--- title: "Node.js, Java və Python: son zəifliklər və bərpa təlimatı" description: "Filial üçün xüsusi patch bazaları, məruz qalma şərtləri, müvəqqəti azaldılması və istehsalın yoxlanılması ilə icra müddəti, çərçivə və sertifikat yeniləmələrini nəzərdən keçirin." language: "az" url: "https://keendigit.com/az/insights/node-java-python-security-remediation-guide" author: "KeenDigit" published: "2026-10-23" --- # Node.js, Java və Python: son zəifliklər və bərpa təlimatı Filial üçün xüsusi patch bazaları, məruz qalma şərtləri, müvəqqəti azaldılması və istehsalın yoxlanılması ilə icra müddəti, çərçivə və sertifikat yeniləmələrini nəzərdən keçirin. **23 oktyabr 2026-cı il tarixinə yoxlanılan mənbələr (UTC)** **Əhatə müddəti: 25 iyul-23 oktyabr 2026-cı il, sentyabrdan oktyabr ayına qədər yeni elanlara və sonrakı yamaqlara diqqət yetirilir.** **Audience: Node.js, Java, Python xidmətləri, konteynerlər, boru kəmərləri və inkişaf mühitləri tikən mühəndislər və təhlükəsizlik cavabdehləri.** Bu məqalə Node.js, Java və Python iş vaxtlarında, standart kitabxanalarda və ümumi server çərçivələrində və asılılıqlarında son mühüm təhlükəsizlik risklərini ümumiləşdirir və təsir dairəsi, sabit versiyalar, müvəqqəti azaldılması tədbirləri, yamaq seçimi və yoxlama üsullarını təqdim edir. Təsiri komponent versiyaları, aktivləşdirilmiş xüsusiyyətlər və əlçatan giriş nöqtələri ilə qiymətləndirin. Zəiflik faktları rəsmi məsləhətlərdən gəlir; daha əvvəl yamaq buraxılışı açıq şəkildə qeyd edilmədiyi halda, tarixlər ictimaiyyətə açıqlanmaya istinad edir. Təsdiqlənməmiş istismar şərtləri, CVSS balları və ya təbiətdə istismar barədə nəticə çıxarmırıq. Yerləşdirmə məsləhəti icra təlimatı kimi müəyyən edilir. ## TL;DR: bərpa prioritetləri 1. **Əvvəlcə xidmətə ev sahibliyi edən iş vaxtını yeniləyin.** Müvafiqi yeniləyin Node.js heç olmasa filiala **22.23.4 / 24.22.1 / 26.12.1** . Xidmətlərdən istifadə Node 24 -ə yüksəldə bilər **24.22.1** eyni düzəlişləri ehtiva edir. [S1](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-1) [S2](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-2) 2. **Yeniləyin Node tətbiq asılılıqları ayrıca.** üçün Next.js , istifadə edin **15.5.28 / 16.4.1** təkmilləşdirmə bazası kimi; istifadə edərkən React Server Components müstəqil olaraq, faktiki quraşdırılmışı yoxlayın `react-server-dom-*` paket. Yalnız yenilənir Node binary bu çərçivə zəifliklərini əhatə etmir. [S8](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-8) [S9](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-9) [S10](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-10) [S11](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-11) [S12](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-12) 3. **Java : yeniləmələrin hər iki dövrəsini əhatə edir.** Oktyabrın 20-ni əhatə edən satıcı quruluşunu quraşdırın CPU və 21 oktyabr **CVE-2026-91403** fövqəladə sertifikat-etibar düzəlişi. bölməsinə baxın 2.2 üçün Oracle JDK 11 -27 diapazondan kənar versiyalar; digər paylamaları öz təhlükəsizlik paketləri və tam quruluş nömrələri ilə yoxlayın. Müvafiqi yeniləyin Tomcat filialına **9.0.123 / 10.1.61 / 11.0.27** . [S16](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-16) [S17](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-17) [S18](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-18) [S20](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-20) [S21](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-21) [S22](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-22) [S23](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-23) 4. **Python : tərcüməçini, proqram paketlərini və sertifikat paketlərini ayrıca yeniləyin.** bölməsinə baxın 2.3 tərcüməçinin əsas xətləri üçün; `certifi` tövsiyə edir **≥ 2026.10.19** , `pip` **≥ 26.2.2** , istifadə edərkən `uv` **≥ 0.13.4** . Hər bir mövcud venv yoxlanılmalıdır. üçün `wrap_bio()` əlaqəli kodlar, düzgün və boş olmayan `server_hostname` də keçməlidir. [S29](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-29) [S30](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-30) [S31](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-31) [S33](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-33) [S35](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-35) [S36](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-36) [S37](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-37) 5. **Dərhal təkmilləşdirmə mümkün deyilsə, müvafiq giriş nöqtələrində məruz qalma dərəcəsini azaldın.** Etibarsızlığı dayandırmağa üstünlük verin Brotli deşifrə, təsirə məruz qalmış şəkil/peyjinq/arxivləmə emalı və problemli izolyasiya LDAP və ya autentifikasiya qeydləri; saxlamaq TLS sertifikatlar və host adları təsdiqləndi. Gələn WAF zərərli sıxılmış cavabları çəkən proqramlar kimi gedən yolları əhatə edə bilməz. [S3](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-3) [S11](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-11) [S25](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-25) [S27](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-27) [S30](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-30) [S32](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-32) 6. **Yenidən qurun, köhnə prosesləri dəyişdirin və real xidmət yolları vasitəsilə yoxlayın.** Kilid faylını və təsviri qeyd edin, tətbiqi və təsviri yenidən qurun, bütün işçilər/JVM/konteynerlər üçün əvəzediciləri hazırlayın; faktiki prosesi, asılılıq ağacını, etibar mağazasını və biznes reqressiya testlərini yoxlayın. Təkcə daha yeni bir əmr xətti versiyası düzəlişin tamamlandığını müəyyən etmir. 7. **Əgər LiteLLM 1.107.0 quraşdırılıbsa və ya işə salınıbsa, insident-cavab prosedurlarına əməl edin.** Layihə oktyabrın 21-də buraxılış kompromisini təsdiqləyib. Təsirə məruz qalan mühitləri təcrid edin, təmiz mühitdən araşdırın, məruz qalmış etimadnamələri yenidən qurun və fırladın. Əvvəlcə yoxlamaq üçün şübhəli mühitdə Python/pip-ni işə salmayın. Ətraflı məlumat üçün Bölmə 9-a baxın. [S41](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-41) ## 1. Həssaslığın icmalı və risklərin qiymətləndirilməsi ### 1.1 Həqiqi məruz qalma ilə remediasiyaya üstünlük verin Aşağıdakı yerləşdirmə prioritetləri icra təlimatıdır. Ciddilik etiketləri Apache-nin **Important** reytinqi də daxil olmaqla hər bir satıcını izləyir. CVSS 3.1 və 4.0 fərqli qiymətləndirmə sistemləridir; Məsələləri yalnız xalla sıralamayın. | Ekosistem / qat | Əsas məsələlər | Rəsmi qiymət və ya təsdiqlənmiş xal | Prioritet yerləşdirmə | | --------------------------------- | ------------------------------------------------------------------------------------ | ---------------------------------------- | -------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | Node.js yerli asılılıq | CVE-2026-111497: Brotli həddən kənar yazılıb və RCE riski var | Node：High | Xarici sorğu orqanında və ya xarici cavabda Brotli məlumatını deşifrə edin [S1](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-1)[S3](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-3) | | Node.js TLS / DNS | CVE-2026-105482, 105483, 106069: Ayrışdırma və şəxsiyyət yoxlaması uyğun gəlmir | High | URL tarama, proxy, Webhook, dinamik hədəf ünvanı [S1](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-1)[S5](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-5)[S6](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-6) | | Node.js HTTP/2 | CVE-2026-56846, 56848: Yaddaş tükənib və UAF | High | Node birbaşa etibarsız HTTP/2 [S7](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-7) trafikini idarə edir | | React / Next.js | RSC / `use cache` typed arrays RCE | Critical；CVSS 4.0 9.5 | Server RSC, əlaqəli keş komponentləri və məlumat yolu [S9](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-9)[S10](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-10) | | Next.js Şəkil optimallaşdırılması | CVE-2026-96889: SVG Şəkil emalı RCE | Critical；CVSS 4.0 9.5 | glibc Linux-də etibarsız şəkilləri idarə edə bilən nümunələr [S11](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-11) | | Next.js Server Actions | Xüsusi hazırlanmış sorğu CPU-nin tükənməsinə səbəb olur | High；CVSS 4.0 8.2 | App Router və ən azı bir Server Action [S12](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-12) | | Java TLS Güvən | CVE-2026-91403: Təsirə məruz qalan ara CA-ə etibar etməyə davam edin | CVSS 3.1 9.1 | TLS/API Ssenari [S17](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-17) təsirə məruz qalmış etibar zəncirindən istifadə edir | | Tomcat | JNDIRealm autentifikasiya keçidi, HTTP/2 çarpaz sorğu qarışıqları, AJP cavab sızması | Important | Realm / Connector / async Servlet yoluna uyğundur [S21](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-21)[S22](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-22)[S23](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-23) | | Spring for GraphQL | CVE-2026-59285: Pajinqin seriyadan çıxarılması RCE | High | Jackson 2 + Connection Pajinq + İstismar edilə bilən sinif yolu [S25](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-25) | | Spring Security | CVE-2026-59270: Daxili LDAP məlum idarəetmə identifikasiyası ifşa edilib | Critical | Daxili LDAP aktivləşdirilib və dinləmə portu təcavüzkar üçün əlçatandır [S27](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-27) | | CPython `ssl` | CVE-2026-19445: SNI keçid konteksti UAF ilə nəticələnir | Critical | Python TLS-ni öz-özünə dayandırır və [S29](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-29) kontekstinin həyat dövrü şərtinə cavab verir | | CPython `ssl` | CVE-2026-19553: Host adı çatışmayanda doğrulamanı keçin | High | `wrap_bio()` / Əlaqəli asinsio zəng çatışmır gözlənilən host adı [S30](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-30) | | CPython `tarfile` | CVE-2026-82049: Sərt keçid və simvolik keçid birləşməsindən yan keçid | High | Etibarsız tar arxivini avtomatik çıxarın [S32](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-32) | | Django / GeoDjango | CVE-2026-15307: Məkan sorğu yazma faylı, SSRF, RCE şərti ilə | High | Etibarsız girişi qəbul edən məkan sorğuları və ya əlaqəli idarəetmə interfeysləri [S38](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-38) | | Python sertifikat asılılığı | certifi: emSign ilə əlaqəli sertifikat etibarsızlığı | Critical; GHSA, heç biri məlum deyil CVE | TLS müştəri və paket idarəetmə aləti [S36](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-36)[S37](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-37) hələ də təsirlənmiş CA bundle istifadə edir | İxtisarlar: RCE uzaqdan kodun icrası, UAF pulsuz istifadədən sonra, SSRF isə server tərəfində sorğu saxtakarlığı deməkdir. RCE-nin birbaşa icazələri adətən proqrama ev sahibliyi edən prosesin icazələridir və avtomatik olaraq kök icazələrinə ekvivalent ola bilməz. **Tövsiyə olunan ardıcıllıq:** əvvəlcə xaricdən əlçatan olan və şərtlərə cavab verən RCE-ni idarə edir, autentifikasiyadan yan keçmə, istifadəçilər arası məlumat sızması və sertifikatın autentifikasiyası məsələləri; eyni zamanda, ictimaiyyətə baxan DoS giriş nöqtəsi üçün yeniləmələri planlaşdırın. İstismar qabiliyyətini sübut etmək üçün istehsalda hücum yüklərini işə salmağa ehtiyac yoxdur. Asılılıqlar mövcuddur, kod yolları əldə edilir və hücum şərtləri yerinə yetirilir. Bunlar ayrıca yoxlanılmalı olan üç məsələdir. ### 1.2 Asanlıqla qarışdırılan üç sərhəd - **İcra mühitlərini və asılılıqları ayrıca yeniləyin.** Node, JDK və CPython təhlükəsizlik yeniləmələri ayrıca quraşdırılmış Next.js, Spring, Django, certifi və ya yerli genişləndirmələri avtomatik düzəltmir. - **remediasiya həddi cari yerləşdirmə bazasından ayrıdır.** Avqust ayında zəiflik üçün ilk yamağın sentyabrdan oktyabr ayına kimi yeni məsələləri əhatə edəcəyinə zəmanət verilmir; Bölmə 2 həyata keçirmə hədəfi kimi təsdiqlənmiş sonrakı yeniləmələrdən istifadə edir. - **Zəifliyi faktiki təchizat zənciri kompromisindən ayırın.** Ümumi zəifliklər üçün yamaqlar gələcək hücum yollarını aradan qaldırır; zərərli paketlər işə salındıqda, etimadnamələrin və davamlılığın təsiri araşdırılmalıdır. 9-cu bölmənin LiteLLM rəsmi olaraq təsdiqlənmiş hadisədir. [S41](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-41) Təbiətdə təsdiqlənmiş istismarın olub-olmaması rəsmi açıqlamalara əsaslanmalıdır. Satıcı istismar fəaliyyətlərini qeyd etməyib və heç bir hücumun olmadığını sübut edə bilməz; remediasiya faktiki hücum səthinə əsasən aparılmalıdır. ## 2. Sabit versiyanın və yerləşdirmə bazasının sürətli yoxlanılması ### İstinad: 2.1 Node.js、React、Next.js | komponent/filial | Tövsiyə olunan versiya bazası | İstifadəyə dair göstərişlər | | ---------------------------------------------- | -------------------------------------- | ---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | Node.js 22.x | **22.23.4** | Oktyabrın 21-də təhlükəsizlik buraxılışı [S1](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-1)[S2](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-2) | | Node.js 24.x | **24.22.1** | 24.x filialına aiddir; 24.22.0 21 oktyabr təhlükəsizlik yamasını ehtiva etmir [S1](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-1)[S2](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-2) | | Node.js 26.x | **26.12.1** | Eyni topluda təhlükəsizlik buraxılışı [S1](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-1)[S2](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-2) | | Node.js 20 və əvvəlki yuxarı axın filialları | Dəstəklənən filiala köçürün | Node 20 bu upstream düzəlişini qəbul etmir; təchizatçının genişləndirilmiş dəstəyi [S3](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-3) ayrıca yoxlanılmalıdır | | Next.js 15.x | **15.5.28** | 14 oktyabr [S8](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-8) tarixində yeniləndi | | Next.js 16.x | **16.4.1** | Yuxarıdakı [S8](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-8) ilə eynidir | | Müstəqil RSC 19.0 / 19.1 / 19.2 / 19.3 filialı | **19.0.9 / 19.1.10 / 19.2.9 / 19.3.1** | Üç `react-server-dom-*` paketini ayrıca yoxlayın; yalnız üst təbəqəyə baxmayın `react` [S10](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-10) | | Next əslində `sharp` yüklədi | **≥0.35.5** | SVG zəifliyi üçün rəsmi müvəqqəti düzəliş şərtləri; digər Next.js yamaqlarını əvəz etmir [S11](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-11) | Node rəsmi olaraq oktyabr ayı zəifliyi üçün təsirə məruz qalmış texniki xidmət sahələrini sadalayır, lakin ilkin təqdim edilmiş yamaq versiyasını maddə üzrə təqdim etmir, ona görə də hər bir zəifliyin dəqiq başlanğıc versiyasını təkcə texniki xidmət bölməsi diapazonuna əsasən müəyyən etmək mümkün deyil. Yerləşdirərkən, eyni filialın yuxarıdakı versiyasından və ya eyni düzəlişləri ehtiva etdiyi təsdiqlənmiş sonrakı versiyadan istifadə etməyə üstünlük verin. ### 2.2 Java: Oktyabr CPU plus diapazondan kənar sertifikat yeniləməsi Bu cədvəl **Oracle JDK**-ə aiddir. İkinci sütun yalnız 20 oktyabr CPU-ni əhatə edir; üçüncü, 21 oktyabrda qrupdan kənar buraxılış daxildir. Təkcə CPU versiyaları burada müzakirə olunan bütün Java risklərini əhatə etmir. [S16](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-16)[S17](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-17)[S18](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-18) | filialı | 20 oktyabr CPU | Oracle 21 oktyabrda qrupdan çıxdı | | ------- | -------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | 11 | 11.0.33 | **11.0.33.0.2** | | 17 | 17.0.21 | **17.0.21.0.2** | | 21 | 21.0.13 | **21.0.13.0.2** | | 25 | 25.0.5 | **25.0.5.0.2** | | 27 | 27.0.1 | **27.0.1.0.2** | | 8 | 8u511 | İctimai buraxılış cədvəlində hələ də **8u511** göstərilir; xüsusi təhlükəsizlik quruluşu və etibar zəncirinin təmiri yoxlanılmalıdır və yalnız qısa versiya nömrəsinə əsasən müəyyən edilə bilməz | \*\*Java 8 tam qurulma məlumatı ilə yoxlanılmalıdır:\*\*Oracle Xəbərdarlıq təsirə məruz qalmış versiya kimi 8u511-i, buraxılış siyahısı isə eyni qısa adla sonrakı yeniləmələri sadalayır. Yamaq statusu yalnız "8u511" qısa versiya nömrəsinə əsasən fərqləndirilə bilməz. Siz xüsusi təhlükəsizlik quruluşunu və etibar zənciri düzəlişlərini təsdiqləməlisiniz. [S17](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-17)[S18](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-18) **Temurin , Corretto , Zulu , Microsoft Build of OpenJDK , buraxılış versiyası OpenJDK və s., onların müvafiq elanlarına və tam paket/quraşdırma nömrələrinə uyğun olaraq yoxlayın.** Adoptium eMudhra düzəltmək; yuxarı versiyanın eyni adı paket məzmununun eyni olması demək deyil. The `.0.2` üçün şəkilçi qaydaları Oracle digər nəşriyyatlara mexaniki şəkildə tətbiq edilə bilməz. [S20](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-20) | Java proqram komponentləri | Tövsiyə olunan versiya bazası | Qeydlər | | ------------------------------------- | ------------------------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------ | | Tomcat 9 / 10.1 / 11 | **9.0.123 / 10.1.61 / 11.0.27** | Filial üzrə yoxlama; Tomcat 10.0 texniki xidməti dayandırdı [S21](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-21)[S22](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-22)[S23](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-23) | | Spring for GraphQL 2.0.x | **2.0.5（OSS）** | Kommersiya dəstəyi də 2.0.4.1 [S25](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-25) | | Spring Security 7.1 / 7.0 | **7.1.1 / 7.0.7（OSS）** | Avqust ayında elan edilmiş minimum düzəliş versiyasına uyğundur; yerləşdirmədən əvvəl növbəti təhlükəsizlik bülletenini [S27](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-27)[S28](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-28) yoxlamalısınız | | Spring Security 6.5 / 6.4 / 5.8 / 5.7 | **6.5.12 / 6.4.19 / 5.8.28 / 5.7.26** | Elan kommersiya dəstəyi kimi verilmişdir; miqrasiya müvafiq dəstək olmadıqda qiymətləndirilir və Maven Central-nin pulsuz [S27](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-27) üçün mövcud olduğunu güman etmək olmaz. | Spring təkmilləşdirmələri layihənin Spring Boot BOM, Java minimum versiyasına və uyğunluq xətlərinə uyğun olmalıdır. Yalnız bir yamaq əldə etmək üçün bütün Spring modullarını eyni nömrəyə birbaşa məcbur etməyin. ### 2.3 CPython, Django və sertifikat asılılıqları Aşağıdakı cədvəlin ikinci sütunu sentyabr ayında açıqlanan TLS məsələsinə diqqət yetirir; `tarfile` üçün filial fərqləri 5.3. bölməsində göstərilir 21 Oktyabr buraxılışları həmçinin paketlənmiş sertifikat alətlərini yenilədi, ona görə də sonuncu sütuna həmin sonrakı yerləşdirmənin əsas göstəriciləri daxildir. [S29](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-29)[S30](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-30)[S33](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-33)[S35](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-35) | CPython filialı | Sentyabr təhlükəsizlik toplu versiyası | Tövsiyə olunan yerləşdirmə bazası | | --------------- | ----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | --------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | 3.10 | 3.10.22 | Yuxarı axından son buraxılış, EOL; miqrasiyanı təşkil edin və ya buraxılış genişləndirilməsi dəstəyi [S34](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-34)-ni yoxlayın | | 3.11 | **3.11.17** | 3.11.17 və hər bir mühitdə fərdi olaraq pip/certifi-ni yeniləyin | | 3.12 | **3.12.15** | 3.12.15 və hər bir mühitdə fərdi olaraq pip/certifi-ni yeniləyin | | 3.13 | 3.13.16 | **3.13.17** | | 3.14 | 3.14.8 | **3.14.9** | | 3.15 | Son 3.15.0 buraxılışına hər iki TLS düzəlişləri daxildir [S31](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-31)[S47](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-47) | **3.15.1** | 3.11 və 3.12-in yuxarı təhlükəsizlik versiyaları yalnız mənbə kodunda buraxıla bilər; əməliyyat sistemi paketindən istifadə edərkən, satıcının backport məsləhətini və paketin tam versiyasını yoxlayın və Python sistemini özü tərtib edilmiş versiya ilə məcburi əvəz etmək tələbi yoxdur. [S33](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-33)[S34](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-34) | müstəqil asılılıq | Tövsiyə olunan versiya bazası | Təsvir | | ----------------------- | ----------------------------- | -------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | Django 5.2 / 6.0 / 6.1 | **5.2.18 / 6.0.9 / 6.1.2** | 6 oktyabrda [S38](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-38)[S39](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-39) sonrakı düzəlişi daxil edin | | certifi | **≥2026.10.19** | GHSA ilkin yamaq .18; PSF təsirsiz sertifikatlar üçün uyğunluğu qorumaq üçün .19-u tövsiyə edir [S36](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-36)[S37](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-37) | | pip | **≥26.2.2** | certifi-nin daxili nüsxəsi ayrıca yenilənməlidir [S35](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-35)[S37](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-37) | | uv (istifadə edildikdə) | **≥0.13.4** | Faktiki quraşdırma metoduna uyğun olaraq [S37](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-37)-ni yeniləyin | **Bu ilkin göstəricilər sadalanan düzəlişləri əhatə edir.** `tar_filter`-də digər orta ciddi problem oktyabrın 22-də açıqlanıb. 23 oktyabr 2026-cı il tarixinə bu düzəlişi ehtiva edən rəsmi texniki xidmət versiyası hələ təsdiqlənməyib; buna görə də 3.13.17 / 3.14.9 / 3.15.1 bütün tarfile məsələlərini əhatə etmiş hesab edilə bilməz. 5.4. [S40](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-40) Bölməsinə baxın ### 2.4 Dağıtım arxa portlarının yoxlanması Ubuntu, Debian, RHEL və digər proqram paketlərinə tətbiq olunan icra prinsipləri: 1. Əməliyyat sisteminin versiyasını, depo mənbəyini, tam paket versiyasını və satıcının təhlükəsizlik bülleteni nömrəsini qeyd edin. 2. Məsləhətçinin xüsusi CVE-ni əhatə etdiyini və müvafiq paylama buraxılışı üçün sabit paketi müəyyən etdiyini təsdiq edin. 3. Yalnız yuxarıdakı qısa versiya ilə deyil, faktiki işləyən proses tərəfindən yüklənmiş binarları/kitabxanaları müqayisə edin. 4. Satıcı yamasına dair heç bir sübut olmadıqda, onu "təsdiqlənmək üçün" buraxın və versiya nömrəsinin köhnə və ya yeni göründüyünə dair yeganə nəticə kimi qəbul etməyin. apt/RPM paket versiyalarında və müxtəlif paylamaların arxa plan strategiyalarında fərqlər var. Hər bir paylamanın təhlükəsizlik bülleteni və tam paket versiyası üstünlük təşkil etməlidir. ## 3. Node.js / JavaScript ekosistemi: Səbəblərin Təhlili və aradan qaldırılması ### 3.1 CVE-2026-111497: Brotli yerli dekoder hüduddan kənar yazır **Açıqlama: 21-10-2026; Node rəsmi dərəcəsi: High.** Node 22.x, 24.x, 26.x-in təsirlənmiş quruluşları 2.1 yamaq hissəsinin quraşdırılmasını tələb edir. Node Elanda rəqəmsal CVSS balı göstərilmir. [S1](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-1) Problem, düzgün olmayan Brotli sıxılmış axınla işləyərkən yerli dekodlaşdırma məntiqində baş verir ki, bu da hüdudlardan kənar yazılara səbəb ola bilər. Vercel-nin rəsmi təsviri tədqiqat nümayişinin proses yaddaşının sızması və əmrlərin icrasını əhatə etdiyini təsdiqləyir. Təcavüzkarın dekoderə çata bilib-bilməməsi proqramın və ya asılılığın həqiqətən idarə etdiyi məlumatları deşifrə etməsindən asılıdır. [S3](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-3) Hər iki istiqamət eyni vaxtda yoxlanılmalıdır: - **inbound: The** çərçivə və ya ara proqram istifadəçi tərəfindən təqdim edilən Brotli sorğu orqanını avtomatik olaraq açar. - \*\*outbound:\*\*HTTP Müştərilər, şəkil ələ keçirənlər və s. təcavüzkar tərəfindən idarə olunan mənbələrə daxil olur və avtomatik olaraq geri qaytarılan məzmunu açın. Brauzerlərə göndərilən cavabların Brotli sıxılmasını deaktiv etmək dekodlaşdırma giriş nöqtəsini silmir. Daxil olan WAF mühafizəsi həmçinin xarici cavabları əldə edən və deşifrə edən proqramları əhatə etmir. [S3](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-3) \*\*Patch istiqaməti:\*\*Node Brotli yuxarı axın düzəlişini yerli asılılığa köçürün və qeyri-qanuni deşifrə statusunun yoxlanılması və xətaların yayılmasını əlavə edin. Öz-özünə tərtib edilmiş versiyanı saxlayarkən, rəsmi təhlükəsizlik buraxılışından və ya uyğun filialın tam yamasından istifadə etməlisiniz. Siz sadəcə JavaScript paketinin versiya bəyanatını dəyişə bilməzsiniz. [S4](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-4) **Müvəqqəti icra təklifləri:** lazımsız etibarsız Brotli kodlaşdırmasını dayandırın; ara proqramın və HTTP müştərisinin avtomatik dekompressiya davranışını yoxlamaq; biznes bu formatı qəbul etməlidirsə, mümkün qədər tez yamaqlanmış mühitdə emalını tamamlayın. `Accept-Encoding`-nin tənzimlənməsi sadəcə danışıqlar aktıdır və təkbaşına zərərli cavabın bloklandığının sübutu kimi durmamalıdır. ### 3.2 TLS / DNS üç High: Doğrulama obyekti faktiki hədəflə uyğun gəlmir Hər üçü oktyabrın 21-də açıqlandı, rəsmi təkmilləşdirmə həddi 2.1. [S1](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-1) Bölməsində qeyd edildi | İdentifikator | Məsələ təsdiqləndi | Təsirə məruz qalan filiallar | | --------------- | ------------------------------------------------------------------------------------------ | ---------------------------- | | CVE-2026-105482 | `dns.resolve` NUL ehtiva edən adların kəsilməsi | 22.x / 24.x / 26.x | | CVE-2026-105483 | Tam enli rəqəmli formada IP sertifikat host adının yoxlanılmasından yan keçməyə səbəb olur | 24.x / 26.x | | CVE-2026-106069 | IP kimi sərbəst şəkildə şərh edilə bilən host adı TLS yoxlama yan keçməsi ilə nəticələnir | 22.x / 24.x / 26.x | DNS Problemin mahiyyəti ondan ibarətdir ki, yuxarı təbəqə tərəfindən yoxlanılan sətir əslində aşağı təbəqə tərəfindən təhlil edilən addan fərqlidir. Rəsmi yamaq təhlil girişində NUL-ni rədd edir və reqressiya əhatəsini əlavə edir. [S6](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-6) TLS İki elementə adın normallaşdırılması, IP şərhinin ardıcıllığı və sertifikat uyğunluğu daxildir. Faktiki IP son nöqtəsini sertifikat domeni identifikasiyası ilə qarışdırmamaq üçün qeyri-standart IP daxiletməsinin rədd edilməsi və ya düzgün idarə olunması üçün yamaq edin. [S5](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-5) **:** üçün aktual problemlərin aradan qaldırılması təklifləri qəbul edən istifadəçinin kodunun URL, dinamik proksi hədəfi və ya Webhook ünvanının yoxlanılmasına üstünlük verir; vahid standartlaşdırma və siyahı mühakiməsinə icazə verir, NUL/nəzarət simvollarını rədd edir, qanuni IPv4, IPv6 və beynəlxalqləşdirilmiş domen adlarını təsdiqləyir. SSRF-nin daha da formalaşdırılıb-formalaşdırıla bilməməsi birbaşa CVE adından çıxarıla bilməyən əlaqə sübutunun tətbiqini tələb edir. Təkmilləşdirmədən sonrakı yoxlama səhvlərini aradan qaldırmaq üçün `NODE_TLS_REJECT_UNAUTHORIZED=0` və ya `rejectUnauthorized: false` istifadə etməyin. Ünvan, sertifikat və biznes konfiqurasiyası düzəldilməlidir. ### 3.3 İyul HTTP/2 High-risk və icazə modeli problemləri İyulda açıqlanan aşağıdakı məsələlər hələ də istintaqa daxil edilməlidir. Yerləşdirərkən birbaşa 2.1 Bölməsində oktyabr təhlükəsizlik versiyasının əsas xəttindən istifadə etmək tövsiyə olunur. [S7](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-7) | CVE | Səbəblər və təsirlər | İlk sabit versiya | | -------------- | -------------------------------------------------------------------------------------------------------------------------------- | ---------------------------------------------- | | CVE-2026-56846 | Saxlanılan HTTP/2 header bloku `maxSessionMemory` büdcəsinə düzgün daxil edilməyib və yaddaşı tükəndirə bilər; Təsir 22.x / 24.x | 22.23.2 / 24.18.1 | | CVE-2026-56848 | HTTP/2 paket toplama zamanı göndərmə yoluna yenidən daxil olur və UAF yığınına səbəb olur; təsir 22.x / 24.x / 26.x | 22.23.2 / 24.18.1 / 26.5.1 | | CVE-2026-58043 | `--permission` Yol prefiks sərhədi uyğunluğu çox genişdir və icazə verilən siyahıdan kənar fayllara daxil olmaq olar. | Yuxarıdakı üç texniki xidmət xətti ilə eynidir | Hər üçü rəsmi olaraq High-dir. İlk iki bənd HTTP/2-nin Node özü tərəfindən emal edilib-edilmədiyini yoxlamağa üstünlük verir; üçüncü bənd yalnız icazə modelindən istifadə edərkən və bu sərhədə əsaslandıqda müvafiq məna daşıyır. İcazə modeli elementlərinin hamısı autentifikasiya tələb etməyən RCE şəbəkəsi kimi təsvir edilə bilməz. [S7](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-7) HTTP/2-nin ayrıca, yenilənmiş proxy-də müvəqqəti dayandırılması və arxa uç mənbələrinin məhdudlaşdırılması məruz qalmağı azaltmaq üçün yerləşdirmə seçimidir; resurs kvotaları yalnız resurs tükənməsinin nəticələrinə nəzarət edə bilər və UAF-ni yamaq edə bilməz. ### 3.4 Oktyabr React / Next.js: iki element RCE və bir maddə DoS #### A. RCE RSC / `use cache` funksiyaları tipli massivləri qaytarır **İctimaiyyət tarixi: 2026-10-14; Critical, CVSS 4.0 9.5.** Rəsmi məsləhət identifikatorları: - React：**GHSA-xqc2-xf4c-x3h3**。 - Next.js：**GHSA-673q-mjm6-r5xr**。[S9](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-9)[S10](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-10) The React upstream problemi hücumçu tərəfindən idarə olunan dəyərlərlə birləşdirilmiş çoxsaylı tipli massivləri əhatə edir RSC cavab. Üç təsirləndi `react-server-dom-*` paket versiyalarıdır **19.0.0 — 19.0.8 , 19.1.0 — 19.1.9 , 19.2.0 — 19.2.8 , 19.3.0** ; bölməsinə baxın 2.1. Təmiz brauzer tərəfi React , və ya dəstəkləyən çərçivələr/plug-inlərdən istifadə etməyən proqramlar RSC ümumiyyətlə, bu maddənin əhatə dairəsinə düşməyin. [S10](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-10) Next.js aşağı axın elan siyahıları **16.0.0 — 16.4.0** , ildə yenidən işlənmişdir **16.4.1** ; ssenari belədir App Router , Cache Components , və `use cache` çox tipli massivləri qaytaran funksiyalar. Rəsmi etibarlı ümumi həll yolu yoxdur və təsirlənmiş versiyaların istifadəçiləri vaxtında təkmilləşdirmələri tələb olunur. Emal prosesini bitirmək üçün sadəcə olaraq "bu funksiya mövcud deyil" kimi əl axtarışlarına etibar etmək uyğun deyil. [S9](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-9) #### İstinad: B. SVG Image Optimization RCE **CVE-2026-96889/GHSA-2464-fhr4-w9xw, 2026-10-14, Critical, CVSS 4.0 9.5.** problemi təsvirin optimallaşdırılması üçün istifadə olunan yuxarı axın yerli kitabxanasında baş verir. Rəsmilər RCE riskinin **glibc Linux** ssenarisində mövcud olduğunu qeyd etdilər. [S11](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-11) Rəsmi versiya sahələri bunlardır: - `>=10.0.0 <=15.5.27`； - `>16.0.0 <=16.4.0`。 Rəsmi şəxs 16.x filialı üçün ciddi aşağı `>16.0.0` sərhədindən istifadə edir, lakin bu diapazon bəyanatı 16.0.0-nin təhlükəsiz olduğunu sübut etmək üçün kifayət deyil. Faktiki təkmilləşdirmə hədəfi vahid **15.5.28 / 16.4.1**-dir. [S11](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-11) Rəsmi müvəqqəti həll **Next-nin həqiqətən kəskin ≥0.35.5** yüklənməsini təmin etməkdir. Kilid faylları, iç-içə asılılıqlar və yerləşdirmə şəkilləri hələ də köhnə nümunələri saxlaya bilər, ona görə də `sharp` asılılığının yeni versiyasını yuxarı səviyyədə əlavə etmək kifayət deyil, son asılılıq ağacı yoxlanılmalı və yenidən qurulmalıdır. [S11](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-11) #### C. Server Actions CPU tükəndi **GHSA-p3m5-59mp-jv5r , 2026-10-14, High , CVSS 4.0 8.2 .** Next təsir edir **13.0.0 — 15.5.27 , 16.0.0 — 16.4.0** , düzəlişlər **15.5.28 / 16.4.1** . Şərtlər var App Router və ən azı bir Server Action ; zərərli istəkləri saxlaya bilir CPU uzun müddət işğal altında, eyni prosesdə sonrakı istəkləri bloklayır. ilə tətbiqlər Pages Router ya da onsuz Server Actions bundan təsirlənmirlər. [S12](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-12) Təkmilləşdirməni əvəz edə biləcək heç bir rəsmi həll yolu yoxdur. Məzənnə limitləri, paralellik limitləri və resurs kvotaları zərəri azalda bilər, lakin yamaqların yoxlanılması üçün nəticə kimi istifadə edilə bilməz. ### 3.5 Əvvəllər Next.js eyni pəncərədə Ciddi problem Aşağıdakı elementlər hələ də avqust-sentyabrdan əvvəlki versiyalarda ilişib qalan çatışmayan yerləşdirmələrin qarşısını almaq üçün nəzərdə tutulub; indi cədvəldəki köhnə düzəltmə hədlərinə keçmək tövsiyə edilmir. | Tarix | İdentifikator / ssenari | İlk düzəliş; cari fəaliyyət | | ---------- | ---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | ---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | 2026-08-25 | GHSA-2xp9-vwfh-vxw4: AVIF təsvirin optimallaşdırılması üçün yerli kitabxana RCE, Critical | 15.5.24 / 16.3.3; indi 15.5.28 / 16.4.1 [S13](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-13) | | 2026-08-25 | CVE-2026-75604: RCE, Critical, Pages Router və App Router eyni vaxtda Windows-də istifadə edildikdə və Cache Components aktiv deyil; `>=13.4.0 <15.5.24`, `>=16.0.0 <16.3.3` versiyaları | 15.5.24 / 16.3.3; Linux/macOS bu xüsusi Windows problemindən təsirlənmir [S14](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-14) | | 2026-09-22 | GHSA-vcvr-r3jv-pc5j: `next/og`-də Node təsvir yaratma yolu etibarsız SVG, Critical-ni emal edir; 16.2.0—16.3.5 | 16.3.6; Edge tətbiqi bu məsələnin əhatə dairəsindən kənardadır və 15.x bu RCE [S15](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-15) üçün təsirlənmiş filial deyil | ## 4. Java ekosistemi: İş vaxtı etibarı, konteynerlər və çərçivələr ayrıca idarə olunur ### 4.1 JDK: Daimi CPU və CVE-2026-91403 iki səviyyəli yeniləmələrdir The Java SE üçün risk matrisi Oracle CPU 20 oktyabr siyahıları **55 yeni təhlükəsizlik yaması, onlardan 49-u identifikasiya olmadan şəbəkə üzərindən istismar edilə bilən kimi qeyd olunur** . Bu o demək deyil ki, 55 var Critical , nə də birbaşa istismar edilə bilən 49 olduğunu ifadə etmir RCE hər biri üçün yollar Java veb xidməti; matrisdə komponentlər, API-lər, istifadəçi qarşılıqlı əlaqələri və yerləşdirmə şərtləri ilə birlikdə başa düşülməlidir. [S16](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-16) Növbəti günün **CVE-2026-91403 (CVSS 3.1 9.1)** başqa bir risk növü ilə məşğul olur: artıq etibar olunmayan eMudhra hadisəsi ilə əlaqəli aralıq CA dəsti. O, TLS həmyaşıdlarının identifikasiyasına və kommunikasiyanın məxfiliyinə/bütövlüyünə təsir edir və JVM yaddaşının zədələnməsi zəifliyi kimi təsvir edilə bilməz. [S17](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-17) Oracle məsləhətində oktyabrın 20-də buraxılmış versiyanın təsirə məruz qaldığı göstərilir, ona görə də oktyabrın 21-də lentdən kənar yeniləmə də quraşdırılmalıdır. Xüsusi versiya üçün 2.2 bölməsinə baxın. GraalVM də müvafiq təsirə məruz qalan məhsullara malikdir və sabit versiya onun eksklüziv təhlükəsizlik bülleteninə tabe olmalıdır. [S17](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-17)[S18](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-18) **Müvəqqəti rəsmi tədbirlər:** Əvvəlcə ehtiyat nüsxəsini çıxarın və sonra hər bir faktiki istifadə edilən etibarlı mağazadan göstərilən kök sertifikatı silin: - `emSign ECC Root CA - G3`, Oracle ləqəbi `emsigneccrootcag3 [jdk]`. - `AAA Certificate Services`, Oracle ləqəbi `comodoaaaca [jdk]`. [S19](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-19) JDK 11 və daha sonra, rəsmi nümunə: ```bash keytool -delete -cacerts -alias "emsigneccrootcag3 [jdk]" keytool -delete -cacerts -alias "comodoaaaca [jdk]" ``` Bu əmrlər üçün JDK**hədəfindən**keytool istifadə edin və onların tətbiqin faktiki etibar anbarında işlədiyini təsdiqləyin. Java 8 `jre/lib/security/cacerts`-ə uyğun olan yoldan istifadə edir; Etibarlı mağazanın fərdiləşdirilməsi ayrıca idarə edilməlidir və digər nəşriyyatların fərqli ləqəbləri ola bilər. Kök sertifikatın silinməsi imtinanın əhatə dairəsini genişləndirəcək və qanuni xidmət sertifikatı zəncirlərini reqressiya testindən keçirəcək. [S19](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-19) Rəsmi şəxs həmçinin ləğvetmənin yoxlanılmasını aktivləşdirmək seçimini təqdim edir, lakin təsir faktiki TLS tətbiqindən, ləğvetmə xidmətinin əlçatanlığından və uğursuzluq strategiyasından asılıdır. Ümumi yerləşdirmələr üçün, bütün TLS kitabxanalarının düzəldildiyini sübut edən iki JVM açarını nəzərdən keçirməmək üçün tam təchizatçı yeniləmələrinin quraşdırılmasına üstünlük verin. ### 4.2 Tomcat: Autentifikasiyadan yan keçmə və istifadəçi arası sorğu izolyasiyası Aşağıdakı üç maddə **2026-10-20** saytında dərc edilmişdir; təmir edilmiş versiya girişinin tarixi **Oktyabr 12**. Apache rəsmi qiyməti **Important**-dir. [S21](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-21)[S22](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-22)[S23](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-23) | CVE | Təsdiqlənmiş təsirlənmiş versiyalar | Lazımi ssenarilər/nəticələr | | --------------- | ---------------------------------------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------ | | CVE-2026-101296 | 9.0.0.M1—9.0.122；10.1.0-M1—10.1.60；11.0.0-M1—11.0.26 | JNDIRealm GSSAPI olmayan SASL autentifikasiya mexanizmini konfiqurasiya edir, etimadnamə yoxlanışı yoxdur və yanlış parollar da keçə bilər | | CVE-2026-101356 | 9.0.118—9.0.122；10.1.55—10.1.60；11.0.22—11.0.26 | HTTP/2-nin asinxron Servlet xətası ilə düzgün işləməməsi obyektləri təkrar emal edir/təkrar istifadə edir, bu da istifadəçilər arasında sorğuların və ya cavabların qarışdırılmasına səbəb olur. | | CVE-2026-103119 | Yalnız təsdiq edin **11.0.0-M25—11.0.26** | Böyük AJP bloklanmayan yazılar buferin az oxunmasına səbəb ola bilər və sonrakı sorğularda əvvəlki cavab məlumatlarını ifşa edə bilər. | Müvafiq düzəliş **9.0.123 / 10.1.61 / 11.0.27**; AJP elana görə yalnız Tomcat 11 kimi qeyd olunub və eyni problemi olan üç filiala genişləndirilə bilməz. [S21](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-21)[S22](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-22)[S23](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-23) JNDIRealm yaması faktiki autentifikasiya prosesində yoxlama boşluğunu düzəldir, burada "tətbiqə giriş interfeysi normal görünür" yoxlama əvəzinə istifadə edilə bilməz. Realm, SASL mexanizmləri xidmətin faktiki konfiqurasiyası üçün yoxlanılmalı və səhv parollar üçün testlər uğursuz olmalıdır. [S24](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-24) **Müvəqqəti icra təklifləri:** təsirə məruz qalan autentifikasiya yolunu təcrid edin; biznes icazəsi olduqda Tomcat-nin HTTP/2 emalını dayandırmaq; yararsız AJP bağlayın. Yalnız AJP portuna birbaşa girişin məhdudlaşdırılması qanuni ön proksi vasitəsilə daxil olan trafikə təsir etməyəcəyini sübut edə bilməz. Rəsmi yeniləmədən sonra iki müstəqil istifadəçinin asinxron paralel sorğuları identifikasiyalar və cavablar arasında qarşılıqlı əlaqənin olmadığını təsdiqləmək üçün sınaqdan keçirilməlidir. ### İstinad: 4.3 Spring for GraphQL：CVE-2026-59285 **İctimaiyyət tarixi: 20-08-2026; High.** təsirə məruz qalıb **2.0.0—2.0.4**, təmir **2.0.5 (OSS)** və ya **2.0.4.1 (kommersiya dəstəyi)**. [S25](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-25) Bu, peyqinq sorğularında təhlükəli sıradan çıxarma riskidir. Rəsmi tələb odur ki, eyni zamanda aşağıdakı şərtlər yerinə yetirilməlidir: 1. Spring for GraphQL istifadə edin. 2. Jackson 2.x istifadə edərək JSON seriyasını ləğv edin. 3. Xarici dünyaya Əlaqə səhifəsi sahəsini təmin edin. 4. Sinif yolu nümunələşdirmə və ya sıradan çıxarma zamanı gözlənilməz məntiqi yerinə yetirə bilən xüsusi sinifləri ehtiva edir. Zərərli GraphQL sorğusu şərtlər yerinə yetirildikdə RCE-yə səbəb ola bilər. Onu "Ceksondan istifadə edən bütün Java proqramları istismar edilə bilər" səviyyəsinə endirmək olmaz. [S25](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-25) **Niyə 2.0.4 kifayət deyil:** İyun ayında, CVE-2026-41699 kimi yamaq əsasları vermişdi 2.0.4 , və avqust ayında elan açıq şəkildə daxil edildi 2.0.4 yeni təsir dairəsinə daxil olur. Buna görə də, təmir qeydi sonrakı elanlara və köhnənin minimum versiyasına uyğun olaraq yenilənməlidir. CVE istifadə edilə bilməz. [S26](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-26) Təkmilləşdirmə müvəqqəti olaraq mümkün olmadıqda, etibarsız zəng edənlər üçün əlçatan olan təsirlənmiş səhifələşdirmə sahələri dayandırıla bilər; sıradan çıxarıla bilən növlərin və sinif yollarının daraldılması dərin bir tədbirdir. Reqressiyalar hüquqi kursorları, səhifələnmiş nəticələr və istisna daxiletmə rəddlərini əhatə etməli və son tətbiq JAR daxilində faktiki komponent versiyalarını yoxlamalıdır. ### 4.4 Spring Security: CVE-2026-59270 və əlaqəli autentifikasiya riskləri **CVE-2026-59270, 2026-08-20, Critical.** daxil edilmiş `UnboundIdContainer` defolt olaraq məlum administrator etimadnaməsini qeyd edir və bütün şəbəkə interfeyslərində dinləyir. Komponent işə salındıqda və port əlçatan olduqda, təcavüzkar kataloq məlumatlarını oxuya və ya dəyişdirə bilər; ümumiyyətlə Spring Security-ni təqdim edən layihələr avtomatik olaraq LDAP-ni ifşa etməyəcək. [S27](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-27) Təsirə məruz qalan ərazi: | filialı | təsirlənmiş | İlk düzəltmə/alınma kanalı | | --------- | ------------------------- | -------------------------------------- | | 7.1 | 7.1.0 | 7.1.1 OSS; həmçinin kommersiya 7.1.0.1 | | 7.0 | 7.0.0—7.0.6 | 7.0.7 OSS; həmçinin kommersiya 7.0.6.1 | | 6.5 / 6.4 | 6.5.0—6.5.11；6.4.0—6.4.18 | 6.5.12/6.4.19, kommersiya | | 5.8 / 5.7 | 5.8.0—5.8.27；5.7.0—5.7.25 | 5.8.28/5.7.26, kommersiya | Mənbə: [S27](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-27). `spring.ldap.embedded.*` avtomatik konfiqurasiya və birbaşa instantasiya kodu ilə bağlı problemləri həll edin; istehsal üçün lazım olmadıqda komponenti bağlayın və faktiki dinləmə ünvanını yoxlayın. Biznesə həqiqətən ehtiyac olduqda, əvvəlcə zəng mənbələrini məhdudlaşdırın və sonra komponent yeniləməsini tamamlayın. **Əlaqədar identifikasiya problemi: CVE-2026-47841 ( High ).** WebAuthn İstifadəçi identifikasiyası təyin edilib `REQUIRED` , və sonra HTTP sessiya paylanmış yaddaş tərəfindən seriallaşdırılır, yanlış obyekt identifikasiyası müqayisəsi autentifikasiya tələbini etibarsız edə bilər. Hücum həmçinin təcavüzkardan istifadəçinin autentifikator cihazına sahib olmasını tələb edir, cihaz olmadan ixtiyari uzaqdan daxil olmaq deyil. Müvafiq təsirlənmiş versiyalar üçün 7.1 , 7.0 , 6.5 , və 6.4 , yamaq bazası yuxarıdakı cədvəldəki bu filiallara uyğundur; doğrulama qovşaqlararası sessiyaları əhatə etməli və yenə də PIN/biometrik doğrulama tələb etməlidir. [S28](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-28) ## 5. Python ekosistemi: tərcüməçi, standart kitabxana, çərçivə və sertifikatlar ### 5.1 CVE-2026-19445: SSLContext UAF, SNI geri zəngində **Nəşr tarixi: 30-09-2026; PSF Səviyyə: Critical.** Python serverində TLS, `sni_callback` əlaqəni başqa `SSLContext`-yə çevirir və qalan orijinal kontekstdə başqa heç bir məlumat yoxdursa TLS müştəri xidməti sıradan çıxara və ya buraxılmış obyektdə göstərici çağıra bilər. [S29](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-29) Əsas odur ki, Python obyekti əsas TLS geri çağırış dövrü ilə uyğun gəlmir. Orijinal kontekst buraxıldı və əsas təbəqə hələ də geri çağırış üçün tələb olunan vəziyyəti saxlaya bilər; istinad həyat dövrünü düzəltmək üçün tərcüməçinin yerli patchindən istifadə edilməlidir. [S47](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-47) **Scope:** Yalnız TLS müştəri kimi fəaliyyət göstərən Python kodu bu elementə təsir etmir; orijinal konteksti uzun müddət saxlayan dinləmə rozetkasının normal rejimi elanda təsvir edilən xüsusi uğursuzluq yoluna düşmür. Nginx TLS-ni dayandırdıqdan sonra o, yalnız yerli HTTP-ni Python-ə təhvil verir və Python, fərqli hücum səthi olan SNI-ni birbaşa özü idarə edir. [S29](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-29) 3.10—3.14 sabit versiyasına uyğun olaraq 2.3. bölməsinə baxın 3.15 rəsmi versiyası təmir olunub və 3.15.1 həqiqətən seçilə bilər. Yalnız pip asılılığının yenilənməsi tərcüməçinin `_ssl` tətbiqini əvəz edə bilməz. [S33](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-33)[S35](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-35)[S47](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-47) **Rəsmi müvəqqəti yumşaldıcı:** serverin həyat dövrünün sonuna qədər SNI geri çağırışını təyin etmiş bütün SSLContext-lərə güclü istinadlar saxlayır. Bu, faktiki dinamik yaratma və keçid yollarını əhatə etməlidir; xüsusi OpenSSL 1.1.1 quruluşu həmçinin rəsmi buraxılış qeydi ilə birlikdə yenidən danışıqlar şərtlərini yoxlamalı və yeniləmələri tamamlamağa üstünlük verməlidir. [S29](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-29)[S47](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-47) ### 5.2 CVE-2026-19553: Host adı bayrağı aktivdir, lakin zəng edərkən host adı yoxdur **İctimaiyyət tarixi: 2026-09-30; High.**`SSLContext.check_hostname=True` olduqda, `wrap_bio()` `server_hostname`-də ötürülməzsə, orijinal tətbiq host adının yoxlanmasını səssizcə ötürə bilər. Uğurlu sertifikat zəncirinin yoxlanması o demək deyil ki, hədəf domen adı da uyğunlaşdırılıb. [S30](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-30) Təmir hər iki addımı tələb edir: - 2.3. bölməsində sadalanan tərcüməçinin təhlükəsizlik buraxılışını quraşdırın - `wrap_bio()`, əlaqəli `asyncio.create_connection()` / `loop.start_tls()` yollarını yoxlayın, gözlənilən və boş olmayan host adını açıq şəkildə keçin və sertifikat doğrulamasını açıq saxlayın. [S30](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-30) \*\*Qaçmaq mümkün olmayan uyğunluq fərqləri:\*\*3.10, 3.11, 3.12 uyğunluq üçündür, yalnız `DeprecationWarning` bəzi hallar üçün verilir; host adı çatışmır 3.13 və daha sonra `ValueError` artırın. 3.12 arxa portu `None`-ni boş sətirlərdən də aydın şəkildə fərqləndirir: `None` üçün yeni xəbərdarlıq əlavə edilir və boş sətirlər üçün hələ də xəta bildirilir. Buna görə də, aşağı filial istifadəçiləri ilkin çatışmayan domen adının yoxlanılmasının sadəcə təkmilləşdirmə yolu ilə avtomatik bərpa olunduğunu güman edə bilməzlər. [S31](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-31)[S33](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-33) Test mühitində uyğun olmayan host adı ilə etibarlı zəncir sertifikatından istifadə edin və faktiki proqram TLS müştərisinin onu rədd etdiyini təsdiqləyin. `check_hostname` Boolean dəyərinin sadəcə oxunması tam qəbul olunmur. ### 5.3 CVE-2026-82049: Tarfile filtrində keçid kombinasiyası keçidi **İctimaiyyət tarixi: 2026-09-14; High.** CPython 3.13 və əvvəlki əlaqəli tətbiqlərdə, etibarlı olmayan tardakı sərt keçidlərin və simvolik keçidlərin birləşməsi `data` / `tar`-dən kənara çıxaraq, məzmun paketindən çıxarılan faylları süzgəcdən çıxara bilər. qablaşdırma ağacını açmaq və ya onların icazələrini və dəyişdirmə vaxtlarını dəyişdirmək. [S32](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-32) Bu zəifliyin təsdiqlənmiş təsirlərinə fayl məzmununa məruz qalma və metadata modifikasiyası daxildir; yalnız bu təsirlər xarici fayl məzmununun ixtiyari üzərinə yazılmasını və ya RCE-nin qeyd-şərtsiz həyata keçirilməsini nümayiş etdirmək üçün kifayət deyil. Müvafiq patch baza xətləri üçün 3.10 — 3.13 , Bölməyə baxın 2.3. **Python 3.14 səbəbiylə bu xüsusi məsələdən azad edilmişdir `os.link()` ildən davranış dəyişir 3.14.0b1** , beləliklə təsir dairəsi 3.10 — 3.13 yuxarıdakı filial tətbiq edilmir. [S33](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-33) **Müvəqqəti və dərin tədbirlər:** etibarsız arxivlərin avtomatik çıxarılmasını dayandırır; biznesin işlənilməsi lazım olduqda təcrid olunmuş aşağı imtiyazlı işçi proseslərindən və yeni eksklüziv kataloqlardan istifadə edin, simvolik bağlantıları, sərt keçidləri və biznes tərəfindən cihaz girişlərini rədd edin və faylların və dekompressiya resurslarının sayını məhdudlaşdırın. Bunlar yerləşdirmə tövsiyələridir. `filter="data"` ümumi etibarsız arxivlər üçün tam etibar strategiyasından daha uyğundur, lakin köhnə versiyadakı filtrin özündə də bu zəiflik var və tək bu parametrin əlavə edilməsi yeniləməni əvəz edə bilməz. Filtr həm də tam fayl sistemi sandbox deyil. [S32](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-32)[S45](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-45) ### 5.4 Əlavə risk: CVE-2026-114583 (Medium) və patch buraxılış statusu PSF, **2026-10-22**-də açıqlanır ki, `tarfile.tar_filter`-nin xüsusi link adlarını emalından keçmək olar və bu, sonrakı üzvlərə paketi açma qovluğundan kənarda bir səviyyə ilə yazmağa imkan verir. **Medium**. Rəsmi düzəliş PR həmin gün birləşdirildi; 23 oktyabr 2026-cı il tarixinə bu öhdəliyi ehtiva edən heç bir rəsmi texniki reliz təsdiqlənməmişdir. [S40](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-40) Buna görə də: - Bu element ayrıca Medium kimi qeyd edilmişdir. - Oktyabrın 21-də buraxılmış tərcüməçi versiyaları bu düzəlişi daxil etmiş hesab edilə bilməz. - Etibarsız arxivləri idarə etmək üçün hələ də `filter="tar"` istifadə edən proses buraxılış portunu izləməlidir; bu emal yolunu təcrid edin və ya qısa müddətə dayandırın. `data`-ə keçərkən və keçidləri rədd edərkən, onun biznes tələblərinə cavab verdiyini də təsdiq etməlisiniz və filtrin dəyişdirilməsi şərtsiz qum qutusu kimi təsvir edilə bilməz. ### 5.5 GeoDjango: CVE-2026-15307 və oktyabr ayında sonrakı düzəlişlər **2026-08-04, Django rəsmi High.** məkan sorğusu qeyri-müəyyən sətirləri/lüğətləri `GDALRaster`-ə ötürür və sürücü faylları yaza və ya işə sala bilər; RCE xüsusi yollar və sonrakı icra şərtləri olduqda formalaşa bilər. Məkan sahəsi modelinə baxmaq icazəsi olan işçilər də admin dəyişikliklər siyahısı vasitəsilə bu yola daxil ola bilər. [S38](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-38) İlkin düzəliş **5.2.17 / 6.0.8**-dir ki, bu da məkan axtarışları tərəfindən qəbul edilən daxiletmə növlərini məhdudlaşdırır. Bu dəyişiklik raster ifadə etmək üçün sətirdən/lüğətdən istifadənin orijinal biznesinə təsir göstərə bilər; sadəcə olaraq etibarsız girişi GDALRaster-ə bağlamaq onu yoxlamaq demək deyil. [S38](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-38) Oktyabrın 6-da **CVE-2026-87890 (Orta)** təmir edildi: baytlarla ifadə edilən VRT xarici resurslara istinad edə bilər və yenə də şəbəkə sorğularını tetikler; eyni gündə, iç içə həndəsə DoS qorunması CVE-2026-15830 da gücləndirildi. Son ikisini yeni yüksək riski təsvir etmək üçün təkmilləşdirmək mümkün deyil RCE , lakin yerləşdirmə əsas xəttinin olmasını göstərin **5.2.18 / 6.0.9 / 6.1.2** . [S39](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-39) Tətbiq API və idarəetmə interfeysinin iki giriş nöqtəsini yoxlayır, etibarsız məkan axtarışını, fayl yazma icazələrini və gedən çıxışı məhdudlaşdırır; yeniləndikdən sonra reqressiya-test etibarlı məkan sorğuları və qadağan edilmiş girişin rədd edilməsi. GeoDjango istifadə etməyən adi Django proqramları bu RCE qənaətini birbaşa tətbiq etməməlidir. ### 5.6 certifi / pip: Sertifikat etibarı hər nüsxəni əhatə etməlidir **GHSA-6q48-6c7w-9gw2 , 2026-10-20, Critical , məlumdur CVE siyahıya alınmayıb.** Bu sertifikatın səbəb olduğu etibarsızlıq yeniləməsidir eMudhra aralıq CA hadisə. Bunu HTTPS-in kriptoqrafiya mexanizmi və ya bütün kök sertifikatlarının sındırıldığı kimi ümumiləşdirmək olmaz. [S36](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-36) certifi məsləhətində əvvəlcə yamaq kimi **2026.10.18** siyahıya alınmışdır; PSF daha sonra təsirsiz kök sertifikatları ilə uyğunluğu qorumaq üçün açıq şəkildə **2026.10.19** tövsiyə etdi. Əməliyyat bazası .19-dur. [S36](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-36)[S37](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-37) Ayırmaq lazımdır: | Materialın yerləşdiyi yerə etibar edin | Niyə ayrıca yoxlamaq lazımdır | | --------------------------------------- | ----------------------------------------------------------------------------------- | | Əməliyyat sistemi CA paketi | Şəkil və ya host üçün sistem etibar materialı | | certifi venv | CA bundle əslində tətbiqlər və ya sorğular tərəfindən istifadə olunur. | | pip quraşdırılmış certifi | Xarici olaraq quraşdırılmış certifi-dən fərqli bir nüsxədir | | uv / Digər qablaşdırma alətləri | Alətin öz yeniləmələrini və etibarlı mənbələrini izləyin | | Fərdi CA faylları, paketlənmiş şəkillər | Sistemlər və ya paketlər üçün defolt etibarlı mənbələri ləğv etməyə davam edə bilər | Yuxarıdakı müxtəlif qablaşdırma yerlərinə əsaslanan yoxlama siyahısıdır. PSF əlaqədar alətlərin, mövcud virtual mühitlərin yenilənməsini və təsvirin yenidən qurulmasını tələb edir; yalnız CA hostunu yeniləmək və ya tərcüməçini yenidən quraşdırmaq bütün nüsxələrin yeniləndiyini sübut edə bilməz. [S35](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-35)[S37](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-37) Köhnə pip təhlükəsiz yükləmə kəmərindən təkmilləşdirərkən, PSF **sabit təkər və SHA-256** üçün əmrləri təmin edir, S37 əlavəsinə baxın. TLS doğrulamasını söndürməyin və ya sertifikat məsələlərini yan keçmək üçün `--trusted-host` əlavə etməyin. ## 6. Formal remediasiya prosesi Aşağıdakı əmrlər təsdiqlənmiş etibarlı mühitlər üçündür. İcra edərkən, ziddiyyətli kilid faylları yaratmaq üçün npm/pnpm/yarn və ya pip/uv/Poetry-ni qarışdırmamaq üçün layihənin mövcud paket meneceri, kilid faylı və yerləşdirmə prosesi birləşdirilməlidir. **Əvvəlcə istisnanı idarə edin:** Əgər ətraf mühitin Bölmə 9-da təhlükəyə məruz qalmış paketi işə saldığından şübhələnirsinizsə, əvvəlcə onu təcrid edin və təmiz mühitdən diski, faylı və şəkil qeydini yoxlayın; əvvəlcə aşağıdakı Python/pip əmrini yerinə yetirməyin. [S41](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-41) ### 6.1 Həqiqi trafikə uyğun gələn kitabçanı yaradın Hər bir xidmət ən azı qeyd edir: - Xarici giriş nöqtəsi, əks proksi, mənşə saytına birbaşa əlaqə yolu və fon növbəsi/planlaşdırılmış tapşırıqlar. - Faktiki başlanğıc əmri, işləyən hesab, ikili yol, proses və ya konteyner şəxsiyyəti. - İş vaxtının tam versiyası, naşir/repozitoriya, paketin tam versiyası və ya şəkil həzm. - Çərçivə və keçid asılılıqları, kilidli fayllar, yerli kitabxanalar və etibar mağaza yolları. - Zəiflik vəziyyətinin mövcud olub-olmamasına uyğun olaraq, yamaq hədəfi, yenidən başladın əhatə dairəsi, məsul şəxs və yoxlama nəticəsi. İnkişaf maşınları, CI qaçışçıları, tikinti konteynerləri və arxa plan tapşırıqları da etibarsız məzmuna gedən yollara görə yoxlanılmalıdır; yalnız ictimaiyyətə baxan veb konteyneri yeniləməyin. ### 6.2 Node.js: Əvvəlcə iş vaxtını təyin edin, sonra tətbiq asılılıqlarını yeniləyin Faktiki xidmət mühitində yoxlayın: ```bash node -p 'JSON.stringify({execPath:process.execPath,node:process.version,openssl:process.versions.openssl,brotli:process.versions.brotli},null,2)' npm ls next react react-dom react-server-dom-webpack react-server-dom-parcel react-server-dom-turbopack sharp --all npm audit --omit=dev ``` `node -p` xidmətin faktiki icra edilə bilənindən istifadə etməklə və ya faktiki konteyner daxilində icra edilməlidir; o, yeni işə salınmış prosesləri yoxlayır və köhnə işçinin dəyişdirilməsini özü sübut etmir. Node, orijinal kitabxana versiyasının sətirini saxlayaraq, daxili Brotli-ə yamağı əlavə edə bilər. Buna görə də, onun təmir olunub-olunmadığını müəyyən etmək üçün yalnız `process.versions.brotli`-ə etibar etməyin. Siz onu Node təhlükəsizlik versiyası və ya satıcının arxa port sübutu ilə birləşdirməlisiniz. [S2](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-2)[S4](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-4) `npm ls` faktiki asılılıq ağacını görmək üçün istifadə olunur; itkin paketlər və ya həmyaşıd münaqişələri də sıfırdan fərqli çıxış kodları yarada bilər, ona görə də xüsusi çıxışı oxumalısınız. `npm audit` asılılığın yoxlanılması vasitəsi kimi istifadə olunur və Node ikili və yerli kitabxana yoxlamasını əvəz edə bilməz. Aşağıdakı kimi yenilənə bilən Node 24**mühitini idarə etmək üçün**mise istifadə edin: ```bash mise use -g node@24.22.1 mise exec node@24.22.1 -- node -p 'process.version + " " + process.execPath' ``` `mise use -g` qlobal versiyanı konfiqurasiya edir; layihənin yerli konfiqurasiyası hələ də ayrıca yoxlanılmalıdır. Xidmət köhnə mütləq yolu, konteyner əsas şəklini və ya başqa hesabın mühitini düzəldibsə, müvafiq konfiqurasiya yenilənməlidir və xidmət yenidən işə salınmalıdır. Komandanın özü köhnə işləyən prosesi əvəz etmir. [S43](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-43) Next layihəsində seçilmiş filiala uyğun olaraq müvafiq əmri yerinə yetirin. Next 15 üçün: ```bash # Next 15 分支 npm install --save-exact next@15.5.28 ``` Next 16 üçün: ```bash # Next 16 分支 npm install --save-exact next@16.4.1 ``` React/RSC uyğun asılılıqları, faylları kilidləyin və son kəskin nümunəni yoxlayın və sonra layihə prosesinə uyğun olaraq qurun. Təkrarlana bilən quraşdırma üçün CI-də yenilənmiş kilid faylından istifadə edin və qurduqdan sonra işləyən şəkildəki versiyanı yoxlayın. Bu fövqəladə vəziyyət üçün standart həll yolu kimi əsas versiyalarda nəzarətsiz avtomatik təmirdən istifadə etməyin. ### 6.3 Java: Naşiri, faktiki JVM və daxil edilmiş komponentləri yoxlayın İlkin inventar: ```bash java -XshowSettings:properties -version ``` Çıxışdakı `java.home`, `java.runtime.version` və naşir xidmət tərəfindən faktiki istifadə edilən JVM ilə uyğunlaşdırılmalıdır. Əlavə icazəsi olan JVM üçün `jcmd` JDK yalnız giriş qabığını deyil, hədəf prosesi yoxlamaq üçün istifadə edilə bilər. Etibarlı layihələrdə asılılıqları yoxlayın və faktiki qurma alətləri əsasında seçin: ```bash ./mvnw dependency:tree '-Dincludes=org.apache.tomcat.embed:*,org.springframework.security:*,org.springframework.graphql:*' ./gradlew dependencyInsight --dependency tomcat-embed-core --configuration runtimeClasspath ./gradlew dependencyInsight --dependency spring-security-core --configuration runtimeClasspath ./gradlew dependencyInsight --dependency spring-graphql --configuration runtimeClasspath ``` Bu qurma əmrləri plaginləri icra edə və asılılıqları onlayn həll edə bilər və yalnız etibarlı layihələrdə işləyə bilər. Şəkildəki son JAR/WAR və ya faktiki JAR-ı yoxlayın və son artefakt üçün tikinti faylı bəyannamələrini əvəz etməyin. Spring Quraşdırılmış yükləmə Tomcat tətbiqin yenidən qurulmasını tələb edir; sistemdə ayrıca Tomcat quraşdırmasının yenilənməsi proqram paketindəki surəti dəyişdirməyəcək. İş vaxtı yeniləndikdən sonra fərdiləşdirilmiş `javax.net.ssl.trustStore`, proqram özü yükləyən Açar Mağazası, jlink işləmə vaxtını, GraalVM/doğma şəkil və digər çatdırılma formalarını maddələr üzrə yoxlayın. Artıq fərdiləşdirilmiş etibar materialları olan proqramlar, JDK kataloqu yeni olduğu üçün yoxlamanı bitirə bilməz. ### 6.4 Python: Tərcüməçi-tərcüməçi və virtual mühitin işlənməsi Etibarlı olduğu təsdiqlənmiş faktiki venv/konteyner daxilində: ```bash python - <<'PY' import sys import ssl import importlib.metadata as metadata print("executable:", sys.executable) print("version:", sys.version) print("openssl:", ssl.OPENSSL_VERSION) print("verify_paths:", ssl.get_default_verify_paths()) for name in ("pip", "certifi", "Django", "urllib3", "Brotli", "litellm"): try: print(name + ":", metadata.version(name)) except metadata.PackageNotFoundError: print(name + ": not installed") PY python -m pip --version python -m pip check ``` Bu skript yalnız məlumat toplayır və versiyanın müəyyənləşdirilməsini həyata keçirmir. `ssl.get_default_verify_paths()` standart yol məlumatıdır və bütün üçüncü tərəf müştərilərinin eyni etibar mağazasından istifadə etdiyini sübut edə bilməz; proqram konfiqurasiyası əsasında təsdiq edilməlidir. S37 əlavəsinin etibarlı pip yükləmə təkmilləşdirməsini tamamladıqdan sonra layihə məhdudiyyətlərinə uyğun olaraq sertifikat asılılıqlarını yeniləyin, məsələn: ```bash python -m pip install --upgrade 'certifi>=2026.10.19' # 仅适用于当前就选择 Django 5.2 的项目 python -m pip install --upgrade 'Django>=5.2.18,<5.3' python -m pip check ``` Layihənin tələbləri/kilid faylı eyni zamanda yenilənməlidir, əks halda növbəti yerləşdirmə köhnə versiyaya qayıda bilər. uv, Poetry və ya müəssisə paketi anbarından istifadə edərkən, onların mövcud kilidləmə və nəşr proseslərindən istifadə edin; yalnız istehsal konteynerində paketləri əl ilə dəyişdirməyin. Layihənin mövcud `pip-audit` iş axını etibarlı mühitdə məlum asılılıq zəifliklərini yoxlamaq üçün istifadə edilə bilər; o, zərərli kod skaneri deyil və bütün tərcüməçi, sistem kitabxanası və etibar mağazası risklərini əhatə etmir. [S44](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-44) **`/usr/bin/python3` sistemini yeni tərtib edilmiş versiyaya işarə etməyə məcbur etmək tövsiyə edilmir.** Python sisteminə əsaslanan idarəetmə alətlərini pozmamaq üçün buraxılış təhlükəsizlik yeniləmələri və ya layihənin təcridetmə müddətlərindən istifadə edin. Bu, tətbiq seçimidir və bu zəiflik üçün əlavə düzəliş tələbi deyil. ### 6.5 Çalışan nümunəni yenidən qurun və əvəz edin Tam dəyişiklik kimi aşağıdakı addımların atılması tövsiyə olunur: 1. Yamanı orijinal etibarlı mənbədən əldə edin və versiya/hash və asılılıq kilidini yadda saxlayın. 2. Yaxın istehsal mühitində əsas funksiyaları qaytarın və yerli genişləndirmələrin JVM/framework ilə uyğun olduğunu təsdiqləyin. 3. İş vaxtını, tətbiqdən asılılıqları və faktiki etibar anbarını yeniləyin; baza şəklini və konteyner üçün CA sistemini təzələyin, sadəcə köhnə təbəqəni təkrar istifadə etməyin. 4. Tətbiqləri və şəkilləri yenidən qurun və xidmət, işçi, növbə istehlakçı və planlaşdırılmış tapşırıq nümunələrini dəyişin. 5. Yeni işləyən instansiyada versiyanı və konfiqurasiyanı yenidən yoxlayın və bütün köhnə nüsxələrin çıxdığını təsdiqləyin. 6. Səhv dərəcələrini, gecikməni, CPU/yaddaş, TLS əl sıxma uğursuzluqlarını və proses qəzalarını müşahidə edin. Geri qaytarma təhlükəsiz iş vaxtının və yamaqdan asılılıqların saxlanmasına və proqram konfiqurasiyasının və ya biznes dəyişikliklərinin geri qaytarılmasına üstünlük verməlidir. Zəiflikləri olan köhnə məhsula qayıtmaq məcburiyyətindəsinizsə, müvafiq giriş məhdudiyyətləri eyni vaxtda bərpa edilməli, məsul şəxs və minimum bərpa müddəti dəqiq müəyyən edilməlidir. ## 7. Müvəqqəti təsirin azaldılması və yamaq seçimi ### 7.1 Müvəqqəti tədbirlərin əhatə dairəsi Aşağıda elan edilmiş istifadə şərtlərinə əsaslanan icra təklifləri verilmişdir. Rəsmi plan qeyd edilmədikdə, satıcı bütün variantların tamamilə bloklana biləcəyinə zəmanət vermir. | risk | Müvəqqəti tədbirlər görülə bilər | Buna əsasən tamamlanmamış hesab edilə bilməyən hissə | | --------------------------- | ------------------------------------------------------------------------------------------------------------------------- | --------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | Brotli dekodlanması | Etibarsız daxiletmənin dekodlanmasını dayandırın; daxil olan və gedən avtomatik dekompressiyanı yoxlayın | Daxil olan WAF və ya cavab sıxışdırmasının söndürülməsi bütün deşifrə daxiletmələrini əhatə etmir [S3](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-3) | | Next.js typed arrays RCE | Dərhal təkmilləşdirin; zəruri hallarda təsirə məruz qalan xidmətləri müvəqqəti olaraq təcrid edin | [S9](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-9) rəsmi etibarlı universal həll yolu yoxdur | | Next.js SVG RCE | Rəsmi plan: faktiki kəskin ≥0.35.5 təmin edin; biznes icazə verdikdə müvafiq optimallaşdırma giriş nöqtələrini dayandırın | Digər Next/RSC [S11](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-11) məsələlərini əhatə etmir | | Tomcat Realm / HTTP/2 / AJP | Müvafiq yolu təcrid edin və lazımsız bağlayıcıları bağlayın | Hələ də müvafiq filial təmir paketinə ehtiyacınız var [S21](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-21)[S22](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-22)[S23](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-23) | | GraphQL Deserializasiya | Təsirə məruz qalan Əlaqə sahələrini dayandırın; etibarsız zəng edənləri məhdudlaşdırın | Yalnız sorğu uzunluğu limiti [S25](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-25) tip/serializasiya problemini həll edə bilməz | | Spring embedded LDAP | Lazım olmadıqda söndürün; real dinləmə portunun əlçatanlığını məhdudlaşdırın | Defolt inzibati identifikasiya və kataloqun bütövlüyü hələ də yoxlanılmalıdır [S27](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-27) | | CPython SNI UAF | Rəsmi plan: Xidmətin sonuna qədər müvafiq SSLContext güclü istinadını saxlayın | Bütün yaratma/keçid yolları [S29](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-29) əhatə olunmalıdır | | Python host adını atlayın | Rəsmi həll: Gözlənilən server\_hostname-ni düzgün ötürün | Yalnız check\_hostname bayrağını yoxlamaq və ya [S30](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-30)[S31](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-31) xəbərdarlığına məhəl qoymamaq mümkün deyil | | Etibarsız tar | Çıxarışı deaktiv edin/karantin edin, qeyri-vacib keçidləri və cihaz girişlərini rədd edin | Nə filtrlər, nə də resurs kvotaları universal sandboxlar deyil [S32](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-32)[S40](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-40)[S45](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-45) | | Sertifikat etibarı hadisəsi | Düzgün CA materialını yeniləyin; Java etibarı rəsmi yumşaldılmaya əsasən məhdudlaşdırıla bilər | TLS doğrulamasının söndürülməsi riski artırır [S19](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-19)[S37](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-37) | ### 7.2 Çatdırılma üsuluna əsasən yamağı seçin | Çatdırılma üsulu | Təmir üsullarına üstünlük verin | Saxlanılmalı olan dəlil | | -------------------------------------- | ------------------------------------------------------------------------------------------ | ------------------------------------------------------------------------------------ | | Dağıtımla idarə olunan iş vaxtı | İstehsalçının müvafiq təhlükəsizlik yeniləmələri | Tam paket versiyası, elan, anbar mənbəyi | | Rəsmi Binary/Runtime Manager | Eyni filialdan rəsmi təhlükəsizlik buraxılışı | Versiya, mənbə və həzm, faktiki icra yolu | | Öz-özünə tərtib edilmiş Node / CPython | Uyğun filialın rəsmi mənbə buraxılışı və ya satıcının tam yamaq dəsti | Dəsti qəbul edin, parametrləri, asılı kitabxanaları və reqressiya nəticələrini qurun | | Spring / Next / Django | Filialdaxili yeniləmələrə, asılılıq kilidlərini bərpa etməyə və son tətbiqlərə uyğun gəlir | Son asılılıq ağacı, JAR/paket/şəkildə faktiki versiya | | Xüsusi güvən mağazası | Çıxarmanı təsdiqləyən rəsmi geri çəkilmə planı və ya satıcı yeniləməsi | Faktiki istifadə yolu, material dəyişikliyi, TLS uğur və rədd testləri | | Təhlükəli mühit | Təmiz və etibarlı məhsullardan yenidən qurun və ayrıca insident araşdırması aparın | Tarixi paket/şəkil həzmi, quraşdırma qeydi, etimadnamə fırlanma rekordu | ### 7.3 Açar yamaq mexanizmi və nəzərdən keçirmə diqqəti - **Brotli:** quruluşa daxil olmamışdan əvvəl sərhəd yoxlanışı və yerli deşifrə statusunun səhv qaytarılmasının tamamlanıb-tamamlanmamasına diqqət yetirir; yalnız JavaScript paketinin dəyişdirilməsi Node-də statik olaraq tərtib edilmiş kodu dəyişə bilməz. [S4](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-4) - **Node DNS / TLS :** girişin rədd edilməsinə, ünvanın normallaşdırılmasına, aralarındakı fərqə diqqət yetirir IP SAN və DNS şəxsiyyətlər və DNS geri çağırma/Promise Təhlil yolu və TLS host adı uyğunluğu testi. [S5](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-5) [S6](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-6) - **Tomcat JNDIRealm:** identifikasiya prosesinin sadəcə kataloq kontekstini əldə etmək əvəzinə, faktiki olaraq etimadnamələri təsdiq edib-etməməsinə diqqət yetirir; rəsmi versiyaya üstünlük vermək və bir mənbə faylının dəyişdirilməsini tam ikili yamaq kimi qəbul etməmək. [S24](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-24) - **CPython ssl:** Python istinad sahibliyinə və əsas SSLContext-nin həyat dövrünə diqqət yetirir; `wrap_bio()` filial uyğunluğu fərqlərinə malik olarkən arxa portlara malikdir və istifadə olunan filialın faktiki tətbiqini oxumalısınız. [S31](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-31)[S47](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-47) - **Sertifikat etibarsızlığı:** Bu cür yeniləmələr etibarlı material kimi görünə və ya aşkar API dəyişikliklərindən daha çox siyahı dəyişikliklərini rədd edə bilər. Node-nin eyni partiyasına təsirə məruz qalmış aralıq CA-nin rədd edilməsi mexanizmi də daxildir; Java və Python müvafiq etibar mənbələri hələ də ayrıca yoxlanılmalıdır. [S19](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-19)[S37](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-37)[S46](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-46) **Müstəqil Brotli bağlanması da yoxlanılmalıdır.** Google upstream buraxıldı **1.0.10 / 1.1.1 / 1.2.1** düzəltmək üçün eyni gündə CVE-2026-111497 . Python eyni təsirə məruz qalmış C tətbiqini birləşdirən yerli genişləndirmələr və ya JNI artefaktları müstəqil olaraq yenilənməlidir/yenidən qurulmalıdır; hər şeyin saf olduğu qənaətinə gəlmək olmaz Java dekoderlər təsirlənir, nə də təkmilləşdirməni güman etmək olmaz Node avtomatik olaraq digər dillərdəki nüsxələri əvəz edir. [S42](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-42) ## 8. Doğrulama və təqib yoxlamaları ### 8.1 Minimum yoxlama siyahısı | Elementləri yoxlayın | Sübut tələb olunur | | -------------------------------- | ---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | icra müddəti | Real prosesdə/konteynerdə doğru olan tam versiya və ya satıcı backport sübutu | | tətbiq asılılıqları | Next/RSC/sharp, Tomcat/Spring və Django/certifi son yerləşdirmə məhsulları müvafiq həddə çatıb | | Əvəzetmə diapazonu | Bütün işçi/JVM/konteyner nüsxələri və fon tapşırıqları yeniləri ilə əvəz olundu və köhnə nümunələr çıxarıldı. | | TLS | Etibarlı domen sertifikatları uğur qazanır; uyğun olmayan host adları və etibarsız zəncirlər siyasətə uyğun olaraq uğursuz olur; xüsusi güvən mağazalar daxildir | | eMudhra inamsızlıq | Təsirə məruz qalmış aralıq CA tərəfindən qurulmuş sertifikat zənciri faktiki icra zamanı rədd edildi və ya xüsusi təchizatçının təhlükəsizlik qurma/müvafiq rədd siyahısı yerləşdirildiyinə dair sübutlar var; iş ümumi TLS testinə və ya Java 8 qısa versiya nömrəsinə əsasən bağlana bilməz. | | Node deşifrə və şəkillər | Normal sıxılmış cavab, yükləmə, təsvirin optimallaşdırılması və RSC funksiyaları mövcuddur; etibarsız mənbə siyasəti qüvvədədir | | Java Doğrulama və İzolyasiya | Səhv parol rədd edildi; şəxsiyyət/cavab qarışdırılmadan müstəqil istifadəçinin eyni vaxtda asinxron sorğuları; LDAP gözlənildiyi kimi dinləyir | | Python SNI / Arxiv | Normal çoxdomen adı TLS biznesi sabitdir; arxivləşdirmə yolu keçməyi və icazə verilməyən keçidləri rədd edir və kataloqdan kənar fayllar dəyişdirilmir | | Məlumat və funksional reqressiya | Peyjinq, məkan sorğusu, icazə yoxlaması və arxa plan tapşırıqları layihənin mövcud sınaqlarından keçdi | | Resurslar və Müşahidələr | CPU, yaddaş, səhv dərəcəsi, gecikmə və TLS xətalarında anormal artım yoxdur. | | İzləmə qabiliyyəti | Təkmilləşdirmə vaxtına, paket/şəkil həzminə, konfiqurasiya dəyişikliklərinə, yoxlama nəticələrinə və həll olunmamış elementlərə qənaət edin | Bunlar tətbiqin qəbulu tövsiyələridir və hər CVE üçün hücum skriptinin hazırlanmasını tələb etmir. Qəzalar, resursların tükənməsi və həddən kənar arxivlə bağlı yoxlama təcrid olunmuş mühitdə yuxarı reqressiya testindən və ya layihə ilə idarə olunan test məlumatlarından istifadə etməlidir. ### 8.2 Yamaq və müdaxilə araşdırması fərqli vəzifələrdir Qeyri-adi deşifrə xətaları, işçi/JVM qəzaları, şübhəli fayl yazıları, kataloq məlumatlarında dəyişikliklər, autentifikasiya istisnaları, gedən sorğular və etimadnamə istifadə qeydləri üçün mövcud qeydləri yoxlayın. Bu əlamətlər kontekstdə qiymətləndirilməlidir: qəza və ya OOM uğurlu istismarın sübutu deyil; xəbərdarlıqların olmaması sistemin təsirsiz olduğunu sübut etmir. İcazəsiz dəyişikliklər, pozulmuş etimadnamələr və ya təsdiqlənmiş zərərli asılılıqlar aşkar edildikdə, sübutlar qorunmalı, müvafiq instansiyalar təcrid olunmalı, təsirə məruz qalmış etimadnamələr etibarlı mühitdən dəyişdirilməli və sistem yenidən qurulmalıdır. Yamaq təcavüzkar tərəfindən əldə edilmiş tokenləri ləğv etməyəcək və ya dəyişdirilmiş məlumatları bərpa etməyəcək. ## 9. Təchizat zəncirinin təhlükəsizliyi hadisəsi: LiteLLM 1.107.0 kompromis \*\*Rəsmi təsdiq tarixi: 21-10-2026.\*\*LiteLLM onun buraxılış boru kəmərinin pozulduğunu bildirdi. PyPI-nin **litellm==1.107.0** və eyni dövrə aid bəzi Docker/GHCR məhsullarında gizli oğurluq və uzaqdan idarə olunan zərərli kod var idi və əlaqədar məhsullar geri götürüldü. [S41](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-41) Təsiri müəyyən etmək üçün tarixi quraşdırma qeydlərini və təsvirin həzmini yoxlamaq lazımdır; `latest`, `main-latest` və `main-stable` kimi etiketlər indi təmiz şəkillərə işarə edir, bu da hadisə zamanı çəkilmiş məhsulların təmiz olduğunu sübut etmir. O zaman rəsmi tövsiyə **1.106.2**-ni müvəqqəti bağlamaq idi; bu tövsiyə bu hadisəyə əsaslanıb və yerləşdirmə zamanı digər təhlükəsizlik elanları hələ də yoxlanılmalıdır. [S41](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-41) Əlaqədar məhsulların quraşdırıldığı və ya işə salındığı mühitlər üçün: 1. Quraşdırma qeydlərini, şəkilləri və qeydləri təcrid edin və qoruyun və onları təmiz mühitdən yoxlayın. 2. **Python/pip**-ni əvvəlcə şübhəli mühitdə işə salmayın; zərərli `.pth` / `sitecustomize.py` işə salındıqdan sonra yenidən icra oluna bilər. 3. Etibarlı mənbələrdən hostları, venvləri/konteynerləri yenidən qurun; paketləri sadəcə silə və ya aşağıya endirə bilməz. 4. Faktiki əlçatanlığa əsaslanan bulud etimadnaməsini, LLM provayder açarlarını, LiteLLM açarlarını və verilənlər bazası etimadnaməsini ləğv edin/döndürün və anormal istifadəni nəzərdən keçirin. [S41](https://keendigit.com/az/insights/node-java-python-security-remediation-guide#source-41) Bu, təsdiqlənmiş təchizat zənciri hadisəsidir və bununla məşğul olarkən zərərli kodun icrası, etimadnamə sızması və davamlılıq risklərinin nəzərə alınmasını tələb edir. 23 oktyabr 2026-cı il tarixinə rəsmilər hələ də ilkin müdaxiləni araşdırırdılar. ## Əlavə: İstinad edilən mənbələr və keçidlər Aşağıdakı mənbə yoxlama tarixi **2026-10-23**-dir, o cümlədən layihənin rəsmi təhlükəsizlik elanı, rəsmi kod anbarı və satıcının təlimatları. Əsas mətn \[Sx] bu əlavəyə uyğundur; yeniləmələri həyata keçirərkən, təchizatçının sonrakı düzəlişləri buraxıb-çıxarmadığını yoxlamaq lazımdır. ### S1 — Node.js: 21-10-2026 Təhlükəsizlik Bildirişi - Məqsəd: Filiallara təsir edən dörd iş vaxtı High, Oktyabr təhlükəsizlik buraxılışı. - İstinad: [Official Security Bulletin](https://nodejs.org/en/blog/vulnerability/october-2026-security-releases) ### S2 — Node.js: Üç texniki xidmət xətti üçün rəsmi buraxılış təlimatları - Məqsəd: 22.23.4, 24.22.1, 26.12.1 və faktiki birləşdirilmiş yamaları yoxlayın. - İstinad: [Node.js 22.23.4](https://nodejs.org/en/blog/release/v22.23.4/) - İstinad: [Node.js 24.22.1](https://nodejs.org/en/blog/release/v24.22.1/) - İstinad: [Node.js 26.12.1](https://nodejs.org/en/blog/release/v26.12.1/) ### S3 — Vercel: Node.js Brotli RCE təhlükəsizlik məsləhəti - Məqsəd: Gələn/gidən dekodlaşdırma şərtləri, WAF əhatə dairəsi, Node 20 statusu. - İstinad: [Node.js security advisory: Brotli decoder RCE](https://vercel.com/kb/bulletin/node-js-security-advisory) ### S4 — Node.js: Brotli rəsmi yamaq təqdimi - Məqsəd: Doğma dekodlaşdırmanın yoxlanılması və xətaların yayılması üçün tətbiq əsası. - İstinad: [Brotli Patch commit 49dff6f57a](https://github.com/nodejs/node/commit/49dff6f57a) ### S5 — Node.js: TLS ünvan normallaşdırma yaması - Məqsəd: Tam enli nömrələrin və qeyri-standart IP sertifikatının şəxsiyyətinin yoxlanılması. - İstinad: [IP normalization regression Patch](https://github.com/nodejs/node/commit/935918e342) - İstinad: [rejects the patching of non-standard IP address](https://github.com/nodejs/node/commit/de49c913f2) ### S6 — Node.js: DNS NUL doğrulama yaması - Məqsəd: Girişdən imtina və reqressiya əhatəsi. - İstinad: [dns.resolve Input verification patch](https://github.com/nodejs/node/commit/843a1627dc) ### S7 — Node.js: 29-07-2026 Təhlükəsizlik Bildirişi - Məqsəd: HTTP/2 yaddaş tükənməsi, UAF və icazə modeli zəiflikləri. - İstinad: [July 2026 Security Releases](https://nodejs.org/en/blog/vulnerability/july-2026-security-releases) ### S8 — Next.js: 10-14-2026 təhlükəsizlik yeniləməsi - Məqsəd: Təkmilləşdirmə bazasını və üç əsas riski birləşdirin. - İstinad: [Next.js Security Update for Upstream Vulnerabilities](https://nextjs.org/blog/nextjs-security-update-october-14-2026) ### İstinad: S9 — Next.js：typed arrays / use cache RCE - Məqsəd: GHSA-673q-mjm6-r5xr; intervala, vəziyyətə, hesaba və həll statusuna təsir edir. - İstinad: [Next.js Official Security Bulletin](https://github.com/vercel/next.js/security/advisories/GHSA-673q-mjm6-r5xr) ### İstinad: S10 — React：React Server Components RCE - Məqsəd: GHSA-xqc2-xf4c-x3h3; üç RSC paketinin təsirlənmiş və sabit versiyaları. - İstinad: [React Official Security Bulletin](https://github.com/react/react/security/advisories/GHSA-xqc2-xf4c-x3h3) ### İstinad: S11 — Next.js：SVG Image Optimization RCE - Məqsəd: CVE-2026-96889 / GHSA-2464-fhr4-w9xw; glibc, kəskin və orijinal versiya sərhədləri. - İstinad: [SVG Image Optimization Official Security Bulletin](https://github.com/vercel/next.js/security/advisories/GHSA-2464-fhr4-w9xw) ### İstinad: S12 — Next.js：Server Actions DoS - Məqsəd: GHSA-p3m5-59mp-jv5r; şərtlərə, versiyalara və reytinqlərə təsir edir. - İstinad: [Server Actions DoS Official Security Bulletin](https://github.com/vercel/next.js/security/advisories/GHSA-p3m5-59mp-jv5r) ### S13 — Next.js: AVIF Şəkil optimallaşdırılması RCE - Məqsəd: 25-08-2026, GHSA-2xp9-vwfh-vxw4. - İstinad: [AVIF Official Security Bulletin](https://github.com/vercel/next.js/security/advisories/GHSA-2xp9-vwfh-vxw4) ### İstinad: S14 — Next.js：Windows RCE - Məqsəd: 25-08-2026, CVE-2026-75604/GHSA-p293-qw3h-jr36. - İstinad: [Windows RCE Official Security Bulletin](https://github.com/vercel/next.js/security/advisories/GHSA-p293-qw3h-jr36) ### İstinad: S15 — Next.js：next/og ImageResponse RCE - Məqsəd: 2026-09-22, GHSA-vcvr-r3jv-pc5j; Node və Edge arasındakı fərq. - İstinad: [ImageResponse Official Security Bulletin](https://github.com/vercel/next.js/security/advisories/GHSA-vcvr-r3jv-pc5j) - İstinad: [September 22 release notes](https://nextjs.org/blog/nextjs-security-update-september-22-2026) ### İstinad: S16 — Oracle: October 2026 CPU - Məqsəd: Java SE risk matrisi, patch miqdarı və tətbiq olunan şərtlər. - İstinad: [Oracle Critical Patch Update – October 2026](https://www.oracle.com/security-alerts/cpuoct2026.html) - İstinad: [Oracle Java SE CPU Version list](https://docs.oracle.com/en-us/iaas/releasenotes/java-management/jdk-cpu-october-2026.htm) ### S17 — Oracle: CVE-2026-91403 diapazondan kənar siqnalizasiya - Məqsəd: 21-10-2026, JSSE sertifikatı etibar riski, təsirə məruz qalan məhsullar və CVSS 3.1 9.1. - İstinad: [Oracle Security Alert](https://www.oracle.com/security-alerts/alert-cve-2026-91403.html) ### S18 — Oracle: JDK rəsmi versiyası və yükləyin - Məqsəd: Oktyabrın 20-də CPU ilə 21 oktyabrda lentdən kənar versiyanı fərqləndirin; Java 8 qısa versiyasının məhdudiyyətlərini ayırd edin. - İstinad: [JDK release list](https://ops.java/releases/) - İstinad: [Oracle Java Download page](https://www.oracle.com/java/technologies/downloads/) ### S19 — Oracle: eMudhra müvəqqəti geri çəkilmə planı - Məqsəd: Yenilənib 2026-10-22; iki kök sertifikatı, açar alət, xüsusi güvən mağazası və ləğvetmə yoxlanışı. - İstinad: [Distrusting eMudhra Intermediate Certificates in Oracle JDK](https://ops.java/emudhra) ### S20 — Eclipse Adoptium: Quraşdırma rekordunu buraxın - Məqsəd: Temurin sertifikat insidentinə görə yenidən qablaşdırılır; Oracle versiyası şəkilçisi mexaniki olaraq tətbiq edilə bilməz. - İstinad: [Adoptium Release Scorecards](https://github.com/adoptium/adoptium/wiki/Adoptium-Release-Scorecards) ### S21 — Apache Tomcat 9 Təhlükəsizlik Bildirişi - Məqsəd: 9.0.123 düzəltməsi ilə 9 filiallı dəqiq təsirlənmiş interval. - İstinad: [Tomcat 9 vulnerabilities](https://tomcat.apache.org/security-9.html) ### S22 — Apache Tomcat 10 Təhlükəsizlik Bildirişi - Məqsəd: 10.1 filialının dəqiq intervalı və 10.1.61 təmiri; 10.0 EOL. - İstinad: [Tomcat 10 vulnerabilities](https://tomcat.apache.org/security-10.html) ### S23 — Apache Tomcat 11 Təhlükəsizlik Bildirişi - Məqsəd: Üç maddə Important, 11.0.27, AJP tətbiq olunan əhatə dairəsi və açıqlama/buraxılış tarixi. - İstinad: [Tomcat 11 vulnerabilities](https://tomcat.apache.org/security-11.html) ### S24 — Apache Tomcat: JNDIRealm yamaq icrası - Məqsəd: Sertifikatlaşdırma yoxlama boşluqlarının təmiri üçün formal əsas. - İstinad: [JNDIRealm Patch commit](https://github.com/apache/tomcat/commit/e43453fc04abb44f64faf571ca98af71aa3c20a1) ### İstinad: S25 — Spring：GraphQL CVE-2026-59285 - Məqsəd: 2026-08-20, Tələb olunur, 2.0.5 OSS / 2.0.4.1 Ticarət Təmiri. - İstinad: [Spring for GraphQL Unsafe Deserialization](https://spring.io/security/cve-2026-59285/) ### İstinad: S26 — Spring：GraphQL CVE-2026-41699 - Məqsəd: Köhnə əsas xəttdə niyə qala bilməyəcəyinizi izah etmək üçün daha əvvəlki düzəliş həddi. - İstinad: [6 Month GraphQL Security Bulletin](https://spring.io/security/cve-2026-41699/) ### İstinad: S27 — Spring Security：CVE-2026-59270 - Məqsəd: UnboundID LDAP-ni, məlum idarəetmə şəxsiyyətini daxil edin və OSS/kommersiya versiyasını fərqləndirin. - İstinad: [Spring embedded LDAP Security Bulletin](https://spring.io/security/cve-2026-59270/) ### İstinad: S28 — Spring Security：CVE-2026-47841 - Məqsəd: WebAuthn istifadəçi identifikasiyası, sessiyanın seriallaşdırılması və hücum əsası. - İstinad: [WebAuthn Security Bulletin](https://spring.io/security/cve-2026-47841/) ### S29 — PSF: CVE-2026-19445 Müstəqil Təhlükəsizlik Məsləhəti - Məqsəd: 30-09-2026, Critical, SNI SSLContext tərəfindən istinad edilən şərtlər və müvəqqəti tədbirlər. - İstinad: [SSLContext UAF Official announcement](https://mail.python.org/archives/list/security-announce@python.org/thread/QMQIUQB6WGGC3MI7I3WKQXOYOBDSPPS3/) ### S30 — PSF: CVE-2026-19553 Müstəqil Təhlükəsizlik Məsləhəti - Məqsəd: 30-09-2026, High, çatışmayan host adı və açıq parametr yumşaldılması. - İstinad: [wrap\_bio Official announcement of hostname verification](https://mail.python.org/archives/list/security-announce@python.org/thread/QNZRG3YOAMTHDCMVCICXGY6YEFPY2VDL/) ### S31 — CPython: wrap\_bio rəsmi yaması və 3.12 backport - Məqsəd: 3.10—3.12 xəbərdarlıq uyğunluğu siyasəti, None və boş sətir arasındakı fərq. - İstinad: [Main Patch PR #158503](https://github.com/python/cpython/pull/158503) - İstinad: [3.12 Backfill PR #158513](https://github.com/python/cpython/pull/158513) - İstinad: [3.15 Backfill PR #158511](https://github.com/python/cpython/pull/158511) ### S32 — PSF: CVE-2026-82049 Müstəqil Təhlükəsizlik Məsləhəti - Məqsəd: 2026-09-14, High, keçid birləşməsi, metadata modifikasiyası və məzmunun ifşası. - İstinad: [tarfile link bypasses the official announcement](https://mail.python.org/archives/list/security-announce@python.org/thread/EFJWGAZJA56AKSBR2WHMHQZO7RRLZPRH/) ### S33 — CPython: Sentyabrın sonu/oktyabrın əvvəlində rəsmi təhlükəsizlik buraxılışı - Məqsəd: Minimum düzəliş versiyası, mənbə kodunun paylanması metodu və tarfile spesifik məsələlər üçün 3.14 azadlığı. - İstinad: [Python Cross-branch security release instructions](https://blog.python.org/2026/10/python-31022-31117/) - İstinad: [Python 3.11.17](https://www.python.org/downloads/release/python-31117/) - İstinad: [Python 3.12.15](https://www.python.org/downloads/release/python-31215/) - İstinad: [Python 3.13.16](https://www.python.org/downloads/release/python-31316/) - İstinad: [Python 3.14.8](https://www.python.org/downloads/release/python-3148/) ### S34 — CPython: 3.10 son təhlükəsiz buraxılış - Məqsəd: 3.10.22 və yuxarı axın həyat dövrünün sonu. - İstinad: [Python 3.10.22](https://www.python.org/downloads/release/python-31022/) ### S35 — CPython: 2026-10-21 fövqəladə texniki xidmət versiyası - Məqsəd: 3.13.17 / 3.14.9 / 3.15.1, daxili pip və certifi yeniləmələri, mövcud venv tələbləri. - İstinad: [Python 3.13.17](https://www.python.org/downloads/release/python-31317/) - İstinad: [Python 3.14.9](https://www.python.org/downloads/release/python-3149/) - İstinad: [Python 3.15.1](https://www.python.org/downloads/release/python-3151/) ### S36 — certifi: emSign sertifikatına inamsızlıq elanı - Məqsəd: 2026-10-20, GHSA-6q48-6c7w-9gw2, Critical, məlum deyil CVE. - İstinad: [certifi Official Security Bulletin](https://github.com/certifi/python-certifi/security/advisories/GHSA-6q48-6c7w-9gw2) ### S37 — PSF: eMudhra / emSign-nin Python istifadəçilərinə təsiri - Məqsəd: certifi .19 tövsiyəsi, pip/uv baza xətti, SHA-256 ilə etibarlı yükləmə təkmilləşdirmə əmri. - İstinad: [PSF Official event and upgrade instructions](https://discuss.python.org/t/information-for-python-users-regarding-emudhra-emsign-ca-certificate-security-incident/109576) S37 tərəfindən istinad edilən rəsmi təlimatlar tərəfindən təmin edilən pip yükləmə təkmilləşdirmə əmri aşağıdakı kimidir. Yalnız etibarlı olduğu təsdiqlənmiş Python mühitlərində istifadə oluna bilər; 9-cu bölmədə zəhərlənmə şübhəsi varsa, əvvəlcə hadisə prosesinə uyğun olaraq təcrid edin və yenidən qurun. O, təkər məzmununun hashini düzəldir və sonradan layihə prosesinə uyğun olaraq digər asılılıqları yeniləyir. ```bash python -m pip install "pip @ https://files.pythonhosted.org/packages/3f/06/3e4420302363fbb71be3c7f35ce042f54bfca330e3e66b3a2e3c4cca579f/pip-26.2.2-py3-none-any.whl#sha256=fd7f4dfa8190e014013b9f08f3e973f4e4c26ffd179a204895533a7254813a70" ``` ### S38 — Django: 08-04-2026 təhlükəsiz buraxılış - İstifadə: CVE-2026-15307, GeoDjango İstismar şərtləri, ilkin düzəlişlər və uyğunluq dəyişiklikləri. - İstinad: [Django 6.0.8 / 5.2.17](https://www.djangoproject.com/weblog/2026/aug/04/security-releases/) ### S39 — Django: 2026-10-06 təhlükəsiz buraxılış - Məqsəd: CVE-2026-87890, həndəsə DoS hazırda seçilmiş baza xətti ilə sonrakı möhkəmləndirmə. - İstinad: [Django 6.1.2 / 6.0.9 / 5.2.18](https://www.djangoproject.com/weblog/2026/oct/06/security-releases/) ### S40 — PSF / CPython: Ən son tar\_filter yan qeydi - Məqsəd: 22-10-2026, CVE-2026-114583 (Medium); PR birləşməsi rəsmi texniki xidmət versiyasının buraxılması demək deyil. - İstinad: [PSF Independent Announcement](https://mail.python.org/archives/list/security-announce@python.org/thread/43JOWPRAV5DI3VZ4FUEUAZOHCATXXOCK/) - İstinad: [CPython Patch PR #160098](https://github.com/python/cpython/pull/160098) ### S41 — LiteLLM: Rəsmi Təchizat Zəncirində Hadisə Hesabatı, 21 oktyabr - Məqsəd: 1.107.0 çirklənmiş məhsul, tarixi həzm, izolyasiyanın yenidən qurulması və etimadnamənin atılması. - İstinad: [Contained: LiteLLM v1.107.0 Compromised](https://docs.litellm.ai/blog/security-incident-oct-21-2026) ### S42 — Google Brotli: rəsmi təhlükəsiz versiya - Məqsəd: Müstəqil Brotli 1.0.10 / 1.1.1 / 1.2.1 və dillər arası daxil edilmiş surəti yoxlama əsası. - İstinad: [Brotli releases](https://github.com/google/brotli/releases) ### S43 — səhv: komandanın rəsmi sənədlərindən istifadə edin - Məqsəd: Qlobal konfiqurasiyanın alət versiyasını və əmr semantikasını göstərin. - İstinad: [mise use](https://mise.jdx.dev/cli/use.html) ### S44 — PyPA: pip-audit rəsmi layihəsi - Məqsəd: Python Asılılıq zəifliyi auditinin məqsədi və imkan sərhədləri. - İstinad: [pip-audit](https://github.com/pypa/pip-audit) ### S45 — Python: tarfile çıxarılması filtri sənədi - Məqsəd: məlumat strategiyası, defolt davranış dəyişiklikləri və qum qutusunu əvəz edə bilməyən məhdudiyyətlər. - İstinad: [tarfile extraction filters](https://docs.python.org/3/library/tarfile.html#extraction-filters) ### S46 — Node.js: Orta CA rədd mexanizmi - Məqsəd: Bu eMudhra ilə əlaqəli güvən zənciri emalı bütün kök sertifikatlarının kriptoqrafik etibarsız sayılmasına ekvivalent deyil. - İstinad: [Node.js PR #66871](https://github.com/nodejs/node/pull/66871) ### S47 — CPython: SNI UAF texniki qeydlər və düzəlişlər - Məqsəd: istinad həyat dövrü, xüsusi qurma şərtləri və filialın geri çəkilməsi. - İstinad: [official issue #156293](https://github.com/python/cpython/issues/156293) - İstinad: [official patch PR #158504](https://github.com/python/cpython/pull/158504) - İstinad: [3.15 Backfill PR #158514](https://github.com/python/cpython/pull/158514) ## Təhlükəsizliklə bağlı məsləhətləşmə Sertifikat güvən dəyişikliklərinin sistemlərinizə necə təsir etdiyindən əmin deyilsiniz? Biz təsirə məruz qalan müştəriləri qiymətləndirməyə və təhlükəsizlik yeniləmələrini planlaşdırmağa kömək edə bilərik. [Təhlükəsizlik yeniləmələrini müzakirə edin]() [Orijinal səhifə]() · [Məzmun indeksi]() KeenDigit LLC · Vayominq Sənədi ID: 2026-002106155 [Vayominq Dövlət Katibi ilə yoxlayın]() © 2026 KeenDigit LLC · Sheridan, Vayominq, Amerika Birləşmiş Ştatları · Bütün hüquqlar qorunur.