উত্সগুলি 23 অক্টোবর, 2026 পর্যন্ত পরীক্ষা করা হয়েছে (UTC) কভারেজ সময়কাল: 25 জুলাই-23 অক্টোবর, 2026, সেপ্টেম্বর থেকে অক্টোবর পর্যন্ত নতুন ঘোষণা এবং পরবর্তী প্যাচগুলিতে ফোকাস করে। অডিয়েন্স: প্রকৌশলী এবং নিরাপত্তা উত্তরদাতা যারা Node.js, Java, Python পরিষেবা, কন্টেইনার, পাইপলাইন তৈরি এবং উন্নয়ন পরিবেশ বজায় রাখে।

এই নিবন্ধটি Node.js, Java, এবং Python রানটাইম, স্ট্যান্ডার্ড লাইব্রেরি, এবং সাধারণ সার্ভার ফ্রেমওয়ার্ক এবং নির্ভরতাগুলির সাম্প্রতিক গুরুত্বপূর্ণ নিরাপত্তা ঝুঁকিগুলিকে সংক্ষিপ্ত করে, এবং প্রভাবের সুযোগ, নির্দিষ্ট সংস্করণ, অস্থায়ী প্রশমন ব্যবস্থা এবং প্যাচিং পদ্ধতি, প্যাচিং পদ্ধতি নির্বাচন প্রদান করে৷

কম্পোনেন্ট সংস্করণ, সক্ষম বৈশিষ্ট্য এবং অ্যাক্সেসযোগ্য এন্ট্রি পয়েন্টগুলির বিরুদ্ধে প্রভাব মূল্যায়ন করুন। দুর্বলতার তথ্য সরকারী পরামর্শ থেকে আসে; তারিখগুলি সর্বজনীন প্রকাশকে বোঝায় যদি না পূর্ববর্তী প্যাচ রিলিজটি স্পষ্টভাবে উল্লেখ করা হয়। আমরা অনিশ্চিত শোষণ শর্ত, CVSS স্কোর বা বন্য শোষণ অনুমান করি না। স্থাপনার পরামর্শ বাস্তবায়ন নির্দেশিকা হিসাবে চিহ্নিত করা হয়।

TL; DR: প্রতিকারের অগ্রাধিকার

  1. রানটাইম আপডেট করুন যা আসলে প্রথমে পরিষেবাটি হোস্ট করে। সংশ্লিষ্ট আপডেট Node.js অন্তত শাখা 22.23.4 / 24.22.1 / 26.12.1 . সেবা ব্যবহার করে Node 24 আপগ্রেড করতে পারেন 24.22.1 একই প্রধান সংস্করণ বা পরবর্তী সংস্করণের মধ্যে যে একই সংশোধন ধারণ করে. S1 S2
  2. আপডেট Node আবেদন নির্ভরতা আলাদাভাবে। জন্য Next.js , ব্যবহার করুন 15.5.28 / 16.4.1 আপগ্রেড বেসলাইন হিসাবে; ব্যবহার করার সময় React Server Components স্বাধীনভাবে, প্রকৃত ইনস্টল চেক করুন react-server-dom-* প্যাকেজ শুধুমাত্র আপডেট করা হচ্ছে Node বাইনারি এই কাঠামোর দুর্বলতাগুলিকে কভার করে না। S8 S9 S10 S11 S12
  3. Java : আপডেট উভয় রাউন্ড কভার. 20 অক্টোবর উভয়ই কভার করে একটি বিক্রেতা বিল্ড ইনস্টল করুন CPU এবং 21 অক্টোবর CVE-2026-91403 জরুরী শংসাপত্র-ট্রাস্ট ফিক্স। বিভাগ দেখুন 2.2 জন্য Oracle JDK 11 -27 আউট-অফ-ব্যান্ড সংস্করণ; তাদের নিজস্ব নিরাপত্তা প্যাকেজ এবং সম্পূর্ণ বিল্ড নম্বরের বিরুদ্ধে অন্যান্য বিতরণ যাচাই করুন। সংশ্লিষ্ট আপডেট Tomcat শাখা থেকে 9.0.123 / 10.1.61 / 11.0.27 . S16 S17 S18 S20 S21 S22 S23
  4. Python : দোভাষী, অ্যাপ্লিকেশন প্যাকেজ এবং সার্টিফিকেট প্যাকেজ আলাদাভাবে আপডেট করুন। বিভাগ দেখুন 2.3 দোভাষী বেসলাইনের জন্য; certifi সুপারিশ করে ≥ 2026.10.19 , pip ≥ 26.2.2 , ব্যবহার করার সময় uv ≥ 0.13.4 . প্রতিটি বিদ্যমান venv চেক করা প্রয়োজন. জন্য wrap_bio() সম্পর্কিত কোড, সঠিক এবং অ-খালি server_hostname এছাড়াও পাস করতে হবে. S29 S30 S31 S33 S35 S36 S37
  5. অবিলম্বে আপগ্রেড করা অসম্ভব হলে, প্রাসঙ্গিক এন্ট্রি পয়েন্টে এক্সপোজার কমিয়ে দিন। অবিশ্বস্ত বন্ধ করা অগ্রাধিকার Brotli ডিকোডিং, প্রভাবিত ছবি/পেজিং/আর্কাইভিং প্রসেসিং, এবং সমস্যাযুক্ত বিচ্ছিন্ন করা LDAP অথবা প্রমাণীকরণ এন্ট্রি; পালন TLS সার্টিফিকেট এবং হোস্টনাম যাচাই করা হয়েছে। অন্তর্মুখী WAF আউটবাউন্ড পাথগুলিকে কভার করতে পারে না যেমন অ্যাপ্লিকেশনগুলি দূষিত সংকুচিত প্রতিক্রিয়াগুলি টানছে৷ S3 S11 S25 S27 S30 S32
  6. পুনঃনির্মাণ করুন, পুরানো প্রক্রিয়াগুলি প্রতিস্থাপন করুন এবং বাস্তব পরিষেবা পাথের মাধ্যমে যাচাই করুন। লক ফাইল এবং ইমেজ ডাইজেস্ট সংরক্ষণ করুন, অ্যাপ্লিকেশন এবং চিত্র পুনর্নির্মাণ করুন, সমস্ত কর্মীদের জন্য প্রতিস্থাপন রোল আউট করুন/ JVM /পাত্র; প্রকৃত প্রক্রিয়া, নির্ভরতা গাছ, ট্রাস্ট স্টোর এবং ব্যবসায়িক রিগ্রেশন পরীক্ষা পরীক্ষা করুন। একটি নতুন কমান্ড-লাইন সংস্করণ একা প্রতিষ্ঠিত করে না যে প্রতিকার সম্পূর্ণ হয়েছে।
  7. I যদি LiteLLM 1.107.0 ইনস্টল করা হয় বা চালানো হয়, ঘটনা-প্রতিক্রিয়া পদ্ধতি অনুসরণ করুন৷ প্রকল্পটি 21 অক্টোবর মুক্তির সমঝোতা নিশ্চিত করেছে৷ প্রভাবিত পরিবেশগুলিকে বিচ্ছিন্ন করুন, একটি পরিষ্কার পরিবেশ থেকে তদন্ত করুন, উন্মুক্ত শংসাপত্রগুলি পুনঃনির্মাণ করুন এবং ঘোরান৷ প্রথমে চেক করার জন্য সন্দেহজনক পরিবেশে Python/pip শুরু করবেন না। বিস্তারিত জানার জন্য বিভাগ 9 দেখুন। S41

1. দুর্বলতা ওভারভিউ এবং ঝুঁকি মূল্যায়ন

1.1 প্রকৃত এক্সপোজার দ্বারা প্রতিকারকে অগ্রাধিকার দিন

নীচের স্থাপনার অগ্রাধিকারগুলি হল বাস্তবায়ন নির্দেশিকা। তীব্রতা লেবেল Apache এর Important রেটিং সহ প্রতিটি বিক্রেতাকে অনুসরণ করে। CVSS 3.1 এবং 4.0 বিভিন্ন স্কোরিং সিস্টেম; একা স্কোর দ্বারা তাদের জুড়ে সমস্যা র্যাঙ্ক করবেন না.

বাস্তুতন্ত্র / স্তরমূল সমস্যাঅফিসিয়াল গ্রেড বা যাচাইকৃত স্কোরঅগ্রাধিকার স্থাপন
Node.js নেটিভ নির্ভরতাCVE-2026-111497: Brotli সীমার বাইরে লেখা হয়েছে এবং RCE এর ঝুঁকি রয়েছেNode：Highবাহ্যিক অনুরোধের অংশে বা বাহ্যিক প্রতিক্রিয়াতে Brotli ডেটা S1S3 ডিকোড করুন
Node.js TLS / DNSCVE-2026-105482, 105483, 106069: পার্সিং এবং পরিচয় যাচাইকরণ অসামঞ্জস্যপূর্ণHighURL ক্রল, প্রক্সি, Webhook, গতিশীল লক্ষ্য ঠিকানা S1S5S6
Node.js HTTP/2CVE-2026-56846, 56848: মেমরি ফুরিয়ে গেছে এবং UAFHighNode অবিশ্বস্ত HTTP/2 ট্রাফিক S7 সরাসরি পরিচালনা করে
React / Next.jsRSC / use cache typed arrays RCECritical；CVSS 4.0 9.5সার্ভার RSC, সম্পর্কিত ক্যাশে উপাদান এবং ডেটা পথ S9S10
Next.js ছবি অপ্টিমাইজেশানCVE-2026-96889: SVG চিত্র প্রক্রিয়াকরণ RCECritical；CVSS 4.0 9.5glibc Linux এর দৃষ্টান্ত যা অবিশ্বস্ত ছবিগুলিকে পরিচালনা করতে পারে S11
Next.js Server Actionsবিশেষভাবে তৈরি করা অনুরোধের কারণে CPU নিঃশেষ হয়ে যায়High；CVSS 4.0 8.2App Router এবং কমপক্ষে একটি Server Action S12
Java TLS ট্রাস্টCVE-2026-91403: প্রভাবিত মধ্যবর্তী CA বিশ্বাস করা চালিয়ে যানCVSS 3.1 9.1TLS/API দৃশ্যকল্প S17 প্রভাবিত ট্রাস্ট চেইন ব্যবহার করে
TomcatJNDIRealm প্রমাণীকরণ বাইপাস, HTTP/2 ক্রস-রিকোয়েস্ট মিক্স-আপ, AJP প্রতিক্রিয়া ফাঁসImportantRealm / Connector / async Servlet পথ S21S22S23 এর সাথে সম্পর্কিত
Spring for GraphQLCVE-2026-59285: পেজিং ডিসিরিয়ালাইজেশন RCEHighJackson 2 + Connection পেজিং + শোষণযোগ্য ক্লাসপথ S25
Spring SecurityCVE-2026-59270: এম্বেডেড LDAP পরিচিত ব্যবস্থাপনা পরিচয় প্রকাশ করা হয়েছেCriticalএমবেডেড LDAP সক্ষম করা হয়েছে এবং লিসেনিং পোর্ট আক্রমণকারী S27 এর কাছে অ্যাক্সেসযোগ্য
CPython sslCVE-2026-19445: SNI প্রসঙ্গ পরিবর্তনের ফলাফল UAF এCriticalPython নিজেই TLS শেষ করে, এবং প্রসঙ্গ জীবন চক্র শর্ত S29 পূরণ করে
CPython sslCVE-2026-19553: হোস্টনাম অনুপস্থিত হলে যাচাইকরণ এড়িয়ে যানHighwrap_bio() / সম্পর্কিত asyncio কল অনুপস্থিত প্রত্যাশিত হোস্টনাম S30
CPython tarfileCVE-2026-82049: হার্ড লিঙ্ক এবং সিম্বলিক লিঙ্কের সমন্বয় বাইপাসHighস্বয়ংক্রিয়ভাবে অবিশ্বস্ত টার সংরক্ষণাগার S32 বের করুন৷
Django / GeoDjangoCVE-2026-15307: স্থানিক ক্যোয়ারী লিখুন ফাইল, SSRF, শর্তাধীন RCEHighস্থানিক প্রশ্ন বা সম্পর্কিত প্রশাসনিক ইন্টারফেস অবিশ্বস্ত ইনপুট S38 গ্রহণ করে
Python শংসাপত্র নির্ভরতাcertifi: emSign সম্পর্কিত শংসাপত্র অবিশ্বাসCritical; GHSA, CVE কেউই পরিচিত নয়TLS ক্লায়েন্ট এবং প্যাকেজ ম্যানেজমেন্ট টুল S36S37 এখনও প্রভাবিত CA bundle ব্যবহার করছে

সংক্ষিপ্ত রূপ: RCE হল রিমোট কোড এক্সিকিউশন, UAF মানে ব্যবহার-পর-মুক্ত, এবং SSRF হল সার্ভার-সাইড অনুরোধ জালিয়াতি। RCE-এর সরাসরি অনুমতি সাধারণত অ্যাপ্লিকেশন হোস্টিং প্রক্রিয়ার অনুমতি এবং স্বয়ংক্রিয়ভাবে রুট অনুমতির সমতুল্য হতে পারে না।

প্রস্তাবিত ক্রম: প্রথমে RCE পরিচালনা করে, যা বাহ্যিকভাবে পৌঁছানো যায় এবং শর্তাবলী, প্রমাণীকরণ বাইপাস, ক্রস-ইউজার ডেটা লিকেজ এবং শংসাপত্র প্রমাণীকরণের সমস্যাগুলি পূরণ করে; একই সময়ে, পাবলিক-মুখী DoS এন্ট্রি পয়েন্টের জন্য সময়সূচী আপডেট। শোষণ প্রমাণ করার জন্য উত্পাদনে আক্রমণের পেলোড চালানোর দরকার নেই। নির্ভরতা বিদ্যমান, কোড পাথ পৌঁছানো যায় এবং আক্রমণের শর্ত পূরণ করা হয়। এই তিনটি বিষয় আলাদাভাবে চেক করা প্রয়োজন।

1.2 তিনটি সহজেই বিভ্রান্তিকর সীমানা

  • রানটাইম এবং নির্ভরতা আলাদাভাবে আপগ্রেড করুন। জন্য নিরাপত্তা আপডেট Node , JDK , CPython স্বয়ংক্রিয়ভাবে এর স্বতন্ত্র ইনস্টলেশন মেরামত করে না Next.js , Spring , Django , certifi বা নেটিভ এক্সটেনশন।
  • remediation থ্রেশহোল্ড বর্তমান স্থাপনার বেসলাইন থেকে আলাদা। আগস্টে একটি দুর্বলতার জন্য প্রথম প্যাচ সেপ্টেম্বর থেকে অক্টোবরের মধ্যে নতুন সমস্যাগুলি কভার করার নিশ্চয়তা দেওয়া হয় না; বিভাগ 2 বাস্তবায়নের লক্ষ্য হিসাবে যাচাইকৃত পরবর্তী আপডেটগুলি ব্যবহার করে।
  • একটি প্রকৃত সাপ্লাই-চেইন আপস থেকে একটি দুর্বলতাকে আলাদা করুন। সাধারণ দুর্বলতার জন্য, প্যাচগুলি ভবিষ্যতের আক্রমণের পথগুলিকে দূর করে; যখন দূষিত প্যাকেজ চালানো হয়, শংসাপত্র এবং অধ্যবসায়ের প্রভাব তদন্ত করা প্রয়োজন। ধারা 9 LiteLLM আনুষ্ঠানিকভাবে নিশ্চিত ঘটনা. S41

বন্য অঞ্চলে নিশ্চিত শোষণ আছে কিনা তা সরকারী প্রকাশের উপর ভিত্তি করে হওয়া উচিত। বিক্রেতা শোষণ কর্মকাণ্ডের উল্লেখ করেনি এবং প্রমাণ করতে পারেনি যে কোনো আক্রমণ নেই; প্রতিকার প্রকৃত আক্রমণ পৃষ্ঠের উপর ভিত্তি করে সঞ্চালিত করা উচিত.

2. স্থির সংস্করণ এবং স্থাপনার বেসলাইনের দ্রুত পরীক্ষা

তথ্যসূত্র: 2.1 Node.js、React、Next.js

উপাদান/শাখাপ্রস্তাবিত সংস্করণ বেসলাইনব্যবহারের জন্য নির্দেশাবলী
Node.js 22.x22.23.421শে অক্টোবর নিরাপত্তা প্রকাশ S1S2
Node.js 24.x24.22.124.x শাখায় প্রযোজ্য; 24.22.0-এ 21 অক্টোবরের নিরাপত্তা প্যাচ S1S2 নেই
Node.js 26.x26.12.1একই ব্যাচে নিরাপত্তা প্রকাশ S1S2
Node.js 20 এবং আগের আপস্ট্রিম শাখাএকটি সমর্থিত শাখায় স্থানান্তর করুন৷Node 20 এই আপস্ট্রিম ফিক্স গ্রহণ করে না; বিক্রেতা বর্ধিত সমর্থন আলাদাভাবে যাচাই করা আবশ্যক S3
Next.js 15.x15.5.2814 অক্টোবর S8 আপডেট করা হয়েছে৷
Next.js 16.x16.4.1উপরের S8 এর মতই
স্বতন্ত্র RSC 19.0 / 19.1 / 19.2 / 19.3 শাখা19.0.9 / 19.1.10 / 19.2.9 / 19.3.1তিনটি react-server-dom-* প্যাকেজ আলাদাভাবে পরীক্ষা করুন; শুধু উপরের স্তরের দিকে তাকান না react S10
Next আসলে sharp লোড করেছে≥0.35.5SVG দুর্বলতার জন্য অফিসিয়াল অস্থায়ী ফিক্স শর্ত; অন্যান্য Next.js প্যাচ S11 প্রতিস্থাপন করে না

Node আনুষ্ঠানিকভাবে অক্টোবরের দুর্বলতার জন্য প্রভাবিত রক্ষণাবেক্ষণ শাখাগুলি তালিকাভুক্ত করে, কিন্তু আইটেম দ্বারা প্রাথমিকভাবে চালু করা প্যাচ সংস্করণ আইটেম প্রদান করে না, তাই প্রতিটি দুর্বলতার সুনির্দিষ্ট প্রাথমিক সংস্করণ শুধুমাত্র রক্ষণাবেক্ষণ শাখা পরিসরের উপর ভিত্তি করে নির্ধারণ করা যায় না। মোতায়েন করার সময়, একই শাখার উপরোক্ত সংস্করণ ব্যবহার করতে অগ্রাধিকার দিন বা একই সংশোধন ধারণ করার জন্য নিশ্চিত হওয়া পরবর্তী সংস্করণ।

2.2 Java: অক্টোবর CPU প্লাস আউট-অফ-ব্যান্ড শংসাপত্র আপডেট

এই সারণী Oracle JDK এ প্রযোজ্য। দ্বিতীয় কলামটি শুধুমাত্র 20 অক্টোবর CPU কভার করে; তৃতীয়টি 21 অক্টোবরের ব্যান্ড-এর বাইরে রিলিজ অন্তর্ভুক্ত করে। CPU সংস্করণগুলিই এখানে আলোচনা করা সমস্ত Java ঝুঁকিগুলিকে কভার করে না৷ S16S17S18

শাখাঅক্টোবর 20 CPUOracle ব্যান্ডের বাইরে 21 অক্টোবর মুক্তি পেয়েছে
1111.0.3311.0.33.0.2
1717.0.2117.0.21.0.2
2121.0.1321.0.13.0.2
2525.0.525.0.5.0.2
2727.0.127.0.1.0.2
88u511পাবলিক রিলিজ টেবিল এখনও 8u511 দেখায়; নির্দিষ্ট নিরাপত্তা বিল্ড এবং ট্রাস্ট চেইন মেরামত অবশ্যই পরীক্ষা করা উচিত, এবং শুধুমাত্র সংক্ষিপ্ত সংস্করণ সংখ্যার উপর ভিত্তি করে নির্ধারণ করা যাবে না

**Java 8 সম্পূর্ণ বিল্ড তথ্যের বিপরীতে চেক করা প্রয়োজন:**Oracle সতর্কতা 8u511 কে প্রভাবিত সংস্করণ হিসাবে তালিকাভুক্ত করে এবং রিলিজ তালিকা একই সংক্ষিপ্ত নামের সাথে পরবর্তী আপডেটগুলি তালিকাভুক্ত করে৷ প্যাচ স্ট্যাটাস শুধুমাত্র “8u511” সংক্ষিপ্ত সংস্করণ নম্বরের উপর ভিত্তি করে আলাদা করা যাবে না। আপনি নির্দিষ্ট নিরাপত্তা বিল্ড এবং বিশ্বাস চেইন সংশোধন নিশ্চিত করা উচিত. S17S18

Temurin , Corretto , Zulu , Microsoft Build of OpenJDK , রিলিজ সংস্করণ OpenJDK ইত্যাদি, তাদের নিজ নিজ ঘোষণা এবং সম্পূর্ণ প্যাকেজ/বিল্ড নম্বর অনুযায়ী চেক করুন। উদাহরণস্বরূপ, অফিসিয়াল রিলিজ রেকর্ড Adoptium বলে যে প্রাসঙ্গিক বিল্ডটি যোগ করার জন্য পুনরায় প্যাকেজ করা হয় eMudhra ঠিক করা আপস্ট্রিম সংস্করণের একই নামের অর্থ এই নয় যে প্যাকেজের বিষয়বস্তু একই। দ .0.2 জন্য প্রত্যয় নিয়ম Oracle যান্ত্রিকভাবে অন্য প্রকাশকদের ক্ষেত্রে প্রয়োগ করা যাবে না। S20

Java অ্যাপ্লিকেশন উপাদানপ্রস্তাবিত সংস্করণ বেসলাইনমন্তব্য
Tomcat 9 / 10.1 / 119.0.123 / 10.1.61 / 11.0.27শাখা দ্বারা শাখা পরীক্ষা করুন; Tomcat 10.0 রক্ষণাবেক্ষণ বন্ধ করেছে S21S22S23
Spring for GraphQL 2.0.x2.0.5（OSS）বাণিজ্যিক সমর্থন এছাড়াও 2.0.4.1 S25
Spring Security 7.1 / 7.07.1.1 / 7.0.7（OSS）আগস্টে ঘোষিত ন্যূনতম ফিক্স সংস্করণের সাথে মিলে যায়; স্থাপনার আগে আপনাকে পরবর্তী নিরাপত্তা বুলেটিন S27S28 চেক করতে হবে
Spring Security 6.5 / 6.4 / 5.8 / 5.76.5.12 / 6.4.19 / 5.8.28 / 5.7.26ঘোষণা একটি বাণিজ্যিক সমর্থন ফিক্স হিসাবে তালিকাভুক্ত করা হয়; কোন অনুরূপ সমর্থন না থাকলে মাইগ্রেশন মূল্যায়ন করা হয় এবং এটা ধরে নেওয়া যায় না যে Maven Central বিনামূল্যে S27 পাওয়া যায়

Spring আপগ্রেডগুলিকে প্রকল্পের Spring Boot BOM, Java ন্যূনতম সংস্করণ এবং সামঞ্জস্যের লাইনগুলিকে সম্মান করা উচিত৷ শুধুমাত্র একটি প্যাচ পেতে সমস্ত Spring মডিউলকে একই নম্বরে সরাসরি জোর করবেন না।

2.3 CPython, Django এবং শংসাপত্র নির্ভরতা

নীচের টেবিলের দ্বিতীয় কলামটি সেপ্টেম্বরে প্রকাশিত TLS ইস্যুতে ফোকাস করে; tarfile-এর জন্য শাখা পার্থক্যগুলি 5.3. বিভাগে দেখানো হয়েছে 21 অক্টোবর রিলিজ বান্ডিলড সার্টিফিকেট টুলিং আপডেট করেছে, তাই শেষ কলামে পরবর্তী স্থাপনার বেসলাইনগুলি অন্তর্ভুক্ত রয়েছে। S29S30S33S35

CPython শাখাসেপ্টেম্বর নিরাপত্তা ব্যাচ ন্যূনতম সংস্করণপ্রস্তাবিত স্থাপনার বেসলাইন
3.103.10.22আপস্ট্রিম থেকে শেষ রিলিজ, EOL; স্থানান্তরের ব্যবস্থা করুন বা রিলিজ এক্সটেনশন সমর্থন S34 যাচাই করুন
3.113.11.173.11.17, এবং pip/certifi প্রতিটি পরিবেশে পৃথকভাবে আপডেট করুন
3.123.12.153.12.15, এবং pip/certifi প্রতিটি পরিবেশে পৃথকভাবে আপডেট করুন
3.133.13.163.13.17
3.143.14.83.14.9
3.15চূড়ান্ত 3.15.0 রিলিজে TLS উভয়ই S31S47 সংশোধন রয়েছে3.15.1

3.11 এবং 3.12 এর আপস্ট্রিম নিরাপত্তা সংস্করণগুলি শুধুমাত্র সোর্স কোডে প্রকাশ করা যেতে পারে; অপারেটিং সিস্টেম প্যাকেজ ব্যবহার করার সময়, বিক্রেতার ব্যাকপোর্ট উপদেষ্টা এবং সম্পূর্ণ প্যাকেজ সংস্করণটি পরীক্ষা করে দেখুন, এবং একটি স্ব-সংকলিত সংস্করণের সাথে জোরপূর্বক সিস্টেম Python প্রতিস্থাপন করার কোন প্রয়োজন নেই৷ S33S34

স্বাধীন নির্ভরতাপ্রস্তাবিত সংস্করণ বেসলাইনবর্ণনা
Django 5.2 / 6.0 / 6.15.2.18 / 6.0.9 / 6.1.26 অক্টোবর পরবর্তী সংশোধন S38S39 অন্তর্ভুক্ত করুন
certifi≥2026.10.19GHSA প্রাথমিক প্যাচ হল .18; PSF সুপারিশ করে .19 অপ্রভাবিত শংসাপত্রগুলির জন্য সামঞ্জস্য রক্ষা করতে S36S37
pip≥26.2.2certifi এর অন্তর্নির্মিত অনুলিপি আলাদাভাবে S35S37 আপডেট করতে হবে
uv (যদি ব্যবহার করা হয়)≥0.13.4প্রকৃত ইনস্টলেশন পদ্ধতি অনুযায়ী S37 আপডেট করুন

এই বেসলাইনগুলি তালিকাভুক্ত ফিক্সগুলিকে কভার করে৷ tar_filter-এ আরেকটি মাঝারি-তীব্রতার সমস্যা 22 অক্টোবর প্রকাশ করা হয়েছিল৷ 23 অক্টোবর, 2026 পর্যন্ত, এই সংশোধন সম্বলিত একটি অফিসিয়াল রক্ষণাবেক্ষণ সংস্করণ এখনও নিশ্চিত করা হয়নি; অতএব, 3.13.17 / 3.14.9 / 3.15.1 সমস্ত টারফাইল সমস্যা কভার করেছে বলে বিবেচনা করা যায় না। 5.4. S40 বিভাগ দেখুন

2.4 বিতরণ ব্যাকপোর্ট যাচাই করা হচ্ছে

Ubuntu, Debian, RHEL এবং অন্যান্য সফ্টওয়্যার প্যাকেজের ক্ষেত্রে প্রযোজ্য বাস্তবায়ন নীতিগুলি:

  1. অপারেটিং সিস্টেম সংস্করণ, সংগ্রহস্থল উৎস, সম্পূর্ণ প্যাকেজ সংস্করণ, এবং বিক্রেতা নিরাপত্তা বুলেটিন নম্বর রেকর্ড করুন।
  2. নিশ্চিত করুন যে উপদেষ্টা নির্দিষ্ট CVE কভার করে এবং প্রাসঙ্গিক বিতরণ প্রকাশের জন্য একটি নির্দিষ্ট প্যাকেজ সনাক্ত করে৷
  3. প্রকৃত চলমান প্রক্রিয়া দ্বারা লোড করা বাইনারি/লাইব্রেরিগুলির তুলনা করুন, শুধুমাত্র আপস্ট্রিম সংক্ষিপ্ত সংস্করণ নয়।
  4. যখন কোনও বিক্রেতার প্যাচের কোনও প্রমাণ না থাকে, তখন এটিকে “নিশ্চিত হতে” ছেড়ে দিন এবং সংস্করণ নম্বরটি পুরানো বা নতুন বলে মনে হয় এমন একমাত্র উপসংহার হিসাবে এটি গ্রহণ করবেন না।

apt/RPM প্যাকেজ সংস্করণ এবং বিভিন্ন বিতরণের ব্যাকপোর্ট কৌশলগুলির মধ্যে পার্থক্য রয়েছে। প্রতিটি বিতরণের নিরাপত্তা বুলেটিন এবং সম্পূর্ণ প্যাকেজ সংস্করণ প্রাধান্য পাবে।

3. Node.js / JavaScript ইকোসিস্টেম: কারণ বিশ্লেষণ এবং প্রতিকার

3.1 CVE-2026-111497: Brotli নেটিভ ডিকোডার সীমার বাইরে লিখুন

প্রকাশ: 2026-10-21; Node অফিসিয়াল গ্রেড: High। Node 22.x, 24.x, 26.x এর প্রভাবিত বিল্ডগুলির জন্য প্যাচ বিভাগ 2.1 ইনস্টল করা প্রয়োজন৷ Node ঘোষণাটি একটি সংখ্যাসূচক CVSS স্কোর তালিকাভুক্ত করে না। S1

ত্রুটিপূর্ণ Brotli সংকুচিত স্ট্রীম পরিচালনা করার সময় নেটিভ ডিকোডিং লজিকে সমস্যা দেখা দেয়, যা লেখার বাইরের দিকে নিয়ে যেতে পারে। Vercel-এর অফিসিয়াল বিবরণ নিশ্চিত করে যে গবেষণা প্রদর্শন প্রক্রিয়া মেমরি ফাঁস এবং কমান্ড এক্সিকিউশন জড়িত। আক্রমণকারী ডিকোডারে পৌঁছাতে পারে কিনা তা নির্ভর করে অ্যাপ্লিকেশন বা নির্ভরতা আসলে এটি নিয়ন্ত্রণ করা ডেটা ডিকোড করে কিনা তার উপর। S3

উভয় দিক একই সময়ে পরীক্ষা করা প্রয়োজন:

  • inbound: The ফ্রেমওয়ার্ক বা মিডলওয়্যার স্বয়ংক্রিয়ভাবে ব্যবহারকারীর দ্বারা জমা দেওয়া Brotli রিকোয়েস্ট বডিকে ডিকম্প্রেস করে।
  • **outbound:**HTTP ক্লায়েন্ট, ইমেজ গ্র্যাবার, ইত্যাদি আক্রমণকারী-নিয়ন্ত্রণযোগ্য উত্সগুলি অ্যাক্সেস করে এবং স্বয়ংক্রিয়ভাবে ফিরে আসা সামগ্রীকে ডিকম্প্রেস করে৷

ব্রাউজারগুলিতে পাঠানো প্রতিক্রিয়াগুলির Brotli কম্প্রেশন নিষ্ক্রিয় করা একটি ডিকোডিং এন্ট্রি পয়েন্টকে সরিয়ে দেয় না। ইনবাউন্ড WAF সুরক্ষা বাহ্যিক প্রতিক্রিয়া আনয়ন এবং ডিকোডিং অ্যাপ্লিকেশনগুলিকে কভার করে না। S3

**প্যাচের দিকনির্দেশ:**Node Brotli আপস্ট্রিম ফিক্সকে নেটিভ ডিপেন্ডেন্সিতে সরান এবং অবৈধ ডিকোডিং স্ট্যাটাস চেকিং এবং ত্রুটি প্রচারের পরিপূরক করুন। একটি স্ব-সংকলিত সংস্করণ রক্ষণাবেক্ষণ করার সময়, আপনার অফিসিয়াল নিরাপত্তা রিলিজ বা ম্যাচিং শাখার সম্পূর্ণ প্যাচ ব্যবহার করা উচিত। আপনি শুধুমাত্র একটি JavaScript প্যাকেজের সংস্করণ বিবৃতি পরিবর্তন করতে পারবেন না। S4

অন্তর্বর্তীকালীন বাস্তবায়নের পরামর্শ: অপ্রয়োজনীয় অবিশ্বস্ত Brotli ডিকোডিং বন্ধ করুন; মিডলওয়্যার এবং HTTP ক্লায়েন্টের স্বয়ংক্রিয় ডিকম্প্রেশন আচরণ পরীক্ষা করুন; যদি ব্যবসার এই বিন্যাসটি গ্রহণ করতে হয়, যত তাড়াতাড়ি সম্ভব প্যাচ করা পরিবেশে প্রক্রিয়াকরণ সম্পূর্ণ করুন। Accept-Encoding সামঞ্জস্য করা নিছক আলোচনার একটি কাজ এবং একটি দূষিত প্রতিক্রিয়া ব্লক করা হয়েছে তার প্রমাণ হিসাবে একা দাঁড়ানো উচিত নয়।

3.2 TLS / DNS তিন High: যাচাইকরণ বস্তুটি প্রকৃত লক্ষ্যের সাথে অসামঞ্জস্যপূর্ণ

2.1. S1 সেকশনে অফিসিয়াল আপগ্রেড থ্রেশহোল্ডের সাথে 21 অক্টোবর তিনটিই প্রকাশ করা হয়েছিল

শনাক্তকারীসমস্যা নিশ্চিত করা হয়েছেআক্রান্ত শাখা
CVE-2026-105482dns.resolve NUL ধারণকারী নামের ছেঁটে ফেলা22.x / 24.x / 26.x
CVE-2026-105483IP পূর্ণ-প্রস্থ সাংখ্যিক আকারে শংসাপত্র হোস্টনাম যাচাইকরণকে বাইপাস করে দেয়24.x / 26.x
CVE-2026-106069হোস্টনাম যা IP হিসাবে ঢিলেঢালাভাবে ব্যাখ্যা করা যেতে পারে TLS যাচাইকরণ বাইপাসে ফলাফল22.x / 24.x / 26.x

DNS সমস্যার সারমর্ম হল যে উপরের স্তর দ্বারা চেক করা স্ট্রিংটি প্রকৃতপক্ষে নীচের স্তর দ্বারা পার্স করা নামের থেকে আলাদা। অফিসিয়াল প্যাচ পার্সিং এন্ট্রিতে NUL প্রত্যাখ্যান করে এবং রিগ্রেশন কভারেজ যোগ করে। S6

TLS দুটি আইটেমে নাম স্বাভাবিককরণ, IP ব্যাখ্যার ধারাবাহিকতা এবং শংসাপত্রের মিল রয়েছে। প্যাচ করুন যাতে অ-মানক IP ইনপুট প্রত্যাখ্যান করা হয় বা সঠিকভাবে পরিচালনা করা হয় যাতে সার্টিফিকেট ডোমেন পরিচয়ের সাথে প্রকৃত IP শেষ পয়েন্ট বিভ্রান্ত না হয়। S5

: এর জন্য প্রকৃত সমস্যা সমাধানের পরামর্শগুলি প্রাপক ব্যবহারকারী URL, গতিশীল প্রক্সি টার্গেট বা Webhook ঠিকানার কোড পরীক্ষা করার জন্য অগ্রাধিকার দেয়; ইউনিফাইড স্ট্যান্ডার্ডাইজেশন এবং তালিকার রায়ের অনুমতি দেয়, NUL/নিয়ন্ত্রণ অক্ষর প্রত্যাখ্যান করে, আইনি IPv4, IPv6 এবং আন্তর্জাতিক ডোমেন নামগুলি এখনও কাজ করে তা নিশ্চিত করে। SSRF আরও গঠন করা যেতে পারে কিনা তার জন্য লিঙ্ক প্রমাণের প্রয়োগ প্রয়োজন, যা সরাসরি CVE নাম থেকে অনুমান করা যায় না।

পোস্ট আপগ্রেড চেকসাম ত্রুটিগুলি দূর করতে NODE_TLS_REJECT_UNAUTHORIZED=0 বা rejectUnauthorized: false ব্যবহার করবেন না৷ ঠিকানা, সার্টিফিকেট এবং ব্যবসার কনফিগারেশন সংশোধন করা উচিত।

3.3 জুলাই HTTP/2 High-ঝুঁকি এবং অনুমতি মডেল সমস্যা

জুলাই মাসে প্রকাশিত নিম্নলিখিত বিষয়গুলি এখনও তদন্তে অন্তর্ভুক্ত করা দরকার। স্থাপন করার সময় 2.1 বিভাগে অক্টোবর নিরাপত্তা সংস্করণ বেসলাইন সরাসরি ব্যবহার করার পরামর্শ দেওয়া হয়। S7

CVEকারণ এবং প্রভাবপ্রথম স্থির সংস্করণ
CVE-2026-56846ধরে রাখা HTTP/2 header ব্লক সঠিকভাবে maxSessionMemory বাজেটে অন্তর্ভুক্ত নয় এবং মেমরি নিঃশেষ করতে পারে; প্রভাব 22.x / 24.x22.23.2 / 24.18.1
CVE-2026-56848HTTP/2 প্যাকেট সংগ্রহের সময় পাঠানোর পথে পুনরায় প্রবেশ করে, যার ফলে একটি স্তূপ UAF হয়; প্রভাব 22.x / 24.x / 26.x22.23.2 / 24.18.1 / 26.5.1
CVE-2026-58043--permission পথ উপসর্গ সীমানা মিলটি খুব প্রশস্ত, এবং অনুমোদিত তালিকার বাইরের ফাইলগুলি অ্যাক্সেস করা যেতে পারে৷উপরের তিনটি রক্ষণাবেক্ষণ লাইনের মতোই

তিনটিই আনুষ্ঠানিকভাবে High। প্রথম দুটি আইটেম HTTP/2 Node নিজেই প্রক্রিয়া করছে কিনা তা পরীক্ষা করার জন্য অগ্রাধিকার দেয়; অনুমতি মডেল ব্যবহার করার সময় এবং এই সীমানার উপর নির্ভর করার সময় তৃতীয় আইটেমটির শুধুমাত্র সংশ্লিষ্ট অর্থ থাকে। অনুমতি মডেল আইটেমগুলিকে নেটওয়ার্ক RCE হিসাবে বর্ণনা করা যাবে না যার জন্য প্রমাণীকরণের প্রয়োজন নেই৷ S7

একটি পৃথক, আপডেট করা প্রক্সিতে সাময়িকভাবে HTTP/2 বন্ধ করা এবং ব্যাকএন্ড উত্স সীমিত করা এক্সপোজার কমানোর জন্য একটি স্থাপনার বিকল্প; রিসোর্স কোটা শুধুমাত্র রিসোর্স নিঃসরণের পরিণতি নিয়ন্ত্রণ করতে পারে এবং UAF প্যাচ করতে পারে না।

3.4 অক্টোবর React / Next.js: দুটি আইটেম RCE এবং একটি আইটেম DoS

A. RCE RSC / use cache ফাংশন টাইপ করা অ্যারে ফেরত দেয়

পাবলিক তারিখ: 2026-10-14; Critical, CVSS 4.0 9.5. অফিসিয়াল উপদেষ্টা শনাক্তকারী:

  • React：GHSA-xqc2-xf4c-x3h3。
  • Next.js：GHSA-673q-mjm6-r5xr。S9S10

দ React আপস্ট্রিম ইস্যুতে আক্রমণকারী-নিয়ন্ত্রণযোগ্য মানগুলির সাথে মিলিত একাধিক টাইপ করা অ্যারে জড়িত RSC প্রতিক্রিয়া আক্রান্ত তিনজন react-server-dom-* প্যাকেজ সংস্করণ হয় 19.0.0 — 19.0.8 , 19.1.0 — 19.1.9 , 19.2.0 — 19.2.8 , 19.3.0 ; অধ্যায় বিভাগ দেখুন 2.1. বিশুদ্ধ ব্রাউজার-সাইড React , অথবা যে অ্যাপ্লিকেশনগুলি সমর্থন করে এমন ফ্রেমওয়ার্ক/প্লাগ-ইন ব্যবহার করে না RSC মোটেও, এই আইটেমের সুযোগের মধ্যে পড়বেন না। S10

Next.js ডাউনস্ট্রিম ঘোষণা তালিকা 16.0.0 — 16.4.0 , সংশোধিত 16.4.1 ; দৃশ্যকল্প হয় App Router , Cache Components , এবং use cache ফাংশন যা একাধিক টাইপ করা অ্যারে ফেরত দেয়। কোন অফিসিয়াল নির্ভরযোগ্য সাধারণ সমাধান নেই, এবং প্রভাবিত সংস্করণের ব্যবহারকারীদের সময়মতো আপগ্রেড করতে হবে। প্রক্রিয়াকরণ শেষ করার জন্য “এই ফাংশনটি বিদ্যমান বলে মনে হচ্ছে না” এর জন্য শুধুমাত্র ম্যানুয়াল অনুসন্ধানের উপর নির্ভর করা উপযুক্ত নয়। S9

তথ্যসূত্র: B. SVG Image Optimization RCE

CVE-2026-96889/GHSA-2464-fhr4-w9xw, 2026-10-14, Critical, CVSS 4.0 9.5। The সমস্যাটি ইমেজ অপ্টিমাইজেশানের জন্য ব্যবহৃত আপস্ট্রিম নেটিভ লাইব্রেরিতে ঘটে। কর্মকর্তারা উল্লেখ করেছেন যে RCE ঝুঁকি glibc Linux পরিস্থিতিতে বিদ্যমান। S11

অফিসিয়াল সংস্করণ ক্ষেত্র হল:

  • >=10.0.0 <=15.5.27；
  • >16.0.0 <=16.4.0。

আধিকারিক 16.x শাখার জন্য >16.0.0 এর একটি কঠোর নিম্ন সীমানা ব্যবহার করেন, কিন্তু এই পরিসীমা বিবৃতি 16.0.0 নিরাপদ তা প্রমাণ করার জন্য যথেষ্ট নয়। প্রকৃত আপগ্রেড লক্ষ্য হল সমানভাবে 15.5.28 / 16.4.1। S11

অফিসিয়াল অস্থায়ী সমাধান হল নিশ্চিত করা যে Next আসলে তীক্ষ্ণ ≥0.35.5 লোড হয়৷ লক ফাইল, নেস্টেড ডিপেন্ডেন্সি, এবং ডিপ্লয়মেন্ট ইমেজ এখনও পুরানো দৃষ্টান্ত ধারণ করতে পারে, তাই শুধুমাত্র শীর্ষ স্তরে sharp নির্ভরতার একটি নতুন সংস্করণ যোগ করা যথেষ্ট নয়, চূড়ান্ত নির্ভরতা ট্রিটি চেক করা এবং পুনর্নির্মাণ করা উচিত। S11

C. Server Actions CPU ক্লান্ত

**GHSA-p3m5-59mp-jv5r, 2026-10-14, High, CVSS 4.0 8.2.**Next প্রভাবিত করে 13.0.0—15.5.27, 16.0.0—16.4.0, 15.5.28 সংশোধন করে /16.4.1। শর্তগুলি হল App Router এবং কমপক্ষে একটি Server Action; ক্ষতিকারক অনুরোধগুলি CPU দীর্ঘ সময়ের জন্য দখলে রাখতে পারে, একই প্রক্রিয়ায় পরবর্তী অনুরোধগুলিকে ব্লক করে। Pages Router সহ বা Server Actions ছাড়া অ্যাপ্লিকেশনগুলি এর দ্বারা প্রভাবিত হয় না৷ S12

আপগ্রেড প্রতিস্থাপন করতে পারে এমন কোন অফিসিয়াল সমাধান নেই। হারের সীমা, সঙ্গতি সীমা এবং সম্পদ কোটা ক্ষতি কমাতে পারে, কিন্তু প্যাচ যাচাইকরণের জন্য উপসংহার হিসাবে ব্যবহার করা যাবে না।

3.5 আগের Next.js একই উইন্ডোতে গুরুতর সমস্যা

নিম্নলিখিত আইটেমগুলি অনুপস্থিত স্থাপনাগুলি এড়াতে উদ্দেশ্যে করা হয়েছে যেগুলি এখনও আগষ্ট-সেপ্টেম্বর-পূর্ব সংস্করণগুলিতে আটকে আছে; এখন টেবিলে পুরানো ফিক্স থ্রেশহোল্ডে যাওয়ার পরামর্শ দেওয়া হয় না।

তারিখশনাক্তকারী / দৃশ্যকল্পপ্রথম ফিক্স; বর্তমান কর্ম
2026-08-25GHSA-2xp9-vwfh-vxw4: AVIF ইমেজ অপ্টিমাইজেশান নেটিভ লাইব্রেরি RCE, Critical15.5.24 / 16.3.3; এখন 15.5.28 / 16.4.1 S13
2026-08-25CVE-2026-75604: RCE, Critical যখন Pages Router এবং App Router একই সাথে Windows এ ব্যবহার করা হয় এবং Cache Components সক্ষম করা হয় না; সংস্করণ >=13.4.0 <15.5.24, >=16.0.0 <16.3.315.5.24 / 16.3.3; Linux/macOS এই নির্দিষ্ট Windows সমস্যা S14 দ্বারা প্রভাবিত হয় না
2026-09-22GHSA-vcvr-r3jv-pc5j: next/og-এ Node ইমেজ-জেনারেশন পাথ অবিশ্বস্ত SVG, Critical প্রক্রিয়া করে; 16.2.0—16.3.516.3.6; Edge বাস্তবায়ন এই সমস্যার সুযোগের বাইরে, এবং 15.x এই RCE S15 এর জন্য প্রভাবিত শাখা নয়

4. Java ইকোসিস্টেম: রানটাইম ট্রাস্ট, কন্টেইনার এবং ফ্রেমওয়ার্ক আলাদাভাবে পরিচালনা করা হয়

4.1 JDK: নিয়মিত CPU এবং CVE-2026-91403 হল দ্বি-স্তরের আপডেট

দ Java SE জন্য ঝুঁকি ম্যাট্রিক্স Oracle CPU 20 অক্টোবর তালিকা 55টি নতুন নিরাপত্তা প্যাচ, যার মধ্যে 49টি প্রমাণীকরণ ছাড়াই নেটওয়ার্কে শোষণযোগ্য হিসাবে চিহ্নিত করা হয়েছে . এর মানে এই নয় যে 55 আছে Critical , বা এর অর্থ এই নয় যে 49টি সরাসরি শোষণযোগ্য RCE প্রতিটি জন্য পাথ Java ওয়েব পরিষেবা; ম্যাট্রিক্সে উপাদান, API, ব্যবহারকারীর মিথস্ক্রিয়া এবং স্থাপনার শর্তগুলির সাথে একত্রে এটি অবশ্যই বোঝা উচিত। S16

পরের দিনের CVE-2026-91403 (CVSS 3.1 9.1) অন্য ধরনের ঝুঁকি নিয়ে কাজ করে: eMudhra ইভেন্টের সাথে সম্পর্কিত মধ্যবর্তী CA এর একটি সেট যা আর বিশ্বাসযোগ্য নয়। এটি TLS পিয়ার প্রমাণীকরণ এবং যোগাযোগের গোপনীয়তা/সততাকে প্রভাবিত করে এবং এটিকে JVM মেমরি দুর্নীতির দুর্বলতা হিসাবে বর্ণনা করা যায় না। S17

Oracle উপদেষ্টা 20শে অক্টোবর প্রকাশিত সংস্করণটিকে প্রভাবিত হিসাবে তালিকাভুক্ত করে, তাই 21শে অক্টোবরের ব্যান্ডের বাইরের আপডেটটিও ইনস্টল করা প্রয়োজন৷ নির্দিষ্ট সংস্করণের জন্য 2.2 বিভাগটি দেখুন। GraalVM-এরও সংশ্লিষ্ট প্রভাবিত পণ্য রয়েছে এবং স্থির সংস্করণটি তার একচেটিয়া নিরাপত্তা বুলেটিনের অধীন হওয়া উচিত। S17S18

অস্থায়ী অফিসিয়াল ব্যবস্থা: প্রথমে ব্যাক আপ করুন, এবং তারপরে প্রতিটি বাস্তবে ব্যবহৃত ট্রাস্টস্টোর থেকে নির্দিষ্ট রুট শংসাপত্র সরান:

  • emSign ECC Root CA - G3, Oracle ওরফে emsigneccrootcag3 [jdk]।
  • AAA Certificate Services, Oracle ওরফে comodoaaaca [jdk]। S19

JDK 11 এবং তার পরে, অফিসিয়াল উদাহরণ হল:

keytool -delete -cacerts -alias "emsigneccrootcag3 [jdk]"
keytool -delete -cacerts -alias "comodoaaaca [jdk]"

এই কমান্ডগুলির জন্য লক্ষ্য JDKথেকেkeytool ব্যবহার করুন এবং নিশ্চিত করুন যে তারা অ্যাপ্লিকেশনটির প্রকৃত ট্রাস্ট স্টোরে কাজ করছে৷ Java 8 jre/lib/security/cacerts এর সাথে সম্পর্কিত পথ ব্যবহার করে; ট্রাস্টস্টোর কাস্টমাইজ করার জন্য আলাদাভাবে পরিচালনা করা আবশ্যক, এবং অন্যান্য প্রকাশকদের বিভিন্ন উপনাম থাকতে পারে। রুট সার্টিফিকেট অপসারণ প্রত্যাখ্যানের সুযোগ প্রসারিত করবে, এবং রিগ্রেশন-টেস্ট বৈধ পরিষেবা শংসাপত্র চেইন। S19

আধিকারিক প্রত্যাহার চেকিং সক্ষম করার বিকল্পও সরবরাহ করে, তবে প্রভাবটি প্রকৃত TLS বাস্তবায়ন, প্রত্যাহার পরিষেবা পৌঁছানোরযোগ্যতা এবং ব্যর্থতার কৌশলের উপর নির্ভর করে। সাধারণ স্থাপনার জন্য, সমস্ত TLS লাইব্রেরি ঠিক করা হয়েছে তার প্রমাণ হিসাবে দুটি JVM সুইচ ব্যবহার করা এড়াতে সম্পূর্ণ বিক্রেতা আপডেট ইনস্টল করার অগ্রাধিকার দিন।

4.2 Tomcat: প্রমাণীকরণ বাইপাস এবং ক্রস-ইউজার অনুরোধ বিচ্ছিন্নতা

নিম্নলিখিত তিনটি আইটেম 2026-10-20 এ প্রকাশিত হয়েছে; মেরামত করা সংস্করণ এন্ট্রির তারিখ October 12। Apache-এর অফিসিয়াল গ্রেড হল Important। S21S22S23

CVEনিশ্চিত প্রভাবিত সংস্করণপ্রয়োজনীয় পরিস্থিতি/ফলাফল
CVE-2026-1012969.0.0.M1—9.0.122；10.1.0-M1—10.1.60；11.0.0-M1—11.0.26JNDIRealm নন-GSSAPI SASL প্রমাণীকরণ প্রক্রিয়া কনফিগার করে, শংসাপত্র যাচাইকরণ অনুপস্থিত, এবং ভুল পাসওয়ার্ডও পাস হতে পারে
CVE-2026-1013569.0.118—9.0.122；10.1.55—10.1.60；11.0.22—11.0.26HTTP/2 এর অ্যাসিঙ্ক্রোনাস সার্ভলেট ত্রুটি হ্যান্ডলিং ভুলভাবে বস্তুর পুনর্ব্যবহার/পুনঃব্যবহার করে, যার ফলে ব্যবহারকারীদের মধ্যে অনুরোধ বা প্রতিক্রিয়া মিশ্রিত হয়
CVE-2026-103119শুধুমাত্র 11.0.0-M25—11.0.26 নিশ্চিত করুনবড় AJP নন-ব্লকিং রাইটগুলি একটি বাফার কম পড়ার কারণ হতে পারে, যা পরবর্তী অনুরোধে পূর্ববর্তী প্রতিক্রিয়া ডেটা প্রকাশ করে।

সংশ্লিষ্ট ফিক্স হল 9.0.123 / 10.1.61 / 11.0.27; ঘোষণা অনুসারে AJP শুধুমাত্র Tomcat 11 হিসাবে তালিকাভুক্ত, এবং একই সমস্যা সহ তিনটি শাখায় প্রসারিত করা যাবে না। S21S22S23

JNDIRealm প্যাচ প্রকৃত প্রমাণীকরণ প্রক্রিয়ায় একটি যাচাইকরণের ফাঁক সংশোধন করে, যেখানে “অ্যাপ্লিকেশন লগইন ইন্টারফেস স্বাভাবিক দেখায়” যাচাইকরণের পরিবর্তে ব্যবহার করা যাবে না। পরিষেবার প্রকৃত কনফিগারেশনের জন্য Realm, SASL প্রক্রিয়াগুলি পরীক্ষা করা উচিত এবং ভুল পাসওয়ার্ডের জন্য পরীক্ষা অবশ্যই ব্যর্থ হবে৷ S24

অন্তর্বর্তীকালীন বাস্তবায়নের পরামর্শ: প্রভাবিত প্রমাণীকরণ পথকে বিচ্ছিন্ন করে; ব্যবসার অনুমতি পেলে HTTP/2 Tomcat প্রক্রিয়াকরণ স্থগিত করুন; অকেজো AJP বন্ধ করুন। শুধুমাত্র AJP পোর্টে সরাসরি অ্যাক্সেস সীমাবদ্ধ করা প্রমাণ করতে পারে না যে আইনি ফ্রন্ট প্রক্সির মাধ্যমে প্রবেশ করা ট্রাফিক প্রভাবিত হবে না। অফিসিয়াল আপডেটের পরে, দুটি স্বাধীন ব্যবহারকারীর থেকে অ্যাসিঙ্ক্রোনাস সমসাময়িক অনুরোধগুলি নিশ্চিত করতে পরীক্ষা করা উচিত যে পরিচয় এবং প্রতিক্রিয়াগুলির মধ্যে কোনও ক্রস-টক নেই।

তথ্যসূত্র: 4.3 Spring for GraphQL：CVE-2026-59285

পাবলিক তারিখ: 2026-08-20; High. প্রভাবিত 2.0.0—2.0.4, মেরামত 2.0.5 (OSS) বা 2.0.4.1 (বাণিজ্যিক সহায়তা)। S25

পেজিং প্রশ্নে এটি একটি অনিরাপদ ডিসিরিয়ালাইজেশন ঝুঁকি। অফিসিয়াল প্রয়োজনীয়তা হল যে নিম্নলিখিত শর্তগুলি একই সময়ে পূরণ করতে হবে:

  1. Spring for GraphQL ব্যবহার করুন।
  2. Jackson 2.x ব্যবহার করে JSON ডিসিরিয়ালাইজ করুন।
  3. বহির্বিশ্বে সংযোগ পেজিং ক্ষেত্র প্রদান করুন।
  4. ক্লাসপথে নির্দিষ্ট ক্লাস রয়েছে যা ইনস্ট্যান্টেশন বা ডিসিরিয়ালাইজেশনের সময় অপ্রত্যাশিত যুক্তি সম্পাদন করতে পারে।

শর্ত পূরণ হলে একটি ক্ষতিকারক GraphQL অনুরোধ RCE হতে পারে। এটি “জ্যাকসন ব্যবহার করে সমস্ত Java প্রোগ্রাম শোষণ করা যেতে পারে” এ হ্রাস করা যাবে না। S25

কেন 2.0.4 অপর্যাপ্ত: জুন মাসে, CVE-2026-41699 প্যাচ বেসলাইন যেমন 2.0.4 দিয়েছিল, এবং আগস্টে ঘোষণাটি স্পষ্টভাবে 2.0.4-এর নতুন স্কোপ-এর প্রভাবে অন্তর্ভুক্ত করেছে। অতএব, পরবর্তী ঘোষণা অনুযায়ী মেরামতের রেকর্ড আপডেট করতে হবে এবং পুরানো CVE এর ন্যূনতম সংস্করণ ব্যবহার করা যাবে না। S26

যখন আপগ্রেড সাময়িকভাবে অনুপলব্ধ থাকে, তখন অবিশ্বস্ত কলারদের কাছে অ্যাক্সেসযোগ্য প্রভাবিত পৃষ্ঠা সংখ্যা ক্ষেত্রগুলি স্থগিত করা যেতে পারে; ডিসিরিয়ালাইজেবল প্রকার এবং ক্লাস পাথগুলিকে সংকুচিত করা একটি গভীর পরিমাপ। প্রত্যাবর্তনের ক্ষেত্রে আইনি কার্সার, পৃষ্ঠাযুক্ত ফলাফল এবং ব্যতিক্রম ইনপুট প্রত্যাখ্যান করা উচিত এবং চূড়ান্ত অ্যাপ্লিকেশন JAR-এর মধ্যে প্রকৃত উপাদান সংস্করণগুলি পরীক্ষা করা উচিত।

4.4 Spring Security: CVE-2026-59270 এবং সম্পর্কিত প্রমাণীকরণ ঝুঁকি

CVE-2026-59270, 2026-08-20, Critical. এমবেডেড UnboundIdContainer ডিফল্টরূপে পরিচিত প্রশাসক শংসাপত্র নিবন্ধন করে এবং সমস্ত নেটওয়ার্ক ইন্টারফাসে শোনে। যখন উপাদান সক্রিয় করা হয় এবং পোর্টটি পৌঁছানো যায়, তখন একজন আক্রমণকারী ডিরেক্টরি ডেটা পড়তে বা পরিবর্তন করতে পারে; যে প্রকল্পগুলি সাধারণত Spring Security প্রবর্তন করে সেগুলি স্বয়ংক্রিয়ভাবে LDAP প্রকাশ করবে না। S27

ক্ষতিগ্রস্ত এলাকা:

শাখাপ্রভাবিতপ্রথম ফিক্স/অধিগ্রহণ চ্যানেল
7.17.1.07.1.1 OSS; এছাড়াও বাণিজ্যিক 7.1.0.1
7.07.0.0—7.0.67.0.7 OSS; এছাড়াও বাণিজ্যিক 7.0.6.1
6.5 / 6.46.5.0—6.5.11；6.4.0—6.4.186.5.12/6.4.19, বাণিজ্যিক
5.8 / 5.75.8.0—5.8.27；5.7.0—5.7.255.8.28/5.7.26, বাণিজ্যিক

সূত্র: S27। spring.ldap.embedded.* স্বয়ংক্রিয় কনফিগারেশন এবং সরাসরি ইনস্ট্যান্টেশন কোডের সমস্যা সমাধান করুন; যখন এটি উত্পাদনের জন্য প্রয়োজন হয় না তখন উপাদানটি বন্ধ করুন এবং প্রকৃত শোনার ঠিকানা পরীক্ষা করুন। যখন ব্যবসার সত্যিই এটির প্রয়োজন হয়, প্রথমে কলিং উত্স সীমিত করুন এবং তারপর উপাদান আপগ্রেড সম্পূর্ণ করুন৷

সম্পর্কিত প্রমাণীকরণ সমস্যা: CVE-2026-47841 ( High ). WebAuthn ব্যবহারকারী প্রমাণীকরণ সেট করা আছে REQUIRED , এবং পরে HTTP সেশনটি বিতরণ করা স্টোরেজ দ্বারা ক্রমিক করা হয়, ভুল বস্তুর পরিচয় তুলনা প্রমাণীকরণের প্রয়োজনীয়তাকে বাতিল করতে পারে। আক্রমণের জন্য আক্রমণকারীর ব্যবহারকারীর প্রমাণীকরণকারী ডিভাইসের দখল থাকা প্রয়োজন, ডিভাইস ছাড়া নির্বিচারে দূরবর্তী লগইন নয়। এর সংশ্লিষ্ট প্রভাবিত সংস্করণের জন্য 7.1 , 7.0 , 6.5 , এবং 6.4 , প্যাচ বেসলাইন উপরের টেবিলের এই শাখাগুলির সাথে সামঞ্জস্যপূর্ণ; যাচাইকরণে ক্রস-নোড সেশনগুলি কভার করা উচিত এবং এখনও পিন/বায়োমেট্রিক যাচাইকরণের প্রয়োজন। S28

5. Python ইকোসিস্টেম: ইন্টারপ্রেটার, স্ট্যান্ডার্ড লাইব্রেরি, ফ্রেমওয়ার্ক এবং সার্টিফিকেট

5.1 CVE-2026-19445: SNI কলব্যাকে SSLContext UAF

প্রকাশের তারিখ: 2026-09-30; PSF লেভেল: Critical. Python সার্ভারে TLS, sni_callback সংযোগটিকে অন্য SSLContext-এর সাথে স্যুইচ করে, এবং অন্য কোনো প্রসঙ্গের সার্ভিং না থাকলে অননুমোদিত TLS ক্লায়েন্ট পরিষেবাটি ক্র্যাশ করতে পারে বা মুক্তিপ্রাপ্ত বস্তুতে একটি পয়েন্টার কল করতে পারে। S29

মূল বিষয় হল Python অবজেক্টটি অন্তর্নিহিত TLS কলব্যাক জীবন চক্রের সাথে অসঙ্গতিপূর্ণ। মূল প্রসঙ্গ প্রকাশ করা হয়েছে, এবং অন্তর্নিহিত স্তরটি এখনও কলব্যাকের জন্য প্রয়োজনীয় স্থিতি ধরে রাখতে পারে; রেফারেন্স লাইফ সাইকেল ঠিক করতে ইন্টারপ্রেটার নেটিভ প্যাচ ব্যবহার করা দরকার। S47

Scope: Python কোড যা শুধুমাত্র একটি TLS ক্লায়েন্ট হিসাবে কাজ করে এই আইটেম দ্বারা প্রভাবিত হয় না; শ্রবণ সকেটের স্বাভাবিক মোড দীর্ঘ সময়ের জন্য মূল প্রসঙ্গ ধরে রাখে ঘোষণায় বর্ণিত নির্দিষ্ট ব্যর্থতার পথের মধ্যে পড়ে না। Nginx TLS বন্ধ করার পরে, এটি শুধুমাত্র স্থানীয় HTTP Python-এর কাছে হস্তান্তর করে এবং Python সরাসরি SNI নিজেই পরিচালনা করে, যা একটি ভিন্ন আক্রমণের পৃষ্ঠ। S29

3.10—3.14 ফিক্সড সংস্করণের সাথে সঙ্গতিপূর্ণ, 2.3. বিভাগটি দেখুন 3.15 এর অফিসিয়াল সংস্করণটি মেরামত করা হয়েছে, এবং 3.15.1 আসলে নির্বাচন করা যেতে পারে৷ শুধুমাত্র pip নির্ভরতা আপডেট করা দোভাষীর _ssl বাস্তবায়নকে প্রতিস্থাপন করতে পারে না। S33S35S47

অফিশিয়াল অস্থায়ী প্রশমন: সমস্ত SSLContext এর শক্তিশালী রেফারেন্স রাখে যেগুলি সার্ভারের জীবনচক্র শেষ না হওয়া পর্যন্ত SNI কলব্যাক সেট করেছে৷ এটি প্রকৃত গতিশীল সৃষ্টি এবং স্যুইচিং পাথগুলিকে কভার করতে হবে; কাস্টম OpenSSL 1.1.1 বিল্ডের অফিসিয়াল ইস্যু রেকর্ডের সাথে একত্রে পুনরায় আলোচনার শর্তগুলিও পরীক্ষা করা উচিত এবং আপডেটগুলি সম্পূর্ণ করতে অগ্রাধিকার দেওয়া উচিত। S29S47

5.2 CVE-2026-19553: হোস্টনামের পতাকা চালু আছে, কিন্তু কল করার সময় হোস্টনামটি নেই

পাবলিক তারিখ: 2026-09-30; High. যখনSSLContext.check_hostname=True, যদি wrap_bio() server_hostname-এ পাস না করা হয়, মূল বাস্তবায়ন নীরবে হোস্টনাম যাচাইকরণ এড়িয়ে যেতে পারে। সফল শংসাপত্র চেইন যাচাইকরণের অর্থ এই নয় যে লক্ষ্য ডোমেন নামটিও মিলেছে। S30

প্রতিকারের জন্য উভয় পদক্ষেপের প্রয়োজন:

  • 2.3. বিভাগে তালিকাভুক্ত ইন্টারপ্রেটার নিরাপত্তা রিলিজ ইনস্টল করুন
  • wrap_bio(), সম্পর্কিত asyncio.create_connection() / loop.start_tls() পাথগুলি পরীক্ষা করুন, প্রত্যাশিত এবং অ-খালি হোস্টনামে স্পষ্টভাবে পাস করুন এবং শংসাপত্র যাচাইকরণ চালু রাখুন৷ S30

**সামঞ্জস্যতা পার্থক্য যা বাদ দেওয়া যাবে না:**3.10, 3.11, 3.12 সামঞ্জস্যের জন্য, শুধুমাত্র DeprecationWarning কিছু ক্ষেত্রে যেখানে হোস্টের নাম নেই; 3.13 এবং পরে ValueError বাড়ান। 3.12 ব্যাকপোর্টও None কে খালি স্ট্রিং থেকে আলাদা করে: None এর জন্য একটি নতুন সতর্কতা যোগ করা হয়েছে এবং খালি স্ট্রিংগুলির জন্য একটি ত্রুটি এখনও রিপোর্ট করা হয়েছে৷ অতএব, নিম্ন-শাখা ব্যবহারকারীরা অনুমান করতে পারে না যে মূলত অনুপস্থিত ডোমেন নাম যাচাইকরণ আপগ্রেড করার মাধ্যমে স্বয়ংক্রিয়ভাবে পুনরুদ্ধার করা হয়েছে। S31S33

একটি পরীক্ষার পরিবেশে, একটি অমিল হোস্টনাম সহ একটি বিশ্বস্ত-চেইন শংসাপত্র ব্যবহার করুন এবং নিশ্চিত করুন যে প্রকৃত অ্যাপ্লিকেশন TLS ক্লায়েন্ট এটিকে প্রত্যাখ্যান করেছে৷ শুধুমাত্র check_hostname বুলিয়ান মান পড়া সম্পূর্ণ গ্রহণযোগ্যতা গঠন করে না।

5.3 CVE-2026-82049: টারফাইল ফিল্টারে লিঙ্ক সংমিশ্রণ বাইপাস

সর্বজনীন তারিখ: 2026-09-14; High . ইন CPython 3.13 এবং পূর্ববর্তী সম্পর্কিত বাস্তবায়ন, অবিশ্বস্ত টার মধ্যে হার্ড লিঙ্ক এবং সিম্বলিক লিঙ্কের সংমিশ্রণ বাইপাস করতে পারে data / tar নিষ্কাশন ফিল্টার, আনপ্যাকিং ট্রিতে আনপ্যাকিং ডিরেক্টরির বাইরে ফাইলের বিষয়বস্তু প্রকাশ করা, বা তাদের অনুমতি এবং পরিবর্তনের সময় পরিবর্তন করা। S32

এই দুর্বলতার নিশ্চিত প্রভাবগুলির মধ্যে ফাইল বিষয়বস্তু এক্সপোজার এবং মেটাডেটা পরিবর্তন অন্তর্ভুক্ত; এই প্রভাবগুলি একা বহিরাগত ফাইল সামগ্রীর নির্বিচারে ওভাররাইটিং বা RCE এর নিঃশর্ত বাস্তবায়ন প্রদর্শনের জন্য যথেষ্ট নয়।

এর সংশ্লিষ্ট প্যাচ বেসলাইন জন্য 3.10 — 3.13 , বিভাগ দেখুন 2.3. Python 3.14 কারণে এই নির্দিষ্ট সমস্যা থেকে অব্যাহতি দেওয়া হয়েছে os.link() থেকে আচরণ পরিবর্তন 3.14.0b1 , তাই প্রভাবিত সুযোগ 3.10 — 3.13 উপরের শাখা প্রযোজ্য নয়। S33

অস্থায়ী এবং গভীরতার ব্যবস্থা: অবিশ্বস্ত সংরক্ষণাগারগুলির স্বয়ংক্রিয় নিষ্কাশন স্থগিত করে; বিচ্ছিন্ন স্বল্প-সুবিধাপ্রাপ্ত কর্মী প্রক্রিয়া এবং নতুন একচেটিয়া ডিরেক্টরি ব্যবহার করুন যখন ব্যবসা প্রক্রিয়া করা আবশ্যক, ব্যবসার দ্বারা প্রতীকী লিঙ্ক, হার্ড লিঙ্ক এবং ডিভাইস এন্ট্রি অস্বীকার করুন এবং ফাইল এবং ডিকম্প্রেশন সংস্থানগুলির সংখ্যা সীমিত করুন। এই স্থাপনার সুপারিশ.

filter="data" সম্পূর্ণ বিশ্বস্ত কৌশলের চেয়ে সাধারণ অবিশ্বস্ত সংরক্ষণাগারগুলির জন্য আরও উপযুক্ত, তবে পুরানো সংস্করণে থাকা ফিল্টারটিতেও এই দুর্বলতা রয়েছে এবং শুধুমাত্র এই প্যারামিটারটি যোগ করা আপডেটটিকে প্রতিস্থাপন করতে পারে না। ফিল্টারটি একটি সম্পূর্ণ ফাইল সিস্টেম স্যান্ডবক্সও নয়। S32S45

5.4 পরিপূরক ঝুঁকি: CVE-2026-114583 (Medium) এবং প্যাচ রিলিজ অবস্থা

PSF 2026-10-22-এ প্রকাশ করা হয়েছে যে tarfile.tar_filter-এর নির্দিষ্ট লিঙ্কের নামগুলির প্রক্রিয়াকরণ বাইপাস করা যেতে পারে, যার ফলে পরবর্তী সদস্যরা আনপ্যাকিং ডিরেক্টরির বাইরে লিখতে পারবেন, যার একটি স্তর রয়েছে Medium. অফিসিয়াল ফিক্স PR সেদিন একত্রিত হয়েছিল; 23 অক্টোবর, 2026 পর্যন্ত, এই প্রতিশ্রুতি ধারণকারী কোন অফিসিয়াল রক্ষণাবেক্ষণ প্রকাশ নিশ্চিত করা হয়নি। S40

অতএব:

  • এই আইটেমটি Medium হিসাবে আলাদাভাবে তালিকাভুক্ত করা হয়েছে৷
  • 21শে অক্টোবর প্রকাশিত দোভাষী সংস্করণগুলিকে এই সংশোধন অন্তর্ভুক্ত করা হয়েছে বলে বিবেচনা করা যাবে না৷
  • অবিশ্বস্ত আর্কাইভগুলি পরিচালনা করতে এখনও filter="tar" ব্যবহার করে এমন প্রক্রিয়াটি রিলিজ ব্যাকপোর্ট ট্র্যাক করা উচিত; এই প্রক্রিয়াকরণ পথটিকে অল্প সময়ের জন্য বিচ্ছিন্ন বা স্থগিত করুন। data-এ স্যুইচ করার সময় এবং লিঙ্কগুলি প্রত্যাখ্যান করার সময়, আপনাকে অবশ্যই নিশ্চিত করতে হবে যে এটি ব্যবসার প্রয়োজনীয়তা পূরণ করে এবং ফিল্টার পরিবর্তনকে শর্তহীন স্যান্ডবক্স হিসাবে বর্ণনা করা যাবে না।

5.5 GeoDjango: CVE-2026-15307 এবং অক্টোবরে পরবর্তী সংশোধন

2026-08-04, Django অফিসিয়াল High. স্থানিক ক্যোয়ারী স্পষ্টভাবে GDALRaster-এ কিছু স্ট্রিং/অভিধান পাস করে, এবং ড্রাইভার নেটওয়ার্কে ফাইল লিখতে পারে; RCE গঠিত হতে পারে যখন নির্দিষ্ট পাথ এবং পরবর্তী কার্যকর করার শর্ত থাকে। স্থানিক ক্ষেত্রের মডেল দেখার অনুমতি সহ স্টাফরাও অ্যাডমিন চেঞ্জলিস্টের মাধ্যমে এই পথটি অ্যাক্সেস করতে পারে। S38

প্রাথমিক সমাধান হল 5.2.17 / 6.0.8, যা স্থানিক লুকআপ দ্বারা গৃহীত ইনপুট প্রকারগুলিকে সীমাবদ্ধ করে৷ এই পরিবর্তন রাস্টার প্রকাশ করতে স্ট্রিং/অভিধান ব্যবহার করার মূল ব্যবসাকে প্রভাবিত করতে পারে; GDALRaster-এ অবিশ্বস্ত ইনপুট মোড়ানো মানে এটা যাচাই করা নয়। S38

গত ৬ অক্টোবর, CVE-2026-87890 (মধ্যম) মেরামত করা হয়েছিল: বাইটে প্রকাশ করা VRT বাহ্যিক সংস্থানগুলিকে উল্লেখ করতে পারে এবং এখনও নেটওয়ার্ক অনুরোধগুলিকে ট্রিগার করে; একই দিনে, নেস্টেড জ্যামিতি DoS এর সুরক্ষা CVE-2026-15830 এছাড়াও শক্তিশালী করা হয়েছিল। পরবর্তী দুটি নতুন উচ্চ-ঝুঁকি বর্ণনা করার জন্য আপগ্রেড করা যাবে না RCE , কিন্তু ইঙ্গিত করুন যে স্থাপনার বেসলাইন হওয়া উচিত 5.2.18 / 6.0.9 / 6.1.2 . S39

বাস্তবায়নটি API এবং প্রশাসনিক ইন্টারফেসের দুটি এন্ট্রি পয়েন্ট পরীক্ষা করে, অবিশ্বস্ত স্থানিক লুকআপ, ফাইল লেখার অনুমতি এবং আউটবাউন্ড অ্যাক্সেস সীমাবদ্ধ করে; আপডেট করার পরে, রিগ্রেশন-টেস্ট বৈধ স্থানিক প্রশ্ন এবং নিষিদ্ধ ইনপুট প্রত্যাখ্যান। সাধারণ Django অ্যাপ্লিকেশনগুলি যেগুলি GeoDjango ব্যবহার করে না এই RCE উপসংহারটি সরাসরি প্রয়োগ করা উচিত নয়৷

5.6 certifi / pip: শংসাপত্রের বিশ্বাস অবশ্যই প্রতিটি কপি কভার করবে

GHSA-6q48-6c7w-9gw2 , 2026-10-20, Critical , পরিচিত CVE তালিকাভুক্ত নয় এই সার্টিফিকেট অবিশ্বাস আপডেট দ্বারা সৃষ্ট eMudhra মধ্যবর্তী CA ঘটনা এটি HTTPS-এর ক্রিপ্টোগ্রাফি প্রক্রিয়া বা সমস্ত রুট সার্টিফিকেট ক্র্যাক করা হয়েছে বলে সংক্ষিপ্ত করা যাবে না। S36

certifi উপদেষ্টা মূলত 2026.10.18 একটি প্যাচ হিসাবে তালিকাভুক্ত; PSF পরে স্পষ্টভাবে 2026.10.19 অপ্রভাবিত রুট সার্টিফিকেটের সাথে সামঞ্জস্য রক্ষা করার জন্য সুপারিশ করেছে। অপারেটিং বেসলাইন হল .19। S36S37

পার্থক্য করা প্রয়োজন:

ভরসা উপাদান অবস্থানকেন আপনি আলাদাভাবে চেক করতে হবে
অপারেটিং সিস্টেম CA প্যাকেজইমেজ বা হোস্ট জন্য সিস্টেম বিশ্বাস উপাদান
venv মধ্যে certifiCA bundle আসলে অ্যাপ্লিকেশন বা অনুরোধ ইত্যাদি দ্বারা ব্যবহৃত হয়।
pip অন্তর্নির্মিত certifiবাহ্যিকভাবে ইনস্টল করা certifi থেকে একটি ভিন্ন অনুলিপি
uv / অন্যান্য প্যাকেজিং সরঞ্জামটুলের নিজস্ব আপডেট এবং বিশ্বস্ত সূত্র অনুসরণ করুন
কাস্টমাইজড CA ফাইল, প্যাকেজ করা স্ন্যাপশটসিস্টেম বা প্যাকেজের জন্য ডিফল্ট বিশ্বস্ত উৎসগুলিকে ওভাররাইড করা চালিয়ে যেতে পারে

উপরের বিভিন্ন প্যাকেজিং অবস্থানের উপর ভিত্তি করে একটি চেকলিস্ট। PSF এর জন্য সম্পর্কিত সরঞ্জামগুলি আপডেট করা, বিদ্যমান ভার্চুয়াল পরিবেশ এবং চিত্রটি পুনর্নির্মাণের প্রয়োজন; শুধুমাত্র হোস্ট CA আপডেট করা বা ইন্টারপ্রেটার পুনরায় ইনস্টল করা প্রমাণ করতে পারে না যে সমস্ত কপি রিফ্রেশ করা হয়েছে। S35S37

পুরানো pip সুরক্ষিত বুটস্ট্র্যাপ থেকে আপগ্রেড করার সময়, PSF ফিক্সড হুইল এবং SHA-256 এর জন্য কমান্ড প্রদান করে, পরিশিষ্ট S37 দেখুন। TLS যাচাইকরণ বন্ধ করবেন না বা শংসাপত্রের সমস্যাগুলি বাইপাস করতে --trusted-host যোগ করবেন না।

6. আনুষ্ঠানিক প্রতিকার প্রক্রিয়া

নিম্নলিখিত কমান্ডগুলি নিশ্চিত বিশ্বস্ত পরিবেশের জন্য। কার্যকর করার সময়, বিরোধপূর্ণ লক ফাইল তৈরি করতে npm/pnpm/সুতা বা pip/uv/কবিতা মেশানো এড়াতে প্রকল্পের বিদ্যমান প্যাকেজ ম্যানেজার, লক ফাইল এবং স্থাপনার প্রক্রিয়া একত্রিত করা উচিত।

প্রথমে একটি ব্যতিক্রম পরিচালনা করুন: যদি আপনি সন্দেহ করেন যে পরিবেশ 9-এ আপোষকৃত প্যাকেজটি চালায়, তাহলে প্রথমে এটিকে আলাদা করুন এবং একটি পরিষ্কার পরিবেশ থেকে ডিস্ক, লক ফাইল এবং চিত্র রেকর্ড পরীক্ষা করুন; নিচের Python/pip কমান্ডটি প্রথমে চালাবেন না। S41

6.1 একটি খাতা স্থাপন করুন যা প্রকৃত ট্র্যাফিকের সাথে সামঞ্জস্যপূর্ণ হতে পারে

প্রতিটি পরিষেবা কমপক্ষে রেকর্ড করে:

  • এক্সটার্নাল এন্ট্রি পয়েন্ট, রিভার্স প্রক্সি, মূল সাইটের সরাসরি সংযোগ পথ এবং ব্যাকগ্রাউন্ড সারি/নির্ধারিত কাজ।
  • প্রকৃত স্টার্টআপ কমান্ড, চলমান অ্যাকাউন্ট, বাইনারি পাথ, প্রক্রিয়া বা ধারক পরিচয়।
  • রানটাইম পূর্ণ সংস্করণ, প্রকাশক/ভান্ডার, প্যাকেজ সম্পূর্ণ সংস্করণ, বা ইমেজ ডাইজেস্ট।
  • ফ্রেমওয়ার্ক এবং ট্রানজিটিভ নির্ভরতা, লক ফাইল, নেটিভ লাইব্রেরি এবং ট্রাস্ট স্টোর পাথ।
  • দুর্বলতার অবস্থা বিদ্যমান কিনা, প্যাচ টার্গেট, রিস্টার্ট স্কোপ, দায়িত্বশীল ব্যক্তি এবং যাচাইয়ের ফলাফলের সাথে সম্পর্কিত।

ডেভেলপমেন্ট মেশিন, সিআই রানার, কনটেইনার তৈরি এবং ব্যাকগ্রাউন্ডের কাজগুলিও অবিশ্বস্ত সামগ্রীতে তাদের পথ অনুযায়ী পরীক্ষা করা উচিত; শুধু পাবলিক-মুখী ওয়েব কন্টেইনার আপডেট করবেন না।

6.2 Node.js: প্রথমে রানটাইম নির্ধারণ করুন, তারপর অ্যাপ্লিকেশন নির্ভরতা আপডেট করুন

প্রকৃত পরিষেবা পরিবেশ পরীক্ষা করুন:

node -p 'JSON.stringify({execPath:process.execPath,node:process.version,openssl:process.versions.openssl,brotli:process.versions.brotli},null,2)'
npm ls next react react-dom react-server-dom-webpack react-server-dom-parcel react-server-dom-turbopack sharp --all
npm audit --omit=dev

node -p পরিষেবার প্রকৃত এক্সিকিউটেবল ব্যবহার করে বা একটি প্রকৃত কন্টেইনারের মধ্যে কার্যকর করা উচিত; এটি নতুন চালু হওয়া প্রক্রিয়াগুলির জন্য পরীক্ষা করে এবং নিজেই প্রমাণ করে না যে পুরানো কর্মীকে প্রতিস্থাপন করা হয়েছে। Node মূল লাইব্রেরি সংস্করণ স্ট্রিং বজায় রেখে অন্তর্নির্মিত Brotli-এ প্যাচ যোগ করতে পারে। অতএব, এটি মেরামত করা হয়েছে কিনা তা নির্ধারণ করতে শুধুমাত্র process.versions.brotli-এর উপর নির্ভর করবেন না। আপনার এটিকে Node নিরাপত্তা সংস্করণ বা বিক্রেতার ব্যাকপোর্ট প্রমাণের সাথে একত্রিত করা উচিত। S2S4

npm ls প্রকৃত নির্ভরতা গাছ দেখতে ব্যবহৃত হয়; অনুপস্থিত প্যাকেজ বা পিয়ার দ্বন্দ্বগুলিও নন-জিরো এক্সিট কোড তৈরি করতে পারে, তাই আপনার নির্দিষ্ট আউটপুট পড়া উচিত। npm audit নির্ভরতা চেকিং সহায়তা হিসাবে ব্যবহৃত হয় এবং Node বাইনারি এবং নেটিভ লাইব্রেরি চেকিং প্রতিস্থাপন করতে পারে না।

Node 24এর পরিবেশ পরিচালনা করতেmise ব্যবহার করুন, যা নিম্নরূপ আপডেট করা যেতে পারে:

mise use -g [email protected]
mise exec [email protected] -- node -p 'process.version + " " + process.execPath'

mise use -g গ্লোবাল সংস্করণ কনফিগার করে; প্রকল্পের স্থানীয় কনফিগারেশন এখনও আলাদাভাবে চেক করা প্রয়োজন। যদি পরিষেবাটি পুরানো পরম পথ, কন্টেইনার বেস ইমেজ বা ভিন্ন অ্যাকাউন্টের পরিবেশ ঠিক করে থাকে, তাহলে সংশ্লিষ্ট কনফিগারেশন আপডেট করতে হবে এবং পরিষেবাটি পুনরায় চালু করতে হবে। কমান্ড নিজেই একটি পুরানো চলমান প্রক্রিয়া প্রতিস্থাপন করে না। S43

Next প্রকল্পে, নির্বাচিত শাখা অনুযায়ী সংশ্লিষ্ট কমান্ডটি চালান। Next 15 এর জন্য:

# Next 15 分支
npm install --save-exact [email protected]

Next 16 এর জন্য:

# Next 16 分支
npm install --save-exact [email protected]

React/RSC সামঞ্জস্যপূর্ণ নির্ভরতা, লক ফাইল এবং চূড়ান্ত তীক্ষ্ণ দৃষ্টান্ত পরীক্ষা করুন এবং তারপর প্রকল্প প্রক্রিয়া অনুযায়ী তৈরি করুন। পুনরুত্পাদনযোগ্য ইনস্টলেশনের জন্য CI-তে আপডেট করা লক ফাইলটি ব্যবহার করুন এবং নির্মাণের পরে চলমান ছবিতে সংস্করণটি পরীক্ষা করুন। এই জরুরি অবস্থার জন্য ডিফল্ট সমাধান হিসাবে প্রধান সংস্করণগুলিতে অনিয়ন্ত্রিত স্বয়ংক্রিয় মেরামত ব্যবহার করবেন না।

6.3 Java: প্রকাশক, প্রকৃত JVM এবং এম্বেড করা উপাদান যাচাই করুন

প্রাথমিক জায়:

java -XshowSettings:properties -version

java.home, java.runtime.version এবং আউটপুটে প্রকাশক প্রকৃতপক্ষে পরিষেবা দ্বারা ব্যবহৃত JVM এর সাথে সারিবদ্ধ হওয়া উচিত। সংযুক্তির অনুমতি সহ JVM-এর জন্য, JDK-এর jcmd শুধুমাত্র লগইন শেল নয়, লক্ষ্য প্রক্রিয়া পরীক্ষা করতে ব্যবহার করা যেতে পারে।

বিশ্বস্ত প্রকল্পগুলিতে নির্ভরতা পরীক্ষা করুন এবং প্রকৃত বিল্ড সরঞ্জামগুলির উপর ভিত্তি করে নির্বাচন করুন:

./mvnw dependency:tree '-Dincludes=org.apache.tomcat.embed:*,org.springframework.security:*,org.springframework.graphql:*'

./gradlew dependencyInsight --dependency tomcat-embed-core --configuration runtimeClasspath
./gradlew dependencyInsight --dependency spring-security-core --configuration runtimeClasspath
./gradlew dependencyInsight --dependency spring-graphql --configuration runtimeClasspath

এই বিল্ড কমান্ডগুলি প্লাগ-ইনগুলি চালাতে পারে এবং নির্ভরতাগুলি অনলাইনে সমাধান করতে পারে এবং শুধুমাত্র বিশ্বস্ত প্রকল্পগুলিতে চালিত হতে পারে। ছবিতে চূড়ান্ত JAR/WAR বা প্রকৃত JAR চেক করুন এবং চূড়ান্ত শিল্পকর্মের জন্য বিল্ড ফাইল ঘোষণার বিকল্প করবেন না। Spring বুট এমবেডেড Tomcat অ্যাপ্লিকেশন পুনর্নির্মাণের প্রয়োজন; সিস্টেমে একটি পৃথক Tomcat ইনস্টলেশন আপডেট করা অ্যাপ্লিকেশন প্যাকেজের অনুলিপিটি পরিবর্তন করবে না।

রানটাইম আপডেট হওয়ার পর, কাস্টমাইজ করা javax.net.ssl.trustStore, অ্যাপ্লিকেশন-সেলফ-লোডেড কীস্টোর, jlink রানটাইম, GraalVM/নেটিভ ইমেজ এবং অন্যান্য ডেলিভারি ফর্ম আইটেম অনুসারে চেক করুন। যে অ্যাপ্লিকেশনগুলিতে ইতিমধ্যেই কাস্টমাইজড ট্রাস্ট উপাদান রয়েছে সেগুলি JDK ডিরেক্টরিটি নতুন হওয়ার কারণে চেক শেষ করতে পারে না৷

6.4 Python: দোভাষী দ্বারা দোভাষী এবং ভার্চুয়াল পরিবেশ প্রক্রিয়াকরণ

প্রকৃত venv/পাত্রে বিশ্বাসযোগ্য বলে নিশ্চিত করা হয়েছে:

python - <<'PY'
import sys
import ssl
import importlib.metadata as metadata

print("executable:", sys.executable)
print("version:", sys.version)
print("openssl:", ssl.OPENSSL_VERSION)
print("verify_paths:", ssl.get_default_verify_paths())
for name in ("pip", "certifi", "Django", "urllib3", "Brotli", "litellm"):
    try:
        print(name + ":", metadata.version(name))
    except metadata.PackageNotFoundError:
        print(name + ": not installed")
PY

python -m pip --version
python -m pip check

এই স্ক্রিপ্টটি শুধুমাত্র তথ্য সংগ্রহ করে এবং সংস্করণের যোগ্যতা নির্ধারণ করে না। ssl.get_default_verify_paths() হল ডিফল্ট পাথ তথ্য এবং প্রমাণ করতে পারে না যে সমস্ত তৃতীয় পক্ষের ক্লায়েন্ট একই ট্রাস্ট স্টোর ব্যবহার করে; এটি অ্যাপ্লিকেশন কনফিগারেশনের উপর ভিত্তি করে নিশ্চিত করা উচিত।

পরিশিষ্ট S37 এর বিশ্বস্ত pip বুট আপগ্রেড সম্পূর্ণ করার পরে, প্রকল্পের সীমাবদ্ধতা অনুযায়ী শংসাপত্র নির্ভরতা আপডেট করুন, উদাহরণস্বরূপ:

python -m pip install --upgrade 'certifi>=2026.10.19'

# 仅适用于当前就选择 Django 5.2 的项目
python -m pip install --upgrade 'Django>=5.2.18,<5.3'

python -m pip check

প্রকল্পের প্রয়োজনীয়তা/লক ফাইল একই সময়ে আপডেট করা প্রয়োজন, অন্যথায় পরবর্তী স্থাপনা পুরানো সংস্করণে ফিরে যেতে পারে। uv, কবিতা, বা একটি এন্টারপ্রাইজ প্যাকেজ সংগ্রহস্থল ব্যবহার করার সময়, তাদের বিদ্যমান লকিং এবং প্রকাশনা প্রক্রিয়াগুলি ব্যবহার করুন; শুধুমাত্র একটি প্রোডাকশন পাত্রে প্যাকেজ ম্যানুয়ালি পরিবর্তন করবেন না।

প্রকল্পের বিদ্যমান pip-audit কর্মপ্রবাহ একটি বিশ্বস্ত পরিবেশে পরিচিত নির্ভরতা দুর্বলতা পরীক্ষা করতে ব্যবহার করা যেতে পারে; এটি একটি দূষিত কোড স্ক্যানার নয় এবং সমস্ত দোভাষী, সিস্টেম লাইব্রেরি এবং ট্রাস্ট স্টোর ঝুঁকি কভার করে না। S44

I সিস্টেম /usr/bin/python3 কে একটি নতুন সংকলিত সংস্করণের দিকে নির্দেশ করতে বাধ্য করার সুপারিশ করা হয় না। সিস্টেম Python এর উপর নির্ভর করে এমন ব্যবস্থাপনার সরঞ্জামগুলি ভাঙতে এড়াতে রিলিজ নিরাপত্তা আপডেট বা প্রকল্প বিচ্ছিন্নতা রানটাইম ব্যবহার করুন। এটি একটি বাস্তবায়ন পছন্দ এবং এই দুর্বলতার জন্য একটি অতিরিক্ত ফিক্স প্রয়োজনীয়তা নয়।

6.5 পুনঃনির্মাণ করুন এবং চলমান উদাহরণটি প্রতিস্থাপন করুন

সম্পূর্ণ পরিবর্তন হিসাবে নিম্নলিখিত পদক্ষেপগুলি নেওয়ার সুপারিশ করা হয়:

  1. আসল বিশ্বস্ত উত্স থেকে প্যাচটি পান এবং সংস্করণ/হ্যাশ এবং নির্ভরতা লক সংরক্ষণ করুন।
  2. একটি কাছাকাছি-উৎপাদন পরিবেশে মূল ফাংশনগুলি ফিরিয়ে দিন এবং নিশ্চিত করুন যে নেটিভ এক্সটেনশনগুলি JVM/ফ্রেমওয়ার্কের সাথে সামঞ্জস্যপূর্ণ৷
  3. রানটাইম, অ্যাপ্লিকেশন নির্ভরতা এবং প্রকৃত ট্রাস্ট স্টোর আপডেট করুন; ধারকটির জন্য বেস ইমেজ এবং সিস্টেম CA রিফ্রেশ করুন, শুধুমাত্র পুরানো স্তরটি পুনরায় ব্যবহার করবেন না।
  4. অ্যাপ্লিকেশন এবং চিত্রগুলি পুনঃনির্মাণ করুন এবং একটি রোলিং ভিত্তিতে পরিষেবা, কর্মী, সারি ভোক্তা এবং নির্ধারিত টাস্ক ইনস্ট্যান্সগুলি প্রতিস্থাপন করুন।
  5. নতুন চলমান উদাহরণে সংস্করণ এবং কনফিগারেশন পুনরায় পরীক্ষা করুন এবং নিশ্চিত করুন যে সমস্ত পুরানো অনুলিপি প্রস্থান হয়েছে।
  6. ত্রুটির হার, লেটেন্সি, CPU/মেমরি, TLS হ্যান্ডশেক ব্যর্থতা এবং প্রক্রিয়া ক্র্যাশগুলি পর্যবেক্ষণ করুন৷

রোলব্যাক নিরাপদ রানটাইম এবং প্যাচ নির্ভরতা ধরে রাখা এবং অ্যাপ্লিকেশন কনফিগারেশন বা ব্যবসায়িক পরিবর্তনগুলিকে রোলব্যাক করতে অগ্রাধিকার দেওয়া উচিত। যদি আপনাকে দুর্বলতার সাথে একটি পুরানো পণ্যে ফিরে যেতে হয়, তবে সংশ্লিষ্ট প্রবেশ বিধিনিষেধগুলি একই সাথে পুনরুদ্ধার করা উচিত এবং দায়ী ব্যক্তি এবং ন্যূনতম পুনরুদ্ধারের সময়কাল স্পষ্টভাবে সংজ্ঞায়িত করা উচিত।

7. অস্থায়ী প্রশমন এবং প্যাচ নির্বাচন

7.1 অস্থায়ী ব্যবস্থার কভারেজ সীমানা

ঘোষিত ব্যবহারের শর্তগুলির উপর ভিত্তি করে নিম্নলিখিতগুলি বাস্তবায়নের পরামর্শ রয়েছে৷ অফিসিয়াল প্ল্যানটি উল্লেখ না করা পর্যন্ত, বিক্রেতা গ্যারান্টি দেয় না যে সমস্ত ভেরিয়েন্ট সম্পূর্ণরূপে ব্লক করা যেতে পারে।

ঝুঁকিসাময়িক ব্যবস্থা নেওয়া যেতে পারেএর উপর ভিত্তি করে যে অংশটিকে সম্পূর্ণ বলে গণ্য করা যাবে না
Brotli ডিকোডিংঅবিশ্বস্ত ইনপুট ডিকোডিং বন্ধ করুন; ইনবাউন্ড এবং আউটবাউন্ড স্বয়ংক্রিয় ডিকম্প্রেশন চেক করুনইনবাউন্ড WAF বা প্রতিক্রিয়া কম্প্রেশন বন্ধ করা সমস্ত ডিকোডিং এন্ট্রি S3 কভার করে না
Next.js typed arrays RCEঅবিলম্বে আপগ্রেড করুন; প্রয়োজনে প্রভাবিত পরিষেবাগুলিকে সাময়িকভাবে বিচ্ছিন্ন করুনS9 এর কোন অফিসিয়াল নির্ভরযোগ্য সার্বজনীন সমাধান নেই
Next.js SVG RCEঅফিসিয়াল পরিকল্পনা: প্রকৃত ধারালো ≥0.35.5 নিশ্চিত করুন; ব্যবসার অনুমতি দিলে প্রাসঙ্গিক অপ্টিমাইজেশান এন্ট্রি পয়েন্ট স্থগিত করুনঅন্যান্য Next/RSC সমস্যাগুলি S11 কভার করে না
Tomcat রাজ্য / HTTP/2 / AJPসংশ্লিষ্ট পথ বিচ্ছিন্ন করুন এবং অপ্রয়োজনীয় সংযোগকারী বন্ধ করুনএখনও সংশ্লিষ্ট শাখা মেরামতের প্যাকেজ S21S22S23 প্রয়োজন
GraphQL ডিসিরিয়ালাইজেশনপ্রভাবিত সংযোগ ক্ষেত্র স্থগিত; অবিশ্বস্ত কলকারীদের সীমাবদ্ধ করুনশুধুমাত্র অনুরোধের দৈর্ঘ্য সীমা S25 প্রকার/ডিসারিয়ালাইজেশন সমস্যার সমাধান করতে পারে না
Spring embedded LDAPপ্রয়োজন না হলে অক্ষম করুন; বাস্তব শোনার পোর্টের নাগাল সীমিত করুনডিফল্ট প্রশাসনিক পরিচয় এবং ডিরেক্টরি অখণ্ডতা এখনও S27 চেক করা প্রয়োজন
CPython SNI UAFঅফিসিয়াল প্ল্যান: পরিষেবা শেষ না হওয়া পর্যন্ত প্রাসঙ্গিক SSLContext শক্তিশালী রেফারেন্স রাখুনসমস্ত তৈরি/সুইচ পাথ অবশ্যই S29 কভার করতে হবে
Python হোস্টনাম এড়িয়ে যানঅফিসিয়াল সমাধান: প্রত্যাশিত সার্ভার_হোস্টনাম সঠিকভাবে পাস করুনশুধু চেক_হোস্টনাম পতাকা চেক করা যাবে না বা সতর্কতা উপেক্ষা করতে পারবে না S30S31
অবিশ্বস্ত টারনিষ্ক্রিয়/কোয়ারেন্টাইন নিষ্কাশন, অপ্রয়োজনীয় লিঙ্ক এবং ডিভাইস এন্ট্রি প্রত্যাখ্যান করুনফিল্টার বা রিসোর্স কোটা কোনোটাই সার্বজনীন স্যান্ডবক্স নয় S32S40S45
সার্টিফিকেট ট্রাস্ট ইভেন্টসঠিক CA উপাদান আপডেট করুন; Java বিশ্বাস অফিসিয়াল প্রশমন অনুযায়ী সীমাবদ্ধ করা যেতে পারেTLS যাচাইকরণ নিষ্ক্রিয় করা ঝুঁকি S19S37 বাড়ায়

7.2 ডেলিভারি পদ্ধতির উপর ভিত্তি করে প্যাচ নির্বাচন করুন

ডেলিভারি পদ্ধতিমেরামত পদ্ধতি অগ্রাধিকারপ্রমাণ রাখতে হবে
বিতরণ-পরিচালিত রানটাইমপ্রস্তুতকারকের সংশ্লিষ্ট নিরাপত্তা আপডেটসম্পূর্ণ প্যাকেজ সংস্করণ, ঘোষণা, সংগ্রহস্থল উৎস
অফিসিয়াল বাইনারি/রানটাইম ম্যানেজারএকই শাখা থেকে সরকারী নিরাপত্তা রিলিজসংস্করণ, উৎস এবং ডাইজেস্ট, প্রকৃত সম্পাদনের পথ
স্ব-সংকলিত Node / CPythonম্যাচিং শাখার অফিসিয়াল সোর্স রিলিজ বা বিক্রেতার সম্পূর্ণ প্যাচ সেটকমিট সেট, বিল্ড প্যারামিটার, নির্ভরশীল লাইব্রেরি এবং রিগ্রেশন ফলাফল
Spring / Next / Djangoইন-শাখা আপডেট, নির্ভরতা লক পুনর্নির্মাণ এবং চূড়ান্ত অ্যাপ্লিকেশনগুলির সাথে সামঞ্জস্যপূর্ণচূড়ান্ত নির্ভরতা গাছ, JAR/প্যাকেজ/ছবিতে প্রকৃত সংস্করণ
কাস্টম বিশ্বাস দোকানঅফিসিয়াল প্রত্যাহার পরিকল্পনা বা বিক্রেতা আপডেট প্রত্যাহার নিশ্চিত করেপ্রকৃত ব্যবহারের পথ, উপাদান পরিবর্তন, TLS সাফল্য এবং প্রত্যাখ্যান পরীক্ষা
আপোষহীন পরিবেশপরিষ্কার এবং বিশ্বস্ত পণ্য থেকে পুনর্নির্মাণ করুন এবং পৃথক ঘটনার তদন্ত পরিচালনা করুনঐতিহাসিক প্যাকেজ/ইমেজ ডাইজেস্ট, ইনস্টলেশন রেকর্ড, শংসাপত্র ঘূর্ণন রেকর্ড

7.3 কী প্যাচ প্রক্রিয়া এবং পর্যালোচনা ফোকাস

  • Brotli: বিল্ডে প্রবেশ করার আগে সীমানা চেক এবং নেটিভ ডিকোডিং স্ট্যাটাসের ত্রুটি রিটার্ন সম্পূর্ণ হয়েছে কিনা সেদিকে মনোযোগ দেয়; শুধুমাত্র JavaScript প্যাকেজ প্রতিস্থাপন করলে স্ট্যাটিকভাবে Node এ কম্পাইল করা কোড পরিবর্তন করা যাবে না। S4
  • Node DNS / TLS : ইনপুট প্রত্যাখ্যান, ঠিকানা স্বাভাবিককরণ, মধ্যে পার্থক্যের উপর ফোকাস করে IP সান এবং DNS পরিচয়, এবং DNS কলব্যাক/প্রমিস পার্সিং পাথ এবং TLS হোস্টনাম ম্যাচ টেস্ট। S5 S6
  • Tomcat JNDIRealm: শুধুমাত্র একটি ডিরেক্টরি প্রসঙ্গ প্রাপ্ত করার পরিবর্তে প্রমাণীকরণ প্রক্রিয়া প্রকৃতপক্ষে প্রমাণপত্রাদি যাচাই করে কিনা তার উপর ফোকাস করে; অফিসিয়াল সংস্করণকে অগ্রাধিকার দেওয়া এবং একটি একক উত্স ফাইল প্রতিস্থাপনকে সম্পূর্ণ বাইনারি প্যাচ হিসাবে বিবেচনা না করা। S24
  • CPython ssl: Python রেফারেন্স মালিকানা এবং অন্তর্নিহিত SSLContext এর জীবনচক্রের উপর দৃষ্টি নিবদ্ধ করে; wrap_bio() শাখা সামঞ্জস্যের পার্থক্য থাকার সময় ব্যাকপোর্ট করে, এবং আপনাকে অবশ্যই ব্যবহৃত শাখাটির প্রকৃত বাস্তবায়ন পড়তে হবে। S31S47
  • শংসাপত্র অবিশ্বাস: এই ধরনের আপডেটগুলি বিশ্বস্ত উপাদান হিসাবে প্রদর্শিত হতে পারে বা সুস্পষ্ট API পরিবর্তনের পরিবর্তে তালিকা পরিবর্তনগুলি অস্বীকার করতে পারে৷ Node-এর একই ব্যাচে প্রভাবিত মধ্যবর্তী CA-এর প্রত্যাখ্যান প্রক্রিয়াও রয়েছে; Java এবং Python এর সংশ্লিষ্ট ট্রাস্ট উত্সগুলি এখনও আলাদাভাবে যাচাই করা দরকার৷ S19S37S46

স্বাধীন Brotli বাঁধাই এছাড়াও চেক করা উচিত. গুগল আপস্ট্রিম প্রকাশিত হয়েছে 1.0.10 / 1.1.1 / 1.2.1 ঠিক করার জন্য একই দিনে CVE-2026-111497 . Python নেটিভ এক্সটেনশন বা JNI আর্টিফ্যাক্ট যা একই প্রভাবিত সি বাস্তবায়নকে এম্বেড করে স্বাধীনভাবে আপডেট/পুনঃনির্মাণ করতে হবে; এটা অনুমান করা যাবে না যে সব বিশুদ্ধ Java ডিকোডারগুলি প্রভাবিত হয়, বা এটি আপগ্রেড হয় বলে ধরে নেওয়া যায় না Node স্বয়ংক্রিয়ভাবে অন্যান্য ভাষায় অনুলিপি প্রতিস্থাপন. S42

8. যাচাইকরণ এবং ফলো-আপ চেক

8.1 ন্যূনতম যাচাইকরণ চেকলিস্ট

আইটেম চেক করুনপ্রমাণ প্রয়োজন
রানটাইমসম্পূর্ণ সংস্করণ বা বিক্রেতার ব্যাকপোর্ট প্রমাণ বাস্তব প্রক্রিয়া/পাত্রে সঠিক
অ্যাপ্লিকেশন নির্ভরতাNext/RSC/sharp, Tomcat/Spring, এবং Django/certifi চূড়ান্ত স্থাপনার পণ্যগুলি সংশ্লিষ্ট থ্রেশহোল্ডে পৌঁছেছে
প্রতিস্থাপন পরিসীমাসমস্ত কর্মী/JVM/কন্টেইনার কপি এবং ব্যাকগ্রাউন্ড টাস্কগুলি নতুন দিয়ে প্রতিস্থাপন করা হয়েছে এবং পুরানো উদাহরণগুলি প্রস্থান করা হয়েছে৷
TLSবৈধ ডোমেইন সার্টিফিকেট সফল হয়; অমিল হোস্টনাম এবং অবৈধ চেইন নীতি অনুযায়ী ব্যর্থ হয়; কাস্টম বিশ্বাস দোকান অন্তর্ভুক্ত করা হয়
eMudhra অবিশ্বাসপ্রভাবিত মধ্যবর্তী CA দ্বারা নির্মিত সার্টিফিকেট চেইন প্রকৃত রানটাইমের সময় প্রত্যাখ্যান করা হয়েছিল, অথবা এমন প্রমাণ রয়েছে যে নির্দিষ্ট বিক্রেতার নিরাপত্তা বিল্ড/সংশ্লিষ্ট প্রত্যাখ্যান তালিকা স্থাপন করা হয়েছে; সাধারণ TLS পরীক্ষা বা Java 8 সংক্ষিপ্ত সংস্করণ নম্বরের ভিত্তিতে কেস বন্ধ করা যাবে না।
Node ডিকোডিং এবং ছবিসাধারণ সংকুচিত প্রতিক্রিয়া, আপলোড, ইমেজ অপ্টিমাইজেশান এবং RSC ফাংশন উপলব্ধ; অবিশ্বস্ত উৎস নীতি কার্যকর হয়
Java প্রমাণীকরণ এবং বিচ্ছিন্নতাভুল পাসওয়ার্ড প্রত্যাখ্যান; পরিচয়/প্রতিক্রিয়া মিক্সিং ছাড়াই স্বাধীন ব্যবহারকারীর সমসাময়িক অ্যাসিঙ্ক্রোনাস অনুরোধ; LDAP প্রত্যাশিতভাবে শোনা হচ্ছে
Python SNI / আর্কাইভসাধারণ মাল্টি-ডোমেন নাম TLS ব্যবসা স্থিতিশীল; আর্কাইভিং পাথ ট্রাভার্সাল এবং অননুমোদিত লিঙ্কগুলিকে প্রত্যাখ্যান করে এবং ডিরেক্টরির বাইরের ফাইলগুলি পরিবর্তন করা হয় না
ডেটা এবং কার্যকরী রিগ্রেশনপেজিং, স্থানিক ক্যোয়ারী, অনুমতি পরীক্ষা এবং পটভূমির কাজগুলি প্রকল্পের বিদ্যমান পরীক্ষায় উত্তীর্ণ হয়েছে
সম্পদ এবং পর্যবেক্ষণCPU, মেমরি, ত্রুটির হার, লেটেন্সি এবং TLS ত্রুটিগুলির কোনও অস্বাভাবিক বৃদ্ধি নেই৷
ট্রেসেবিলিটিআপগ্রেডের সময়, প্যাকেজ/ইমেজ ডাইজেস্ট, কনফিগারেশন পরিবর্তন, যাচাইকরণের ফলাফল এবং অমীমাংসিত আইটেমগুলি সংরক্ষণ করুন

এগুলি বাস্তবায়নের গ্রহণযোগ্যতা সুপারিশ এবং প্রতিটি CVE এর জন্য একটি আক্রমণ স্ক্রিপ্ট তৈরি করার প্রয়োজন নেই৷ ক্র্যাশ, রিসোর্স অবসাদ, এবং আর্কাইভ-এর বাইরে থাকা যাচাইকরণের জন্য একটি বিচ্ছিন্ন পরিবেশে আপস্ট্রিম রিগ্রেশন টেস্টিং বা প্রকল্প নিয়ন্ত্রিত পরীক্ষার ডেটা ব্যবহার করা উচিত।

8.2 প্যাচিং এবং অনুপ্রবেশ তদন্ত বিভিন্ন কাজ

অস্বাভাবিক ডিকোডিং ত্রুটি, কর্মী/JVM ক্র্যাশ, সন্দেহজনক ফাইল লেখা, ডিরেক্টরি ডেটা পরিবর্তন, প্রমাণীকরণ ব্যতিক্রম, আউটবাউন্ড অনুরোধ এবং শংসাপত্র ব্যবহারের রেকর্ডগুলির জন্য বিদ্যমান লগগুলি পরীক্ষা করুন৷ এই লক্ষণগুলিকে প্রসঙ্গে বিচার করা প্রয়োজন: একটি ক্র্যাশ বা OOM সফল শোষণের প্রমাণ নয়; সতর্কতার অনুপস্থিতি প্রমাণ করে না যে একটি সিস্টেম প্রভাবিত হয়নি।

যখন অননুমোদিত পরিবর্তন, আপোসকৃত শংসাপত্র, বা নিশ্চিত দূষিত নির্ভরতা আবিষ্কৃত হয়, তখন প্রমাণ সংরক্ষণ করা উচিত, প্রাসঙ্গিক দৃষ্টান্তগুলি বিচ্ছিন্ন করা উচিত, প্রভাবিত শংসাপত্রগুলি একটি বিশ্বস্ত পরিবেশ থেকে ঘোরানো হয়েছে এবং সিস্টেমটি পুনর্নির্মাণ করা উচিত। প্যাচ আক্রমণকারীর দ্বারা প্রাপ্ত টোকেনগুলি প্রত্যাহার করবে না বা পরিবর্তন করা ডেটা পুনরুদ্ধার করবে না।

9. সাপ্লাই চেইন নিরাপত্তা ঘটনা: LiteLLM 1.107.0 আপস

**অফিসিয়াল নিশ্চিতকরণের তারিখ: 2026-10-21.**LiteLLM রিপোর্ট করেছে যে এর রিলিজ পাইপলাইন আপস করা হয়েছে৷ PyPI এর litellm==1.107.0 এবং একই সময়ের কিছু ডকার/GHCR পণ্যগুলিতে গোপন চুরি এবং রিমোট কন্ট্রোল দূষিত কোড রয়েছে এবং সংশ্লিষ্ট পণ্যগুলি প্রত্যাহার করা হয়েছে৷ S41

প্রভাব নির্ধারণ করতে, আপনি ঐতিহাসিক ইনস্টলেশন রেকর্ড এবং ইমেজ ডাইজেস্ট পরীক্ষা করা উচিত; latest, main-latest, এবং main-stable এর মতো লেবেলগুলি এখন পরিষ্কার ছবিগুলির দিকে নির্দেশ করে, যা প্রমাণ করে না যে ঘটনার সময় টানা পণ্যগুলি পরিষ্কার ছিল৷ সেই সময়ে অফিসিয়াল সুপারিশ ছিল অস্থায়ীভাবে 1.106.2 পিন করা; এই সুপারিশটি এই ঘটনার উপর ভিত্তি করে করা হয়েছিল, এবং অন্যান্য নিরাপত্তা ঘোষণাগুলি এখনও স্থাপনের সময় চেক করা প্রয়োজন। S41

পরিবেশের জন্য যেখানে সম্পর্কিত পণ্যগুলি ইনস্টল করা হয়েছে বা চালানো হয়েছে:

  1. ইনস্টলেশন রেকর্ড, ছবি এবং লগগুলিকে বিচ্ছিন্ন ও সংরক্ষণ করুন এবং পরিষ্কার পরিবেশ থেকে পরিদর্শন করুন।
  2. প্রথমে সন্দেহজনক পরিবেশে Python/pip শুরু করবেন না; ক্ষতিকারক .pth / sitecustomize.py স্টার্টআপের পরে আবার কার্যকর করা হতে পারে৷
  3. বিশ্বস্ত উত্স থেকে হোস্ট, venvs/পাত্র পুনর্নির্মাণ; শুধু প্যাকেজ আনইনস্টল বা ডাউনগ্রেড করা যাবে না।
  4. প্রকৃত অ্যাক্সেসযোগ্যতার উপর ভিত্তি করে ক্লাউড শংসাপত্র, LLM প্রদানকারী কী, LiteLLM কী এবং ডাটাবেস শংসাপত্রগুলি প্রত্যাহার/রোটেট করুন এবং অস্বাভাবিক ব্যবহার পর্যালোচনা করুন। S41

এটি একটি নিশ্চিত সাপ্লাই চেইন ঘটনা এবং এটির সাথে ডিল করার সময় দূষিত কোড এক্সিকিউশন, শংসাপত্র ফাঁস এবং স্থিরতার ঝুঁকি বিবেচনা করা প্রয়োজন। 23 অক্টোবর, 2026 পর্যন্ত, কর্মকর্তারা এখনও প্রাথমিক অনুপ্রবেশের তদন্ত করছিলেন।

পরিশিষ্ট: উদ্ধৃত উত্স এবং লিঙ্ক

নিম্নলিখিত উত্স যাচাইকরণের তারিখ হল 2026-10-23, প্রকল্পের অফিসিয়াল নিরাপত্তা ঘোষণা, অফিসিয়াল কোড রিপোজিটরি এবং বিক্রেতার নির্দেশাবলী সহ। প্রধান পাঠ্য [Sx] এই পরিশিষ্টের সাথে মিলে যায়; আপডেটগুলি সম্পাদন করার সময়, আপনার সরবরাহকারী পরবর্তী সংশোধনগুলি প্রকাশ করেছে কিনা তা পরীক্ষা করা উচিত।

S1 — Node.js: 2026-10-21 নিরাপত্তা বিজ্ঞপ্তি

  • উদ্দেশ্য: চার রানটাইম High, শাখাগুলিকে প্রভাবিত করে, অক্টোবর নিরাপত্তা প্রকাশ।
  • তথ্যসূত্র: Official Security Bulletin

S2 — Node.js: তিনটি রক্ষণাবেক্ষণ লাইনের জন্য অফিসিয়াল রিলিজ নির্দেশাবলী

  • উদ্দেশ্য: 22.23.4, 24.22.1, 26.12.1 এবং প্রকৃত একত্রিত প্যাচগুলি পরীক্ষা করুন৷
  • তথ্যসূত্র: Node.js 22.23.4
  • তথ্যসূত্র: Node.js 24.22.1
  • তথ্যসূত্র: Node.js 26.12.1

S3 — Vercel: Node.js Brotli RCE নিরাপত্তা পরামর্শ

  • উদ্দেশ্য: ইনবাউন্ড/আউটবাউন্ড ডিকোডিং শর্ত, WAF কভারেজ সীমানা, Node 20 অবস্থা।
  • তথ্যসূত্র: Node.js security advisory: Brotli decoder RCE

S4 — Node.js: Brotli অফিসিয়াল প্যাচ জমা

  • উদ্দেশ্য: নেটিভ ডিকোডিং চেকিং এবং ত্রুটি প্রচারের জন্য বাস্তবায়নের ভিত্তি।
  • তথ্যসূত্র: Brotli Patch commit 49dff6f57a

S5 — Node.js: TLS ঠিকানা স্বাভাবিককরণ প্যাচ

S6 — Node.js: DNS NUL যাচাইকরণ প্যাচ

  • উদ্দেশ্য: ইনপুট প্রত্যাখ্যান এবং রিগ্রেশন কভারেজ।
  • তথ্যসূত্র: dns.resolve Input verification patch

S7 — Node.js: 2026-07-29 নিরাপত্তা বিজ্ঞপ্তি

  • উদ্দেশ্য: HTTP/2 মেমরি ক্লান্তি, UAF এবং অনুমতি মডেল দুর্বলতা।
  • তথ্যসূত্র: July 2026 Security Releases

S8 — Next.js: 2026-10-14 নিরাপত্তা আপডেট

তথ্যসূত্র: S9 — Next.js：typed arrays / use cache RCE

  • উদ্দেশ্য: GHSA-673q-mjm6-r5xr; ব্যবধান, অবস্থা, স্কোর এবং সমাধানের স্থিতিকে প্রভাবিত করে।
  • তথ্যসূত্র: Next.js Official Security Bulletin

তথ্যসূত্র: S10 — React：React Server Components RCE

  • উদ্দেশ্য: GHSA-xqc2-xf4c-x3h3; তিনটি RSC প্যাকেজের প্রভাবিত এবং স্থির সংস্করণ।
  • তথ্যসূত্র: React Official Security Bulletin

তথ্যসূত্র: S11 — Next.js：SVG Image Optimization RCE

তথ্যসূত্র: S12 — Next.js：Server Actions DoS

S13 — Next.js: AVIF চিত্র অপ্টিমাইজেশান RCE

তথ্যসূত্র: S14 — Next.js：Windows RCE

তথ্যসূত্র: S15 — Next.js：next/og ImageResponse RCE

তথ্যসূত্র: S16 — Oracle: October 2026 CPU

S17 — Oracle: CVE-2026-91403 আউট-অফ-ব্যান্ড অ্যালার্ম

  • উদ্দেশ্য: 2026-10-21, JSSE শংসাপত্র বিশ্বাসের ঝুঁকি, প্রভাবিত পণ্য এবং CVSS 3.1 9.1।
  • তথ্যসূত্র: Oracle Security Alert

S18 — Oracle: JDK অফিসিয়াল সংস্করণ এবং ডাউনলোড করুন

  • উদ্দেশ্য: 20শে অক্টোবর CPU এবং 21শে অক্টোবরের ব্যান্ডের বাইরের সংস্করণের মধ্যে পার্থক্য করুন; Java 8 এর সংক্ষিপ্ত সংস্করণের সীমাবদ্ধতাগুলিকে আলাদা করুন৷
  • তথ্যসূত্র: JDK release list
  • তথ্যসূত্র: Oracle Java Download page

S19 — Oracle: eMudhra অস্থায়ী প্রত্যাহার পরিকল্পনা

  • উদ্দেশ্য: আপডেট করা হয়েছে 2026-10-22; দুটি রুট সার্টিফিকেট, কীটুল, কাস্টম ট্রাস্টস্টোর এবং প্রত্যাহার চেকিং।
  • তথ্যসূত্র: Distrusting eMudhra Intermediate Certificates in Oracle JDK

S20 — Eclipse Adoptium: বিল্ড রেকর্ড প্রকাশ করুন

  • উদ্দেশ্য: শংসাপত্রের ঘটনার কারণে Temurin পুনরায় প্যাকেজ করা হয়েছে; Oracle সংস্করণ প্রত্যয় যান্ত্রিকভাবে প্রয়োগ করা যাবে না।
  • তথ্যসূত্র: Adoptium Release Scorecards

S21 — Apache Tomcat 9 নিরাপত্তা বিজ্ঞপ্তি

  • উদ্দেশ্য: 9.0.123 ফিক্স সহ 9-শাখা সঠিক প্রভাবিত ব্যবধান।
  • তথ্যসূত্র: Tomcat 9 vulnerabilities

S22 — Apache Tomcat 10 নিরাপত্তা বিজ্ঞপ্তি

  • উদ্দেশ্য: 10.1 শাখা সুনির্দিষ্ট ব্যবধান এবং 10.1.61 মেরামত; 10.0 EOL.
  • তথ্যসূত্র: Tomcat 10 vulnerabilities

S23 — Apache Tomcat 11 নিরাপত্তা বিজ্ঞপ্তি

  • উদ্দেশ্য: তিনটি আইটেম Important, 11.0.27, AJP প্রযোজ্য সুযোগ এবং প্রকাশ/প্রকাশের তারিখ।
  • তথ্যসূত্র: Tomcat 11 vulnerabilities

S24 — Apache Tomcat: JNDIRealm প্যাচ কমিট

  • উদ্দেশ্য: সার্টিফিকেশন যাচাইকরণ ফাঁক মেরামতের জন্য আনুষ্ঠানিক ভিত্তি।
  • তথ্যসূত্র: JNDIRealm Patch commit

তথ্যসূত্র: S25 — Spring：GraphQL CVE-2026-59285

  • উদ্দেশ্য: 2026-08-20, প্রয়োজনীয়, 2.0.5 OSS / 2.0.4.1 বাণিজ্যিক মেরামত।
  • তথ্যসূত্র: Spring for GraphQL Unsafe Deserialization

তথ্যসূত্র: S26 — Spring：GraphQL CVE-2026-41699

  • উদ্দেশ্য: একটি পূর্ববর্তী ফিক্স থ্রেশহোল্ড, শুধুমাত্র ব্যাখ্যা করার জন্য কেন আপনি পুরানো বেসলাইনে থাকতে পারবেন না।
  • তথ্যসূত্র: 6 Month GraphQL Security Bulletin

তথ্যসূত্র: S27 — Spring Security：CVE-2026-59270

  • উদ্দেশ্য: UnboundID LDAP, পরিচিত ব্যবস্থাপনা পরিচয় এম্বেড করুন এবং OSS/বাণিজ্যিক সংস্করণকে আলাদা করুন।
  • তথ্যসূত্র: Spring embedded LDAP Security Bulletin

তথ্যসূত্র: S28 — Spring Security：CVE-2026-47841

  • উদ্দেশ্য: WebAuthn ব্যবহারকারীর প্রমাণীকরণ, সেশন সিরিয়ালাইজেশন এবং আক্রমণের ভিত্তি।
  • তথ্যসূত্র: WebAuthn Security Bulletin

S29 — PSF: CVE-2026-19445 স্বাধীন নিরাপত্তা পরামর্শ

  • উদ্দেশ্য: 2026-09-30, Critical, SNI শর্তাবলী এবং SSLContext দ্বারা উদ্ধৃত অস্থায়ী ব্যবস্থা।
  • তথ্যসূত্র: SSLContext UAF Official announcement

S30 — PSF: CVE-2026-19553 স্বাধীন নিরাপত্তা পরামর্শ

S31 — CPython: wrap_bio অফিসিয়াল প্যাচ এবং 3.12 ব্যাকপোর্ট

  • উদ্দেশ্য: 3.10—3.12 সতর্কতা সামঞ্জস্য নীতি, None এবং খালি স্ট্রিংয়ের মধ্যে পার্থক্য।
  • তথ্যসূত্র: Main Patch PR #158503
  • তথ্যসূত্র: 3.12 Backfill PR #158513
  • তথ্যসূত্র: 3.15 Backfill PR #158511

S32 — PSF: CVE-2026-82049 স্বাধীন নিরাপত্তা পরামর্শ

  • উদ্দেশ্য: 2026-09-14, High, লিঙ্ক সংমিশ্রণ, মেটাডেটা পরিবর্তন এবং বিষয়বস্তু এক্সপোজার।
  • তথ্যসূত্র: tarfile link bypasses the official announcement

S33 — CPython: সেপ্টেম্বরের শেষে/অক্টোবরের শুরুতে সরকারী নিরাপত্তা প্রকাশ

  • উদ্দেশ্য: টারফাইল নির্দিষ্ট সমস্যাগুলির জন্য ন্যূনতম ফিক্স সংস্করণ, উত্স কোড বিতরণ পদ্ধতি এবং 3.14 ছাড়৷
  • তথ্যসূত্র: Python Cross-branch security release instructions
  • তথ্যসূত্র: Python 3.11.17
  • তথ্যসূত্র: Python 3.12.15
  • তথ্যসূত্র: Python 3.13.16
  • তথ্যসূত্র: Python 3.14.8

S34 — CPython: 3.10 সর্বশেষ নিরাপদ মুক্তি

  • উদ্দেশ্য: 3.10.22 এবং আপস্ট্রিম জীবন চক্রের সমাপ্তি।
  • তথ্যসূত্র: Python 3.10.22

S35 — CPython: 2026-10-21 জরুরী রক্ষণাবেক্ষণ সংস্করণ

  • উদ্দেশ্য: 3.13.17 / 3.14.9 / 3.15.1, অন্তর্নির্মিত pip এবং certifi আপডেট, বিদ্যমান venv প্রয়োজনীয়তা।
  • তথ্যসূত্র: Python 3.13.17
  • তথ্যসূত্র: Python 3.14.9
  • তথ্যসূত্র: Python 3.15.1

S36 — certifi: emSign শংসাপত্র অবিশ্বাস ঘোষণা

  • উদ্দেশ্য: 2026-10-20, GHSA-6q48-6c7w-9gw2, Critical, কোন জানা নেই CVE।
  • তথ্যসূত্র: certifi Official Security Bulletin

S37 — PSF: Python ব্যবহারকারীদের উপর eMudhra / emSign এর প্রভাব

  • উদ্দেশ্য: certifi .19 সুপারিশ, pip/uv বেসলাইন, SHA-256 সহ বিশ্বস্ত বুট আপগ্রেড কমান্ড।
  • তথ্যসূত্র: PSF Official event and upgrade instructions

pip বুট আপগ্রেড কমান্ড S37 দ্বারা উদ্ধৃত অফিসিয়াল নির্দেশ দ্বারা প্রদত্ত নিম্নরূপ। শুধুমাত্র Python পরিবেশে ব্যবহার করা হবে যেগুলি বিশ্বাসযোগ্য বলে নিশ্চিত করা হয়েছে; যদি ধারা 9-এ বিষক্রিয়ার সন্দেহ থাকে, তবে ঘটনা প্রক্রিয়া অনুসারে প্রথমে বিচ্ছিন্ন করুন এবং পুনর্নির্মাণ করুন। এটি চাকা বিষয়বস্তু হ্যাশ সংশোধন করে এবং পরবর্তীতে প্রকল্প প্রক্রিয়া অনুযায়ী অন্যান্য নির্ভরতা আপডেট করে।

python -m pip install "pip @ https://files.pythonhosted.org/packages/3f/06/3e4420302363fbb71be3c7f35ce042f54bfca330e3e66b3a2e3c4cca579f/pip-26.2.2-py3-none-any.whl#sha256=fd7f4dfa8190e014013b9f08f3e973f4e4c26ffd179a204895533a7254813a70"

S38 — Django: 2026-08-04 নিরাপদ মুক্তি

  • ব্যবহার: CVE-2026-15307, GeoDjango শোষণ শর্ত, প্রাথমিক সংশোধন এবং সামঞ্জস্য পরিবর্তন।
  • তথ্যসূত্র: Django 6.0.8 / 5.2.17

S39 — Django: 2026-10-06 নিরাপদ মুক্তি

  • উদ্দেশ্য: CVE-2026-87890, জ্যামিতি DoS পরবর্তী শক্তিবৃদ্ধি বর্তমানে নির্বাচিত বেসলাইনের সাথে।
  • তথ্যসূত্র: Django 6.1.2 / 6.0.9 / 5.2.18

S40 — PSF / CPython: সর্বশেষ tar_filter সাইড নোট

  • উদ্দেশ্য: 2026-10-22, CVE-2026-114583 (Medium); PR একত্রীকরণের মানে এই নয় যে অফিসিয়াল রক্ষণাবেক্ষণ সংস্করণ প্রকাশিত হয়েছে৷
  • তথ্যসূত্র: PSF Independent Announcement
  • তথ্যসূত্র: CPython Patch PR #160098

S41 — LiteLLM: অফিসিয়াল সাপ্লাই চেইন ঘটনা রিপোর্ট, 21 অক্টোবর

  • উদ্দেশ্য: 1.107.0 দূষিত পণ্য, ঐতিহাসিক ডাইজেস্ট, বিচ্ছিন্নতা পুনর্গঠন এবং শংসাপত্র নিষ্পত্তি।
  • তথ্যসূত্র: Contained: LiteLLM v1.107.0 Compromised

S42 — Google Brotli: অফিসিয়াল সুরক্ষিত সংস্করণ

  • উদ্দেশ্য: স্বাধীন Brotli 1.0.10 / 1.1.1 / 1.2.1 এবং ক্রস-ভাষা এমবেডেড কপি যাচাইকরণের ভিত্তিতে।
  • তথ্যসূত্র: Brotli releases

S43 — mise: কমান্ড অফিসিয়াল ডকুমেন্টেশন ব্যবহার করুন

  • উদ্দেশ্য: গ্লোবাল কনফিগারেশনের টুল সংস্করণ এবং কমান্ডের শব্দার্থবিদ্যা নির্দিষ্ট করুন।
  • তথ্যসূত্র: mise use

S44 — PyPA: pip- অডিট অফিসিয়াল প্রকল্প

  • উদ্দেশ্য: Python নির্ভরতা দুর্বলতা নিরীক্ষার উদ্দেশ্য এবং ক্ষমতা সীমানা।
  • তথ্যসূত্র: pip-audit

S45 — Python: টারফাইল নিষ্কাশন ফিল্টার নথি

  • উদ্দেশ্য: ডেটা কৌশল, ডিফল্ট আচরণ পরিবর্তন, এবং সীমাবদ্ধতা যা স্যান্ডবক্স প্রতিস্থাপন করতে পারে না।
  • তথ্যসূত্র: tarfile extraction filters

S46 — Node.js: মধ্যবর্তী CA প্রত্যাখ্যান প্রক্রিয়া

  • উদ্দেশ্য: এই eMudhra সম্পর্কিত ট্রাস্ট চেইন প্রক্রিয়াকরণ সমস্ত রুট শংসাপত্রের ক্রিপ্টোগ্রাফিক অবৈধকরণের সমতুল্য নয়।
  • তথ্যসূত্র: Node.js PR #66871

S47 — CPython: SNI UAF প্রযুক্তিগত নোট এবং সংশোধন

  • উদ্দেশ্য: রেফারেন্স জীবন চক্র, বিশেষ বিল্ড শর্ত এবং শাখা ব্যাকট্র্যাকিং।
  • তথ্যসূত্র: official issue #156293
  • তথ্যসূত্র: official patch PR #158504
  • তথ্যসূত্র: 3.15 Backfill PR #158514