.3.3; indi 15.5.28 / 16.4.1 S13
2026-08-25	CVE-2026-75604: RCE, Critical, Pages Router və App Router eyni vaxtda Windows-də istifadə edildikdə və Cache Components aktiv deyil; `>=13.4.0 <15.5.24`, `>=16.0.0 <16.3.3` versiyaları	15.5.24 / 16.3.3; Linux/macOS bu xüsusi Windows problemindən təsirlənmir S14
2026-09-22	GHSA-vcvr-r3jv-pc5j: `next/og`-də Node təsvir yaratma yolu etibarsız SVG, Critical-ni emal edir; 16.2.0—16.3.5	16.3.6; Edge tətbiqi bu məsələnin əhatə dairəsindən kənardadır və 15.x bu RCE S15 üçün təsirlənmiş filial deyil

4. Java ekosistemi: İş vaxtı etibarı, konteynerlər və çərçivələr ayrıca idarə olunur

4.1 JDK: Daimi CPU və CVE-2026-91403 iki səviyyəli yeniləmələrdir

The Java SE üçün risk matrisi Oracle CPU 20 oktyabr siyahıları 55 yeni təhlükəsizlik yaması, onlardan 49-u identifikasiya olmadan şəbəkə üzərindən istismar edilə bilən kimi qeyd olunur . Bu o demək deyil ki, 55 var Critical , nə də birbaşa istismar edilə bilən 49 olduğunu ifadə etmir RCE hər biri üçün yollar Java veb xidməti; matrisdə komponentlər, API-lər, istifadəçi qarşılıqlı əlaqələri və yerləşdirmə şərtləri ilə birlikdə başa düşülməlidir. S16

Növbəti günün CVE-2026-91403 (CVSS 3.1 9.1) başqa bir risk növü ilə məşğul olur: artıq etibar olunmayan eMudhra hadisəsi ilə əlaqəli aralıq CA dəsti. O, TLS həmyaşıdlarının identifikasiyasına və kommunikasiyanın məxfiliyinə/bütövlüyünə təsir edir və JVM yaddaşının zədələnməsi zəifliyi kimi təsvir edilə bilməz. S17

Oracle məsləhətində oktyabrın 20-də buraxılmış versiyanın təsirə məruz qaldığı göstərilir, ona görə də oktyabrın 21-də lentdən kənar yeniləmə də quraşdırılmalıdır. Xüsusi versiya üçün 2.2 bölməsinə baxın. GraalVM də müvafiq təsirə məruz qalan məhsullara malikdir və sabit versiya onun eksklüziv təhlükəsizlik bülleteninə tabe olmalıdır. S17 S18

Müvəqqəti rəsmi tədbirlər: Əvvəlcə ehtiyat nüsxəsini çıxarın və sonra hər bir faktiki istifadə edilən etibarlı mağazadan göstərilən kök sertifikatı silin:

emSign ECC Root CA - G3, Oracle ləqəbi emsigneccrootcag3 [jdk].
AAA Certificate Services, Oracle ləqəbi comodoaaaca [jdk]. S19

JDK 11 və daha sonra, rəsmi nümunə:

keytool -delete -cacerts -alias "emsigneccrootcag3 [jdk]"
keytool -delete -cacerts -alias "comodoaaaca [jdk]"

Bu əmrlər üçün JDKhədəfindənkeytool istifadə edin və onların tətbiqin faktiki etibar anbarında işlədiyini təsdiqləyin. Java 8 jre/lib/security/cacerts-ə uyğun olan yoldan istifadə edir; Etibarlı mağazanın fərdiləşdirilməsi ayrıca idarə edilməlidir və digər nəşriyyatların fərqli ləqəbləri ola bilər. Kök sertifikatın silinməsi imtinanın əhatə dairəsini genişləndirəcək və qanuni xidmət sertifikatı zəncirlərini reqressiya testindən keçirəcək. S19

Rəsmi şəxs həmçinin ləğvetmənin yoxlanılmasını aktivləşdirmək seçimini təqdim edir, lakin təsir faktiki TLS tətbiqindən, ləğvetmə xidmətinin əlçatanlığından və uğursuzluq strategiyasından asılıdır. Ümumi yerləşdirmələr üçün, bütün TLS kitabxanalarının düzəldildiyini sübut edən iki JVM açarını nəzərdən keçirməmək üçün tam təchizatçı yeniləmələrinin quraşdırılmasına üstünlük verin.

4.2 Tomcat: Autentifikasiyadan yan keçmə və istifadəçi arası sorğu izolyasiyası

Aşağıdakı üç maddə 2026-10-20 saytında dərc edilmişdir; təmir edilmiş versiya girişinin tarixi Oktyabr 12. Apache rəsmi qiyməti Important-dir. S21 S22 S23

CVE	Təsdiqlənmiş təsirlənmiş versiyalar	Lazımi ssenarilər/nəticələr
CVE-2026-101296	9.0.0.M1—9.0.122；10.1.0-M1—10.1.60；11.0.0-M1—11.0.26	JNDIRealm GSSAPI olmayan SASL autentifikasiya mexanizmini konfiqurasiya edir, etimadnamə yoxlanışı yoxdur və yanlış parollar da keçə bilər
CVE-2026-101356	9.0.118—9.0.122；10.1.55—10.1.60；11.0.22—11.0.26	HTTP/2-nin asinxron Servlet xətası ilə düzgün işləməməsi obyektləri təkrar emal edir/təkrar istifadə edir, bu da istifadəçilər arasında sorğuların və ya cavabların qarışdırılmasına səbəb olur.
CVE-2026-103119	Yalnız təsdiq edin 11.0.0-M25—11.0.26	Böyük AJP bloklanmayan yazılar buferin az oxunmasına səbəb ola bilər və sonrakı sorğularda əvvəlki cavab məlumatlarını ifşa edə bilər.

Müvafiq düzəliş 9.0.123 / 10.1.61 / 11.0.27; AJP elana görə yalnız Tomcat 11 kimi qeyd olunub və eyni problemi olan üç filiala genişləndirilə bilməz. S21 S22 S23

JNDIRealm yaması faktiki autentifikasiya prosesində yoxlama boşluğunu düzəldir, burada “tətbiqə giriş interfeysi normal görünür” yoxlama əvəzinə istifadə edilə bilməz. Realm, SASL mexanizmləri xidmətin faktiki konfiqurasiyası üçün yoxlanılmalı və səhv parollar üçün testlər uğursuz olmalıdır. S24

Müvəqqəti icra təklifləri: təsirə məruz qalan autentifikasiya yolunu təcrid edin; biznes icazəsi olduqda Tomcat-nin HTTP/2 emalını dayandırmaq; yararsız AJP bağlayın. Yalnız AJP portuna birbaşa girişin məhdudlaşdırılması qanuni ön proksi vasitəsilə daxil olan trafikə təsir etməyəcəyini sübut edə bilməz. Rəsmi yeniləmədən sonra iki müstəqil istifadəçinin asinxron paralel sorğuları identifikasiyalar və cavablar arasında qarşılıqlı əlaqənin olmadığını təsdiqləmək üçün sınaqdan keçirilməlidir.

İstinad: 4.3 Spring for GraphQL：CVE-2026-59285

İctimaiyyət tarixi: 20-08-2026; High. təsirə məruz qalıb 2.0.0—2.0.4, təmir 2.0.5 (OSS) və ya 2.0.4.1 (kommersiya dəstəyi). S25

Bu, peyqinq sorğularında təhlükəli sıradan çıxarma riskidir. Rəsmi tələb odur ki, eyni zamanda aşağıdakı şərtlər yerinə yetirilməlidir:

Spring for GraphQL istifadə edin.
Jackson 2.x istifadə edərək JSON seriyasını ləğv edin.
Xarici dünyaya Əlaqə səhifəsi sahəsini təmin edin.
Sinif yolu nümunələşdirmə və ya sıradan çıxarma zamanı gözlənilməz məntiqi yerinə yetirə bilən xüsusi sinifləri ehtiva edir.

Zərərli GraphQL sorğusu şərtlər yerinə yetirildikdə RCE-yə səbəb ola bilər. Onu “Ceksondan istifadə edən bütün Java proqramları istismar edilə bilər” səviyyəsinə endirmək olmaz. S25

Niyə 2.0.4 kifayət deyil: İyun ayında, CVE-2026-41699 kimi yamaq əsasları vermişdi 2.0.4 , və avqust ayında elan açıq şəkildə daxil edildi 2.0.4 yeni təsir dairəsinə daxil olur. Buna görə də, təmir qeydi sonrakı elanlara və köhnənin minimum versiyasına uyğun olaraq yenilənməlidir. CVE istifadə edilə bilməz. S26

Təkmilləşdirmə müvəqqəti olaraq mümkün olmadıqda, etibarsız zəng edənlər üçün əlçatan olan təsirlənmiş səhifələşdirmə sahələri dayandırıla bilər; sıradan çıxarıla bilən növlərin və sinif yollarının daraldılması dərin bir tədbirdir. Reqressiyalar hüquqi kursorları, səhifələnmiş nəticələr və istisna daxiletmə rəddlərini əhatə etməli və son tətbiq JAR daxilində faktiki komponent versiyalarını yoxlamalıdır.

4.4 Spring Security: CVE-2026-59270 və əlaqəli autentifikasiya riskləri

CVE-2026-59270, 2026-08-20, Critical. daxil edilmiş UnboundIdContainer defolt olaraq məlum administrator etimadnaməsini qeyd edir və bütün şəbəkə interfeyslərində dinləyir. Komponent işə salındıqda və port əlçatan olduqda, təcavüzkar kataloq məlumatlarını oxuya və ya dəyişdirə bilər; ümumiyyətlə Spring Security-ni təqdim edən layihələr avtomatik olaraq LDAP-ni ifşa etməyəcək. S27

Təsirə məruz qalan ərazi:

filialı	təsirlənmiş	İlk düzəltmə/alınma kanalı
7.1	7.1.0	7.1.1 OSS; həmçinin kommersiya 7.1.0.1
7.0	7.0.0—7.0.6	7.0.7 OSS; həmçinin kommersiya 7.0.6.1
6.5 / 6.4	6.5.0—6.5.11；6.4.0—6.4.18	6.5.12/6.4.19, kommersiya
5.8 / 5.7	5.8.0—5.8.27；5.7.0—5.7.25	5.8.28/5.7.26, kommersiya

Mənbə: S27. spring.ldap.embedded.* avtomatik konfiqurasiya və birbaşa instantasiya kodu ilə bağlı problemləri həll edin; istehsal üçün lazım olmadıqda komponenti bağlayın və faktiki dinləmə ünvanını yoxlayın. Biznesə həqiqətən ehtiyac olduqda, əvvəlcə zəng mənbələrini məhdudlaşdırın və sonra komponent yeniləməsini tamamlayın.

Əlaqədar identifikasiya problemi: CVE-2026-47841 ( High ). WebAuthn İstifadəçi identifikasiyası təyin edilib REQUIRED , və sonra HTTP sessiya paylanmış yaddaş tərəfindən seriallaşdırılır, yanlış obyekt identifikasiyası müqayisəsi autentifikasiya tələbini etibarsız edə bilər. Hücum həmçinin təcavüzkardan istifadəçinin autentifikator cihazına sahib olmasını tələb edir, cihaz olmadan ixtiyari uzaqdan daxil olmaq deyil. Müvafiq təsirlənmiş versiyalar üçün 7.1 , 7.0 , 6.5 , və 6.4 , yamaq bazası yuxarıdakı cədvəldəki bu filiallara uyğundur; doğrulama qovşaqlararası sessiyaları əhatə etməli və yenə də PIN/biometrik doğrulama tələb etməlidir. S28

5. Python ekosistemi: tərcüməçi, standart kitabxana, çərçivə və sertifikatlar

5.1 CVE-2026-19445: SSLContext UAF, SNI geri zəngində

Nəşr tarixi: 30-09-2026; PSF Səviyyə: Critical. Python serverində TLS, sni_callback əlaqəni başqa SSLContext-yə çevirir və qalan orijinal kontekstdə başqa heç bir məlumat yoxdursa TLS müştəri xidməti sıradan çıxara və ya buraxılmış obyektdə göstərici çağıra bilər. S29

Əsas odur ki, Python obyekti əsas TLS geri çağırış dövrü ilə uyğun gəlmir. Orijinal kontekst buraxıldı və əsas təbəqə hələ də geri çağırış üçün tələb olunan vəziyyəti saxlaya bilər; istinad həyat dövrünü düzəltmək üçün tərcüməçinin yerli patchindən istifadə edilməlidir. S47

Scope: Yalnız TLS müştəri kimi fəaliyyət göstərən Python kodu bu elementə təsir etmir; orijinal konteksti uzun müddət saxlayan dinləmə rozetkasının normal rejimi elanda təsvir edilən xüsusi uğursuzluq yoluna düşmür. Nginx TLS-ni dayandırdıqdan sonra o, yalnız yerli HTTP-ni Python-ə təhvil verir və Python, fərqli hücum səthi olan SNI-ni birbaşa özü idarə edir. S29

3.10—3.14 sabit versiyasına uyğun olaraq 2.3. bölməsinə baxın 3.15 rəsmi versiyası təmir olunub və 3.15.1 həqiqətən seçilə bilər. Yalnız pip asılılığının yenilənməsi tərcüməçinin _ssl tətbiqini əvəz edə bilməz. S33 S35 S47

Rəsmi müvəqqəti yumşaldıcı: serverin həyat dövrünün sonuna qədər SNI geri çağırışını təyin etmiş bütün SSLContext-lərə güclü istinadlar saxlayır. Bu, faktiki dinamik yaratma və keçid yollarını əhatə etməlidir; xüsusi OpenSSL 1.1.1 quruluşu həmçinin rəsmi buraxılış qeydi ilə birlikdə yenidən danışıqlar şərtlərini yoxlamalı və yeniləmələri tamamlamağa üstünlük verməlidir. S29 S47

5.2 CVE-2026-19553: Host adı bayrağı aktivdir, lakin zəng edərkən host adı yoxdur

İctimaiyyət tarixi: 2026-09-30; High.SSLContext.check_hostname=True olduqda, wrap_bio() server_hostname-də ötürülməzsə, orijinal tətbiq host adının yoxlanmasını səssizcə ötürə bilər. Uğurlu sertifikat zəncirinin yoxlanması o demək deyil ki, hədəf domen adı da uyğunlaşdırılıb. S30

Təmir hər iki addımı tələb edir:

2.3. bölməsində sadalanan tərcüməçinin təhlükəsizlik buraxılışını quraşdırın
wrap_bio(), əlaqəli asyncio.create_connection() / loop.start_tls() yollarını yoxlayın, gözlənilən və boş olmayan host adını açıq şəkildə keçin və sertifikat doğrulamasını açıq saxlayın. S30

**Qaçmaq mümkün olmayan uyğunluq fərqləri:**3.10, 3.11, 3.12 uyğunluq üçündür, yalnız DeprecationWarning bəzi hallar üçün verilir; host adı çatışmır 3.13 və daha sonra ValueError artırın. 3.12 arxa portu None-ni boş sətirlərdən də aydın şəkildə fərqləndirir: None üçün yeni xəbərdarlıq əlavə edilir və boş sətirlər üçün hələ də xəta bildirilir. Buna görə də, aşağı filial istifadəçiləri ilkin çatışmayan domen adının yoxlanılmasının sadəcə təkmilləşdirmə yolu ilə avtomatik bərpa olunduğunu güman edə bilməzlər. S31 S33

Test mühitində uyğun olmayan host adı ilə etibarlı zəncir sertifikatından istifadə edin və faktiki proqram TLS müştərisinin onu rədd etdiyini təsdiqləyin. check_hostname Boolean dəyərinin sadəcə oxunması tam qəbul olunmur.

5.3 CVE-2026-82049: Tarfile filtrində keçid kombinasiyası keçidi

İctimaiyyət tarixi: 2026-09-14; High. CPython 3.13 və əvvəlki əlaqəli tətbiqlərdə, etibarlı olmayan tardakı sərt keçidlərin və simvolik keçidlərin birləşməsi data / tar-dən kənara çıxaraq, məzmun paketindən çıxarılan faylları süzgəcdən çıxara bilər. qablaşdırma ağacını açmaq və ya onların icazələrini və dəyişdirmə vaxtlarını dəyişdirmək. S32

Bu zəifliyin təsdiqlənmiş təsirlərinə fayl məzmununa məruz qalma və metadata modifikasiyası daxildir; yalnız bu təsirlər xarici fayl məzmununun ixtiyari üzərinə yazılmasını və ya RCE-nin qeyd-şərtsiz həyata keçirilməsini nümayiş etdirmək üçün kifayət deyil.

Müvafiq patch baza xətləri üçün 3.10 — 3.13 , Bölməyə baxın 2.3. Python 3.14 səbəbiylə bu xüsusi məsələdən azad edilmişdir os.link() ildən davranış dəyişir 3.14.0b1 , beləliklə təsir dairəsi 3.10 — 3.13 yuxarıdakı filial tətbiq edilmir. S33

Müvəqqəti və dərin tədbirlər: etibarsız arxivlərin avtomatik çıxarılmasını dayandırır; biznesin işlənilməsi lazım olduqda təcrid olunmuş aşağı imtiyazlı işçi proseslərindən və yeni eksklüziv kataloqlardan istifadə edin, simvolik bağlantıları, sərt keçidləri və biznes tərəfindən cihaz girişlərini rədd edin və faylların və dekompressiya resurslarının sayını məhdudlaşdırın. Bunlar yerləşdirmə tövsiyələridir.

filter="data" ümumi etibarsız arxivlər üçün tam etibar strategiyasından daha uyğundur, lakin köhnə versiyadakı filtrin özündə də bu zəiflik var və tək bu parametrin əlavə edilməsi yeniləməni əvəz edə bilməz. Filtr həm də tam fayl sistemi sandbox deyil. S32 S45

5.4 Əlavə risk: CVE-2026-114583 (Medium) və patch buraxılış statusu

PSF, 2026-10-22-də açıqlanır ki, tarfile.tar_filter-nin xüsusi link adlarını emalından keçmək olar və bu, sonrakı üzvlərə paketi açma qovluğundan kənarda bir səviyyə ilə yazmağa imkan verir. Medium. Rəsmi düzəliş PR həmin gün birləşdirildi; 23 oktyabr 2026-cı il tarixinə bu öhdəliyi ehtiva edən heç bir rəsmi texniki reliz təsdiqlənməmişdir. S40

Buna görə də:

Bu element ayrıca Medium kimi qeyd edilmişdir.
Oktyabrın 21-də buraxılmış tərcüməçi versiyaları bu düzəlişi daxil etmiş hesab edilə bilməz.
Etibarsız arxivləri idarə etmək üçün hələ də filter="tar" istifadə edən proses buraxılış portunu izləməlidir; bu emal yolunu təcrid edin və ya qısa müddətə dayandırın. data-ə keçərkən və keçidləri rədd edərkən, onun biznes tələblərinə cavab verdiyini də təsdiq etməlisiniz və filtrin dəyişdirilməsi şərtsiz qum qutusu kimi təsvir edilə bilməz.

5.5 GeoDjango: CVE-2026-15307 və oktyabr ayında sonrakı düzəlişlər

2026-08-04, Django rəsmi High. məkan sorğusu qeyri-müəyyən sətirləri/lüğətləri GDALRaster-ə ötürür və sürücü faylları yaza və ya işə sala bilər; RCE xüsusi yollar və sonrakı icra şərtləri olduqda formalaşa bilər. Məkan sahəsi modelinə baxmaq icazəsi olan işçilər də admin dəyişikliklər siyahısı vasitəsilə bu yola daxil ola bilər. S38

İlkin düzəliş 5.2.17 / 6.0.8-dir ki, bu da məkan axtarışları tərəfindən qəbul edilən daxiletmə növlərini məhdudlaşdırır. Bu dəyişiklik raster ifadə etmək üçün sətirdən/lüğətdən istifadənin orijinal biznesinə təsir göstərə bilər; sadəcə olaraq etibarsız girişi GDALRaster-ə bağlamaq onu yoxlamaq demək deyil. S38

Oktyabrın 6-da CVE-2026-87890 (Orta) təmir edildi: baytlarla ifadə edilən VRT xarici resurslara istinad edə bilər və yenə də şəbəkə sorğularını tetikler; eyni gündə, iç içə həndəsə DoS qorunması CVE-2026-15830 da gücləndirildi. Son ikisini yeni yüksək riski təsvir etmək üçün təkmilləşdirmək mümkün deyil RCE , lakin yerləşdirmə əsas xəttinin olmasını göstərin 5.2.18 / 6.0.9 / 6.1.2 . S39

Tətbiq API və idarəetmə interfeysinin iki giriş nöqtəsini yoxlayır, etibarsız məkan axtarışını, fayl yazma icazələrini və gedən çıxışı məhdudlaşdırır; yeniləndikdən sonra reqressiya-test etibarlı məkan sorğuları və qadağan edilmiş girişin rədd edilməsi. GeoDjango istifadə etməyən adi Django proqramları bu RCE qənaətini birbaşa tətbiq etməməlidir.

5.6 certifi / pip: Sertifikat etibarı hər nüsxəni əhatə etməlidir

GHSA-6q48-6c7w-9gw2 , 2026-10-20, Critical , məlumdur CVE siyahıya alınmayıb. Bu sertifikatın səbəb olduğu etibarsızlıq yeniləməsidir eMudhra aralıq CA hadisə. Bunu HTTPS-in kriptoqrafiya mexanizmi və ya bütün kök sertifikatlarının sındırıldığı kimi ümumiləşdirmək olmaz. S36

certifi məsləhətində əvvəlcə yamaq kimi 2026.10.18 siyahıya alınmışdır; PSF daha sonra təsirsiz kök sertifikatları ilə uyğunluğu qorumaq üçün açıq şəkildə 2026.10.19 tövsiyə etdi. Əməliyyat bazası .19-dur. S36 S37

Ayırmaq lazımdır:

Materialın yerləşdiyi yerə etibar edin	Niyə ayrıca yoxlamaq lazımdır
Əməliyyat sistemi CA paketi	Şəkil və ya host üçün sistem etibar materialı
certifi venv	CA bundle əslində tətbiqlər və ya sorğular tərəfindən istifadə olunur.
pip quraşdırılmış certifi	Xarici olaraq quraşdırılmış certifi-dən fərqli bir nüsxədir
uv / Digər qablaşdırma alətləri	Alətin öz yeniləmələrini və etibarlı mənbələrini izləyin
Fərdi CA faylları, paketlənmiş şəkillər	Sistemlər və ya paketlər üçün defolt etibarlı mənbələri ləğv etməyə davam edə bilər

Yuxarıdakı müxtəlif qablaşdırma yerlərinə əsaslanan yoxlama siyahısıdır. PSF əlaqədar alətlərin, mövcud virtual mühitlərin yenilənməsini və təsvirin yenidən qurulmasını tələb edir; yalnız CA hostunu yeniləmək və ya tərcüməçini yenidən quraşdırmaq bütün nüsxələrin yeniləndiyini sübut edə bilməz. S35 S37

Köhnə pip təhlükəsiz yükləmə kəmərindən təkmilləşdirərkən, PSF sabit təkər və SHA-256 üçün əmrləri təmin edir, S37 əlavəsinə baxın. TLS doğrulamasını söndürməyin və ya sertifikat məsələlərini yan keçmək üçün --trusted-host əlavə etməyin.

6. Formal remediasiya prosesi

Aşağıdakı əmrlər təsdiqlənmiş etibarlı mühitlər üçündür. İcra edərkən, ziddiyyətli kilid faylları yaratmaq üçün npm/pnpm/yarn və ya pip/uv/Poetry-ni qarışdırmamaq üçün layihənin mövcud paket meneceri, kilid faylı və yerləşdirmə prosesi birləşdirilməlidir.

Əvvəlcə istisnanı idarə edin: Əgər ətraf mühitin Bölmə 9-da təhlükəyə məruz qalmış paketi işə saldığından şübhələnirsinizsə, əvvəlcə onu təcrid edin və təmiz mühitdən diski, faylı və şəkil qeydini yoxlayın; əvvəlcə aşağıdakı Python/pip əmrini yerinə yetirməyin. S41

6.1 Həqiqi trafikə uyğun gələn kitabçanı yaradın

Hər bir xidmət ən azı qeyd edir:

Xarici giriş nöqtəsi, əks proksi, mənşə saytına birbaşa əlaqə yolu və fon növbəsi/planlaşdırılmış tapşırıqlar.
Faktiki başlanğıc əmri, işləyən hesab, ikili yol, proses və ya konteyner şəxsiyyəti.
İş vaxtının tam versiyası, naşir/repozitoriya, paketin tam versiyası və ya şəkil həzm.
Çərçivə və keçid asılılıqları, kilidli fayllar, yerli kitabxanalar və etibar mağaza yolları.
Zəiflik vəziyyətinin mövcud olub-olmamasına uyğun olaraq, yamaq hədəfi, yenidən başladın əhatə dairəsi, məsul şəxs və yoxlama nəticəsi.

İnkişaf maşınları, CI qaçışçıları, tikinti konteynerləri və arxa plan tapşırıqları da etibarsız məzmuna gedən yollara görə yoxlanılmalıdır; yalnız ictimaiyyətə baxan veb konteyneri yeniləməyin.

6.2 Node.js: Əvvəlcə iş vaxtını təyin edin, sonra tətbiq asılılıqlarını yeniləyin

Faktiki xidmət mühitində yoxlayın:

node -p 'JSON.stringify({execPath:process.execPath,node:process.version,openssl:process.versions.openssl,brotli:process.versions.brotli},null,2)'
npm ls next react react-dom react-server-dom-webpack react-server-dom-parcel react-server-dom-turbopack sharp --all
npm audit --omit=dev

node -p xidmətin faktiki icra edilə bilənindən istifadə etməklə və ya faktiki konteyner daxilində icra edilməlidir; o, yeni işə salınmış prosesləri yoxlayır və köhnə işçinin dəyişdirilməsini özü sübut etmir. Node, orijinal kitabxana versiyasının sətirini saxlayaraq, daxili Brotli-ə yamağı əlavə edə bilər. Buna görə də, onun təmir olunub-olunmadığını müəyyən etmək üçün yalnız process.versions.brotli-ə etibar etməyin. Siz onu Node təhlükəsizlik versiyası və ya satıcının arxa port sübutu ilə birləşdirməlisiniz. S2 S4

npm ls faktiki asılılıq ağacını görmək üçün istifadə olunur; itkin paketlər və ya həmyaşıd münaqişələri də sıfırdan fərqli çıxış kodları yarada bilər, ona görə də xüsusi çıxışı oxumalısınız. npm audit asılılığın yoxlanılması vasitəsi kimi istifadə olunur və Node ikili və yerli kitabxana yoxlamasını əvəz edə bilməz.

Aşağıdakı kimi yenilənə bilən Node 24mühitini idarə etmək üçünmise istifadə edin:

mise use -g [email protected]
mise exec [email protected] -- node -p 'process.version + " " + process.execPath'

mise use -g qlobal versiyanı konfiqurasiya edir; layihənin yerli konfiqurasiyası hələ də ayrıca yoxlanılmalıdır. Xidmət köhnə mütləq yolu, konteyner əsas şəklini və ya başqa hesabın mühitini düzəldibsə, müvafiq konfiqurasiya yenilənməlidir və xidmət yenidən işə salınmalıdır. Komandanın özü köhnə işləyən prosesi əvəz etmir. S43

Next layihəsində seçilmiş filiala uyğun olaraq müvafiq əmri yerinə yetirin. Next 15 üçün:

# Next 15 分支
npm install --save-exact [email protected]

Next 16 üçün:

# Next 16 分支
npm install --save-exact [email protected]

React/RSC uyğun asılılıqları, faylları kilidləyin və son kəskin nümunəni yoxlayın və sonra layihə prosesinə uyğun olaraq qurun. Təkrarlana bilən quraşdırma üçün CI-də yenilənmiş kilid faylından istifadə edin və qurduqdan sonra işləyən şəkildəki versiyanı yoxlayın. Bu fövqəladə vəziyyət üçün standart həll yolu kimi əsas versiyalarda nəzarətsiz avtomatik təmirdən istifadə etməyin.

6.3 Java: Naşiri, faktiki JVM və daxil edilmiş komponentləri yoxlayın

İlkin inventar:

java -XshowSettings:properties -version

Çıxışdakı java.home, java.runtime.version və naşir xidmət tərəfindən faktiki istifadə edilən JVM ilə uyğunlaşdırılmalıdır. Əlavə icazəsi olan JVM üçün jcmd JDK yalnız giriş qabığını deyil, hədəf prosesi yoxlamaq üçün istifadə edilə bilər.

Etibarlı layihələrdə asılılıqları yoxlayın və faktiki qurma alətləri əsasında seçin:

./mvnw dependency:tree '-Dincludes=org.apache.tomcat.embed:*,org.springframework.security:*,org.springframework.graphql:*'

./gradlew dependencyInsight --dependency tomcat-embed-core --configuration runtimeClasspath
./gradlew dependencyInsight --dependency spring-security-core --configuration runtimeClasspath
./gradlew dependencyInsight --dependency spring-graphql --configuration runtimeClasspath

Bu qurma əmrləri plaginləri icra edə və asılılıqları onlayn həll edə bilər və yalnız etibarlı layihələrdə işləyə bilər. Şəkildəki son JAR/WAR və ya faktiki JAR-ı yoxlayın və son artefakt üçün tikinti faylı bəyannamələrini əvəz etməyin. Spring Quraşdırılmış yükləmə Tomcat tətbiqin yenidən qurulmasını tələb edir; sistemdə ayrıca Tomcat quraşdırmasının yenilənməsi proqram paketindəki surəti dəyişdirməyəcək.

İş vaxtı yeniləndikdən sonra fərdiləşdirilmiş javax.net.ssl.trustStore, proqram özü yükləyən Açar Mağazası, jlink işləmə vaxtını, GraalVM/doğma şəkil və digər çatdırılma formalarını maddələr üzrə yoxlayın. Artıq fərdiləşdirilmiş etibar materialları olan proqramlar, JDK kataloqu yeni olduğu üçün yoxlamanı bitirə bilməz.

6.4 Python: Tərcüməçi-tərcüməçi və virtual mühitin işlənməsi

Etibarlı olduğu təsdiqlənmiş faktiki venv/konteyner daxilində:

python - <<'PY'
import sys
import ssl
import importlib.metadata as metadata

print("executable:", sys.executable)
print("version:", sys.version)
print("openssl:", ssl.OPENSSL_VERSION)
print("verify_paths:", ssl.get_default_verify_paths())
for name in ("pip", "certifi", "Django", "urllib3", "Brotli", "litellm"):
    try:
        print(name + ":", metadata.version(name))
    except metadata.PackageNotFoundError:
        print(name + ": not installed")
PY

python -m pip --version
python -m pip check

Bu skript yalnız məlumat toplayır və versiyanın müəyyənləşdirilməsini həyata keçirmir. ssl.get_default_verify_paths() standart yol məlumatıdır və bütün üçüncü tərəf müştərilərinin eyni etibar mağazasından istifadə etdiyini sübut edə bilməz; proqram konfiqurasiyası əsasında təsdiq edilməlidir.

S37 əlavəsinin etibarlı pip yükləmə təkmilləşdirməsini tamamladıqdan sonra layihə məhdudiyyətlərinə uyğun olaraq sertifikat asılılıqlarını yeniləyin, məsələn:

python -m pip install --upgrade 'certifi>=2026.10.19'

# 仅适用于当前就选择 Django 5.2 的项目
python -m pip install --upgrade 'Django>=5.2.18,<5.3'

python -m pip check

Layihənin tələbləri/kilid faylı eyni zamanda yenilənməlidir, əks halda növbəti yerləşdirmə köhnə versiyaya qayıda bilər. uv, Poetry və ya müəssisə paketi anbarından istifadə edərkən, onların mövcud kilidləmə və nəşr proseslərindən istifadə edin; yalnız istehsal konteynerində paketləri əl ilə dəyişdirməyin.

Layihənin mövcud pip-audit iş axını etibarlı mühitdə məlum asılılıq zəifliklərini yoxlamaq üçün istifadə edilə bilər; o, zərərli kod skaneri deyil və bütün tərcüməçi, sistem kitabxanası və etibar mağazası risklərini əhatə etmir. S44

/usr/bin/python3 sistemini yeni tərtib edilmiş versiyaya işarə etməyə məcbur etmək tövsiyə edilmir. Python sisteminə əsaslanan idarəetmə alətlərini pozmamaq üçün buraxılış təhlükəsizlik yeniləmələri və ya layihənin təcridetmə müddətlərindən istifadə edin. Bu, tətbiq seçimidir və bu zəiflik üçün əlavə düzəliş tələbi deyil.

6.5 Çalışan nümunəni yenidən qurun və əvəz edin

Tam dəyişiklik kimi aşağıdakı addımların atılması tövsiyə olunur:

Yamanı orijinal etibarlı mənbədən əldə edin və versiya/hash və asılılıq kilidini yadda saxlayın.
Yaxın istehsal mühitində əsas funksiyaları qaytarın və yerli genişləndirmələrin JVM/framework ilə uyğun olduğunu təsdiqləyin.
İş vaxtını, tətbiqdən asılılıqları və faktiki etibar anbarını yeniləyin; baza şəklini və konteyner üçün CA sistemini təzələyin, sadəcə köhnə təbəqəni təkrar istifadə etməyin.
Tətbiqləri və şəkilləri yenidən qurun və xidmət, işçi, növbə istehlakçı və planlaşdırılmış tapşırıq nümunələrini dəyişin.
Yeni işləyən instansiyada versiyanı və konfiqurasiyanı yenidən yoxlayın və bütün köhnə nüsxələrin çıxdığını təsdiqləyin.
Səhv dərəcələrini, gecikməni, CPU/yaddaş, TLS əl sıxma uğursuzluqlarını və proses qəzalarını müşahidə edin.

Geri qaytarma təhlükəsiz iş vaxtının və yamaqdan asılılıqların saxlanmasına və proqram konfiqurasiyasının və ya biznes dəyişikliklərinin geri qaytarılmasına üstünlük verməlidir. Zəiflikləri olan köhnə məhsula qayıtmaq məcburiyyətindəsinizsə, müvafiq giriş məhdudiyyətləri eyni vaxtda bərpa edilməli, məsul şəxs və minimum bərpa müddəti dəqiq müəyyən edilməlidir.

7. Müvəqqəti təsirin azaldılması və yamaq seçimi

7.1 Müvəqqəti tədbirlərin əhatə dairəsi

Aşağıda elan edilmiş istifadə şərtlərinə əsaslanan icra təklifləri verilmişdir. Rəsmi plan qeyd edilmədikdə, satıcı bütün variantların tamamilə bloklana biləcəyinə zəmanət vermir.

risk	Müvəqqəti tədbirlər görülə bilər	Buna əsasən tamamlanmamış hesab edilə bilməyən hissə
Brotli dekodlanması	Etibarsız daxiletmənin dekodlanmasını dayandırın; daxil olan və gedən avtomatik dekompressiyanı yoxlayın	Daxil olan WAF və ya cavab sıxışdırmasının söndürülməsi bütün deşifrə daxiletmələrini əhatə etmir S3
Next.js typed arrays RCE	Dərhal təkmilləşdirin; zəruri hallarda təsirə məruz qalan xidmətləri müvəqqəti olaraq təcrid edin	S9 rəsmi etibarlı universal həll yolu yoxdur
Next.js SVG RCE	Rəsmi plan: faktiki kəskin ≥0.35.5 təmin edin; biznes icazə verdikdə müvafiq optimallaşdırma giriş nöqtələrini dayandırın	Digər Next/RSC S11 məsələlərini əhatə etmir
Tomcat Realm / HTTP/2 / AJP	Müvafiq yolu təcrid edin və lazımsız bağlayıcıları bağlayın	Hələ də müvafiq filial təmir paketinə ehtiyacınız var S21 S22 S23
GraphQL Deserializasiya	Təsirə məruz qalan Əlaqə sahələrini dayandırın; etibarsız zəng edənləri məhdudlaşdırın	Yalnız sorğu uzunluğu limiti S25 tip/serializasiya problemini həll edə bilməz
Spring embedded LDAP	Lazım olmadıqda söndürün; real dinləmə portunun əlçatanlığını məhdudlaşdırın	Defolt inzibati identifikasiya və kataloqun bütövlüyü hələ də yoxlanılmalıdır S27
CPython SNI UAF	Rəsmi plan: Xidmətin sonuna qədər müvafiq SSLContext güclü istinadını saxlayın	Bütün yaratma/keçid yolları S29 əhatə olunmalıdır
Python host adını atlayın	Rəsmi həll: Gözlənilən server_hostname-ni düzgün ötürün	Yalnız check_hostname bayrağını yoxlamaq və ya S30 S31 xəbərdarlığına məhəl qoymamaq mümkün deyil
Etibarsız tar	Çıxarışı deaktiv edin/karantin edin, qeyri-vacib keçidləri və cihaz girişlərini rədd edin	Nə filtrlər, nə də resurs kvotaları universal sandboxlar deyil S32 S40 S45
Sertifikat etibarı hadisəsi	Düzgün CA materialını yeniləyin; Java etibarı rəsmi yumşaldılmaya əsasən məhdudlaşdırıla bilər	TLS doğrulamasının söndürülməsi riski artırır S19 S37

7.2 Çatdırılma üsuluna əsasən yamağı seçin

Çatdırılma üsulu	Təmir üsullarına üstünlük verin	Saxlanılmalı olan dəlil
Dağıtımla idarə olunan iş vaxtı	İstehsalçının müvafiq təhlükəsizlik yeniləmələri	Tam paket versiyası, elan, anbar mənbəyi
Rəsmi Binary/Runtime Manager	Eyni filialdan rəsmi təhlükəsizlik buraxılışı	Versiya, mənbə və həzm, faktiki icra yolu
Öz-özünə tərtib edilmiş Node / CPython	Uyğun filialın rəsmi mənbə buraxılışı və ya satıcının tam yamaq dəsti	Dəsti qəbul edin, parametrləri, asılı kitabxanaları və reqressiya nəticələrini qurun
Spring / Next / Django	Filialdaxili yeniləmələrə, asılılıq kilidlərini bərpa etməyə və son tətbiqlərə uyğun gəlir	Son asılılıq ağacı, JAR/paket/şəkildə faktiki versiya
Xüsusi güvən mağazası	Çıxarmanı təsdiqləyən rəsmi geri çəkilmə planı və ya satıcı yeniləməsi	Faktiki istifadə yolu, material dəyişikliyi, TLS uğur və rədd testləri
Təhlükəli mühit	Təmiz və etibarlı məhsullardan yenidən qurun və ayrıca insident araşdırması aparın	Tarixi paket/şəkil həzmi, quraşdırma qeydi, etimadnamə fırlanma rekordu

7.3 Açar yamaq mexanizmi və nəzərdən keçirmə diqqəti

Brotli: quruluşa daxil olmamışdan əvvəl sərhəd yoxlanışı və yerli deşifrə statusunun səhv qaytarılmasının tamamlanıb-tamamlanmamasına diqqət yetirir; yalnız JavaScript paketinin dəyişdirilməsi Node-də statik olaraq tərtib edilmiş kodu dəyişə bilməz. S4
Node DNS / TLS : girişin rədd edilməsinə, ünvanın normallaşdırılmasına, aralarındakı fərqə diqqət yetirir IP SAN və DNS şəxsiyyətlər və DNS geri çağırma/Promise Təhlil yolu və TLS host adı uyğunluğu testi. S5 S6
Tomcat JNDIRealm: identifikasiya prosesinin sadəcə kataloq kontekstini əldə etmək əvəzinə, faktiki olaraq etimadnamələri təsdiq edib-etməməsinə diqqət yetirir; rəsmi versiyaya üstünlük vermək və bir mənbə faylının dəyişdirilməsini tam ikili yamaq kimi qəbul etməmək. S24
CPython ssl: Python istinad sahibliyinə və əsas SSLContext-nin həyat dövrünə diqqət yetirir; wrap_bio() filial uyğunluğu fərqlərinə malik olarkən arxa portlara malikdir və istifadə olunan filialın faktiki tətbiqini oxumalısınız. S31 S47
Sertifikat etibarsızlığı: Bu cür yeniləmələr etibarlı material kimi görünə və ya aşkar API dəyişikliklərindən daha çox siyahı dəyişikliklərini rədd edə bilər. Node-nin eyni partiyasına təsirə məruz qalmış aralıq CA-nin rədd edilməsi mexanizmi də daxildir; Java və Python müvafiq etibar mənbələri hələ də ayrıca yoxlanılmalıdır. S19 S37 S46

Müstəqil Brotli bağlanması da yoxlanılmalıdır. Google upstream buraxıldı 1.0.10 / 1.1.1 / 1.2.1 düzəltmək üçün eyni gündə CVE-2026-111497 . Python eyni təsirə məruz qalmış C tətbiqini birləşdirən yerli genişləndirmələr və ya JNI artefaktları müstəqil olaraq yenilənməlidir/yenidən qurulmalıdır; hər şeyin saf olduğu qənaətinə gəlmək olmaz Java dekoderlər təsirlənir, nə də təkmilləşdirməni güman etmək olmaz Node avtomatik olaraq digər dillərdəki nüsxələri əvəz edir. S42

8. Doğrulama və təqib yoxlamaları

8.1 Minimum yoxlama siyahısı

Elementləri yoxlayın	Sübut tələb olunur
icra müddəti	Real prosesdə/konteynerdə doğru olan tam versiya və ya satıcı backport sübutu
tətbiq asılılıqları	Next/RSC/sharp, Tomcat/Spring və Django/certifi son yerləşdirmə məhsulları müvafiq həddə çatıb
Əvəzetmə diapazonu	Bütün işçi/JVM/konteyner nüsxələri və fon tapşırıqları yeniləri ilə əvəz olundu və köhnə nümunələr çıxarıldı.
TLS	Etibarlı domen sertifikatları uğur qazanır; uyğun olmayan host adları və etibarsız zəncirlər siyasətə uyğun olaraq uğursuz olur; xüsusi güvən mağazalar daxildir
eMudhra inamsızlıq	Təsirə məruz qalmış aralıq CA tərəfindən qurulmuş sertifikat zənciri faktiki icra zamanı rədd edildi və ya xüsusi təchizatçının təhlükəsizlik qurma/müvafiq rədd siyahısı yerləşdirildiyinə dair sübutlar var; iş ümumi TLS testinə və ya Java 8 qısa versiya nömrəsinə əsasən bağlana bilməz.
Node deşifrə və şəkillər	Normal sıxılmış cavab, yükləmə, təsvirin optimallaşdırılması və RSC funksiyaları mövcuddur; etibarsız mənbə siyasəti qüvvədədir
Java Doğrulama və İzolyasiya	Səhv parol rədd edildi; şəxsiyyət/cavab qarışdırılmadan müstəqil istifadəçinin eyni vaxtda asinxron sorğuları; LDAP gözlənildiyi kimi dinləyir
Python SNI / Arxiv	Normal çoxdomen adı TLS biznesi sabitdir; arxivləşdirmə yolu keçməyi və icazə verilməyən keçidləri rədd edir və kataloqdan kənar fayllar dəyişdirilmir
Məlumat və funksional reqressiya	Peyjinq, məkan sorğusu, icazə yoxlaması və arxa plan tapşırıqları layihənin mövcud sınaqlarından keçdi
Resurslar və Müşahidələr	CPU, yaddaş, səhv dərəcəsi, gecikmə və TLS xətalarında anormal artım yoxdur.
İzləmə qabiliyyəti	Təkmilləşdirmə vaxtına, paket/şəkil həzminə, konfiqurasiya dəyişikliklərinə, yoxlama nəticələrinə və həll olunmamış elementlərə qənaət edin

Bunlar tətbiqin qəbulu tövsiyələridir və hər CVE üçün hücum skriptinin hazırlanmasını tələb etmir. Qəzalar, resursların tükənməsi və həddən kənar arxivlə bağlı yoxlama təcrid olunmuş mühitdə yuxarı reqressiya testindən və ya layihə ilə idarə olunan test məlumatlarından istifadə etməlidir.

8.2 Yamaq və müdaxilə araşdırması fərqli vəzifələrdir

Qeyri-adi deşifrə xətaları, işçi/JVM qəzaları, şübhəli fayl yazıları, kataloq məlumatlarında dəyişikliklər, autentifikasiya istisnaları, gedən sorğular və etimadnamə istifadə qeydləri üçün mövcud qeydləri yoxlayın. Bu əlamətlər kontekstdə qiymətləndirilməlidir: qəza və ya OOM uğurlu istismarın sübutu deyil; xəbərdarlıqların olmaması sistemin təsirsiz olduğunu sübut etmir.

İcazəsiz dəyişikliklər, pozulmuş etimadnamələr və ya təsdiqlənmiş zərərli asılılıqlar aşkar edildikdə, sübutlar qorunmalı, müvafiq instansiyalar təcrid olunmalı, təsirə məruz qalmış etimadnamələr etibarlı mühitdən dəyişdirilməli və sistem yenidən qurulmalıdır. Yamaq təcavüzkar tərəfindən əldə edilmiş tokenləri ləğv etməyəcək və ya dəyişdirilmiş məlumatları bərpa etməyəcək.

9. Təchizat zəncirinin təhlükəsizliyi hadisəsi: LiteLLM 1.107.0 kompromis

**Rəsmi təsdiq tarixi: 21-10-2026.**LiteLLM onun buraxılış boru kəmərinin pozulduğunu bildirdi. PyPI-nin litellm==1.107.0 və eyni dövrə aid bəzi Docker/GHCR məhsullarında gizli oğurluq və uzaqdan idarə olunan zərərli kod var idi və əlaqədar məhsullar geri götürüldü. S41

Təsiri müəyyən etmək üçün tarixi quraşdırma qeydlərini və təsvirin həzmini yoxlamaq lazımdır; latest, main-latest və main-stable kimi etiketlər indi təmiz şəkillərə işarə edir, bu da hadisə zamanı çəkilmiş məhsulların təmiz olduğunu sübut etmir. O zaman rəsmi tövsiyə 1.106.2-ni müvəqqəti bağlamaq idi; bu tövsiyə bu hadisəyə əsaslanıb və yerləşdirmə zamanı digər təhlükəsizlik elanları hələ də yoxlanılmalıdır. S41

Əlaqədar məhsulların quraşdırıldığı və ya işə salındığı mühitlər üçün:

Quraşdırma qeydlərini, şəkilləri və qeydləri təcrid edin və qoruyun və onları təmiz mühitdən yoxlayın.
Python/pip-ni əvvəlcə şübhəli mühitdə işə salmayın; zərərli .pth / sitecustomize.py işə salındıqdan sonra yenidən icra oluna bilər.
Etibarlı mənbələrdən hostları, venvləri/konteynerləri yenidən qurun; paketləri sadəcə silə və ya aşağıya endirə bilməz.
Faktiki əlçatanlığa əsaslanan bulud etimadnaməsini, LLM provayder açarlarını, LiteLLM açarlarını və verilənlər bazası etimadnaməsini ləğv edin/döndürün və anormal istifadəni nəzərdən keçirin. S41

Bu, təsdiqlənmiş təchizat zənciri hadisəsidir və bununla məşğul olarkən zərərli kodun icrası, etimadnamə sızması və davamlılıq risklərinin nəzərə alınmasını tələb edir. 23 oktyabr 2026-cı il tarixinə rəsmilər hələ də ilkin müdaxiləni araşdırırdılar.

Əlavə: İstinad edilən mənbələr və keçidlər

Aşağıdakı mənbə yoxlama tarixi 2026-10-23-dir, o cümlədən layihənin rəsmi təhlükəsizlik elanı, rəsmi kod anbarı və satıcının təlimatları. Əsas mətn [Sx] bu əlavəyə uyğundur; yeniləmələri həyata keçirərkən, təchizatçının sonrakı düzəlişləri buraxıb-çıxarmadığını yoxlamaq lazımdır.

S1 — Node.js: 21-10-2026 Təhlükəsizlik Bildirişi

Məqsəd: Filiallara təsir edən dörd iş vaxtı High, Oktyabr təhlükəsizlik buraxılışı.
İstinad: Official Security Bulletin

S2 — Node.js: Üç texniki xidmət xətti üçün rəsmi buraxılış təlimatları

Məqsəd: 22.23.4, 24.22.1, 26.12.1 və faktiki birləşdirilmiş yamaları yoxlayın.
İstinad: Node.js 22.23.4
İstinad: Node.js 24.22.1
İstinad: Node.js 26.12.1

S3 — Vercel: Node.js Brotli RCE təhlükəsizlik məsləhəti

Məqsəd: Gələn/gidən dekodlaşdırma şərtləri, WAF əhatə dairəsi, Node 20 statusu.
İstinad: Node.js security advisory: Brotli decoder RCE

S4 — Node.js: Brotli rəsmi yamaq təqdimi

Məqsəd: Doğma dekodlaşdırmanın yoxlanılması və xətaların yayılması üçün tətbiq əsası.
İstinad: Brotli Patch commit 49dff6f57a

S5 — Node.js: TLS ünvan normallaşdırma yaması

Məqsəd: Tam enli nömrələrin və qeyri-standart IP sertifikatının şəxsiyyətinin yoxlanılması.
İstinad: IP normalization regression Patch
İstinad: rejects the patching of non-standard IP address

S6 — Node.js: DNS NUL doğrulama yaması

Məqsəd: Girişdən imtina və reqressiya əhatəsi.
İstinad: dns.resolve Input verification patch

S7 — Node.js: 29-07-2026 Təhlükəsizlik Bildirişi

Məqsəd: HTTP/2 yaddaş tükənməsi, UAF və icazə modeli zəiflikləri.
İstinad: July 2026 Security Releases

S8 — Next.js: 10-14-2026 təhlükəsizlik yeniləməsi

Məqsəd: Təkmilləşdirmə bazasını və üç əsas riski birləşdirin.
İstinad: Next.js Security Update for Upstream Vulnerabilities

İstinad: S9 — Next.js：typed arrays / use cache RCE

Məqsəd: GHSA-673q-mjm6-r5xr; intervala, vəziyyətə, hesaba və həll statusuna təsir edir.
İstinad: Next.js Official Security Bulletin

İstinad: S10 — React：React Server Components RCE

Məqsəd: GHSA-xqc2-xf4c-x3h3; üç RSC paketinin təsirlənmiş və sabit versiyaları.
İstinad: React Official Security Bulletin

İstinad: S11 — Next.js：SVG Image Optimization RCE

Məqsəd: CVE-2026-96889 / GHSA-2464-fhr4-w9xw; glibc, kəskin və orijinal versiya sərhədləri.
İstinad: SVG Image Optimization Official Security Bulletin

İstinad: S12 — Next.js：Server Actions DoS

Məqsəd: GHSA-p3m5-59mp-jv5r; şərtlərə, versiyalara və reytinqlərə təsir edir.
İstinad: Server Actions DoS Official Security Bulletin

S13 — Next.js: AVIF Şəkil optimallaşdırılması RCE

Məqsəd: 25-08-2026, GHSA-2xp9-vwfh-vxw4.
İstinad: AVIF Official Security Bulletin

İstinad: S14 — Next.js：Windows RCE

Məqsəd: 25-08-2026, CVE-2026-75604/GHSA-p293-qw3h-jr36.
İstinad: Windows RCE Official Security Bulletin

İstinad: S15 — Next.js：next/og ImageResponse RCE

Məqsəd: 2026-09-22, GHSA-vcvr-r3jv-pc5j; Node və Edge arasındakı fərq.
İstinad: ImageResponse Official Security Bulletin
İstinad: September 22 release notes

İstinad: S16 — Oracle: October 2026 CPU

Məqsəd: Java SE risk matrisi, patch miqdarı və tətbiq olunan şərtlər.
İstinad: Oracle Critical Patch Update – October 2026
İstinad: Oracle Java SE CPU Version list

S17 — Oracle: CVE-2026-91403 diapazondan kənar siqnalizasiya

Məqsəd: 21-10-2026, JSSE sertifikatı etibar riski, təsirə məruz qalan məhsullar və CVSS 3.1 9.1.
İstinad: Oracle Security Alert

S18 — Oracle: JDK rəsmi versiyası və yükləyin

Məqsəd: Oktyabrın 20-də CPU ilə 21 oktyabrda lentdən kənar versiyanı fərqləndirin; Java 8 qısa versiyasının məhdudiyyətlərini ayırd edin.
İstinad: JDK release list
İstinad: Oracle Java Download page

S19 — Oracle: eMudhra müvəqqəti geri çəkilmə planı

Məqsəd: Yenilənib 2026-10-22; iki kök sertifikatı, açar alət, xüsusi güvən mağazası və ləğvetmə yoxlanışı.
İstinad: Distrusting eMudhra Intermediate Certificates in Oracle JDK

S20 — Eclipse Adoptium: Quraşdırma rekordunu buraxın

Məqsəd: Temurin sertifikat insidentinə görə yenidən qablaşdırılır; Oracle versiyası şəkilçisi mexaniki olaraq tətbiq edilə bilməz.
İstinad: Adoptium Release Scorecards

S21 — Apache Tomcat 9 Təhlükəsizlik Bildirişi

Məqsəd: 9.0.123 düzəltməsi ilə 9 filiallı dəqiq təsirlənmiş interval.
İstinad: Tomcat 9 vulnerabilities

S22 — Apache Tomcat 10 Təhlükəsizlik Bildirişi

Məqsəd: 10.1 filialının dəqiq intervalı və 10.1.61 təmiri; 10.0 EOL.
İstinad: Tomcat 10 vulnerabilities

S23 — Apache Tomcat 11 Təhlükəsizlik Bildirişi

Məqsəd: Üç maddə Important, 11.0.27, AJP tətbiq olunan əhatə dairəsi və açıqlama/buraxılış tarixi.
İstinad: Tomcat 11 vulnerabilities

S24 — Apache Tomcat: JNDIRealm yamaq icrası

Məqsəd: Sertifikatlaşdırma yoxlama boşluqlarının təmiri üçün formal əsas.
İstinad: JNDIRealm Patch commit

İstinad: S25 — Spring：GraphQL CVE-2026-59285

Məqsəd: 2026-08-20, Tələb olunur, 2.0.5 OSS / 2.0.4.1 Ticarət Təmiri.
İstinad: Spring for GraphQL Unsafe Deserialization

İstinad: S26 — Spring：GraphQL CVE-2026-41699

Məqsəd: Köhnə əsas xəttdə niyə qala bilməyəcəyinizi izah etmək üçün daha əvvəlki düzəliş həddi.
İstinad: 6 Month GraphQL Security Bulletin

İstinad: S27 — Spring Security：CVE-2026-59270

Məqsəd: UnboundID LDAP-ni, məlum idarəetmə şəxsiyyətini daxil edin və OSS/kommersiya versiyasını fərqləndirin.
İstinad: Spring embedded LDAP Security Bulletin

İstinad: S28 — Spring Security：CVE-2026-47841

Məqsəd: WebAuthn istifadəçi identifikasiyası, sessiyanın seriallaşdırılması və hücum əsası.
İstinad: WebAuthn Security Bulletin

S29 — PSF: CVE-2026-19445 Müstəqil Təhlükəsizlik Məsləhəti

Məqsəd: 30-09-2026, Critical, SNI SSLContext tərəfindən istinad edilən şərtlər və müvəqqəti tədbirlər.
İstinad: SSLContext UAF Official announcement

S30 — PSF: CVE-2026-19553 Müstəqil Təhlükəsizlik Məsləhəti

Məqsəd: 30-09-2026, High, çatışmayan host adı və açıq parametr yumşaldılması.
İstinad: wrap_bio Official announcement of hostname verification

S31 — CPython: wrap_bio rəsmi yaması və 3.12 backport

Məqsəd: 3.10—3.12 xəbərdarlıq uyğunluğu siyasəti, None və boş sətir arasındakı fərq.
İstinad: Main Patch PR #158503
İstinad: 3.12 Backfill PR #158513
İstinad: 3.15 Backfill PR #158511

S32 — PSF: CVE-2026-82049 Müstəqil Təhlükəsizlik Məsləhəti

Məqsəd: 2026-09-14, High, keçid birləşməsi, metadata modifikasiyası və məzmunun ifşası.
İstinad: tarfile link bypasses the official announcement

S33 — CPython: Sentyabrın sonu/oktyabrın əvvəlində rəsmi təhlükəsizlik buraxılışı

Məqsəd: Minimum düzəliş versiyası, mənbə kodunun paylanması metodu və tarfile spesifik məsələlər üçün 3.14 azadlığı.
İstinad: Python Cross-branch security release instructions
İstinad: Python 3.11.17
İstinad: Python 3.12.15
İstinad: Python 3.13.16
İstinad: Python 3.14.8

S34 — CPython: 3.10 son təhlükəsiz buraxılış

Məqsəd: 3.10.22 və yuxarı axın həyat dövrünün sonu.
İstinad: Python 3.10.22

S35 — CPython: 2026-10-21 fövqəladə texniki xidmət versiyası

Məqsəd: 3.13.17 / 3.14.9 / 3.15.1, daxili pip və certifi yeniləmələri, mövcud venv tələbləri.
İstinad: Python 3.13.17
İstinad: Python 3.14.9
İstinad: Python 3.15.1

S36 — certifi: emSign sertifikatına inamsızlıq elanı

Məqsəd: 2026-10-20, GHSA-6q48-6c7w-9gw2, Critical, məlum deyil CVE.
İstinad: certifi Official Security Bulletin

S37 — PSF: eMudhra / emSign-nin Python istifadəçilərinə təsiri

Məqsəd: certifi .19 tövsiyəsi, pip/uv baza xətti, SHA-256 ilə etibarlı yükləmə təkmilləşdirmə əmri.
İstinad: PSF Official event and upgrade instructions

S37 tərəfindən istinad edilən rəsmi təlimatlar tərəfindən təmin edilən pip yükləmə təkmilləşdirmə əmri aşağıdakı kimidir. Yalnız etibarlı olduğu təsdiqlənmiş Python mühitlərində istifadə oluna bilər; 9-cu bölmədə zəhərlənmə şübhəsi varsa, əvvəlcə hadisə prosesinə uyğun olaraq təcrid edin və yenidən qurun. O, təkər məzmununun hashini düzəldir və sonradan layihə prosesinə uyğun olaraq digər asılılıqları yeniləyir.

python -m pip install "pip @ https://files.pythonhosted.org/packages/3f/06/3e4420302363fbb71be3c7f35ce042f54bfca330e3e66b3a2e3c4cca579f/pip-26.2.2-py3-none-any.whl#sha256=fd7f4dfa8190e014013b9f08f3e973f4e4c26ffd179a204895533a7254813a70"

S38 — Django: 08-04-2026 təhlükəsiz buraxılış

İstifadə: CVE-2026-15307, GeoDjango İstismar şərtləri, ilkin düzəlişlər və uyğunluq dəyişiklikləri.
İstinad: Django 6.0.8 / 5.2.17

S39 — Django: 2026-10-06 təhlükəsiz buraxılış

Məqsəd: CVE-2026-87890, həndəsə DoS hazırda seçilmiş baza xətti ilə sonrakı möhkəmləndirmə.
İstinad: Django 6.1.2 / 6.0.9 / 5.2.18

S40 — PSF / CPython: Ən son tar_filter yan qeydi

Məqsəd: 22-10-2026, CVE-2026-114583 (Medium); PR birləşməsi rəsmi texniki xidmət versiyasının buraxılması demək deyil.
İstinad: PSF Independent Announcement
İstinad: CPython Patch PR #160098

S41 — LiteLLM: Rəsmi Təchizat Zəncirində Hadisə Hesabatı, 21 oktyabr

Məqsəd: 1.107.0 çirklənmiş məhsul, tarixi həzm, izolyasiyanın yenidən qurulması və etimadnamənin atılması.
İstinad: Contained: LiteLLM v1.107.0 Compromised

S42 — Google Brotli: rəsmi təhlükəsiz versiya

Məqsəd: Müstəqil Brotli 1.0.10 / 1.1.1 / 1.2.1 və dillər arası daxil edilmiş surəti yoxlama əsası.
İstinad: Brotli releases

S43 — səhv: komandanın rəsmi sənədlərindən istifadə edin

Məqsəd: Qlobal konfiqurasiyanın alət versiyasını və əmr semantikasını göstərin.
İstinad: mise use

S44 — PyPA: pip-audit rəsmi layihəsi

Məqsəd: Python Asılılıq zəifliyi auditinin məqsədi və imkan sərhədləri.
İstinad: pip-audit

S45 — Python: tarfile çıxarılması filtri sənədi

Məqsəd: məlumat strategiyası, defolt davranış dəyişiklikləri və qum qutusunu əvəz edə bilməyən məhdudiyyətlər.
İstinad: tarfile extraction filters

S46 — Node.js: Orta CA rədd mexanizmi

Məqsəd: Bu eMudhra ilə əlaqəli güvən zənciri emalı bütün kök sertifikatlarının kriptoqrafik etibarsız sayılmasına ekvivalent deyil.
İstinad: Node.js PR #66871

S47 — CPython: SNI UAF texniki qeydlər və düzəlişlər

Məqsəd: istinad həyat dövrü, xüsusi qurma şərtləri və filialın geri çəkilməsi.
İstinad: official issue #156293
İstinad: official patch PR #158504
İstinad: 3.15 Backfill PR #158514