--- title: "Node.js, Java y Python: vulnerabilidades recientes y guía de solución" description: "Revise las actualizaciones de tiempo de ejecución, marco y certificados, con líneas base de parches específicos de cada rama, condiciones de exposición, mitigaciones temporales y verificación de producción." language: "es" url: "https://keendigit.com/es/insights/node-java-python-security-remediation-guide" author: "KeenDigit" published: "2026-10-23" --- # Node.js, Java y Python: vulnerabilidades recientes y guía de solución Revise las actualizaciones de tiempo de ejecución, marco y certificados, con líneas base de parches específicos de cada rama, condiciones de exposición, mitigaciones temporales y verificación de producción. **Fuentes verificadas al 23 de octubre de 2026 (UTC)** **Período de cobertura: del 25 de julio al 23 de octubre de 2026, centrándose en nuevos anuncios y parches posteriores de septiembre a octubre.** **Audiencia: ingenieros y personal de seguridad que mantienen servicios, contenedores y entornos de desarrollo Node.js, Java, Python.** Este artículo resume los riesgos de seguridad importantes recientes en los tiempos de ejecución Node.js, Java y Python, bibliotecas estándar y dependencias y marcos de servidores comunes, y proporciona alcance de impacto, versiones corregidas, medidas de mitigación temporales, selección de parches y métodos de verificación. Evalúe el impacto en comparación con las versiones de los componentes, las funciones habilitadas y los puntos de entrada accesibles. Los datos de vulnerabilidad provienen de avisos oficiales; las fechas se refieren a divulgación pública a menos que se indique explícitamente un lanzamiento de parche anterior. No inferimos condiciones de explotación no confirmadas, puntuaciones CVSS o explotación en la naturaleza. El asesoramiento sobre implementación se identifica como guía de implementación. ## TL;DR: prioridades de remediación 1. **Actualice primero el tiempo de ejecución que realmente aloja el servicio.** Actualice la rama Node.js correspondiente al menos a **22.23.4/24.22.1/26.12.1**. Los servicios que utilizan Node 24 pueden actualizarse a **24.22.1 dentro de la misma versión principal o una versión posterior** que contenga las mismas correcciones. [S1](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-1)[S2](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-2) 2. **Actualice las dependencias de la aplicación Node por separado.** Para Next.js, utilice **15.5.28/16.4.1** como base de actualización; cuando utilice React Server Components de forma independiente, verifique el paquete `react-server-dom-*` instalado actualmente. Sólo la actualización del binario Node no cubre estas vulnerabilidades del marco. [S8](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-8)[S9](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-9)[S10](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-10)[S11](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-11)[S12](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-12) 3. **Java: cubre ambas rondas de actualizaciones.** Instale una compilación de proveedor que cubra la corrección de confianza del certificado de emergencia del 20 de octubre CPU y del 21 de octubre **CVE-2026-91403**. Consulte la sección 2.2 para versiones fuera de banda Oracle JDK 11-27; verifique otras distribuciones con sus propios paquetes de seguridad y números de compilación completos. Actualice la rama Tomcat correspondiente a **9.0.123 / 10.1.61 / 11.0.27**. [S16](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-16)[S17](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-17)[S18](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-18)[S20](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-20)[S21](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-21)[S22](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-22)[S23](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-23) 4. **Python : actualice el intérprete, los paquetes de aplicaciones y los paquetes de certificados por separado.** Ver sección 2.3 para líneas de base de intérpretes; `certifi` recomienda **≥ 2026.10.19** , `pip` **≥ 26.2.2** , al usar `uv` **≥ 0.13.4** . Es necesario comprobar todos los venv existentes. Para `wrap_bio()` códigos relacionados, correctos y no vacíos `server_hostname` También se debe pasar. [S29](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-29) [S30](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-30) [S31](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-31) [S33](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-33) [S35](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-35) [S36](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-36) [S37](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-37) 5. **Si es imposible realizar una actualización inmediata, reduzca la exposición en los puntos de entrada relevantes.** Priorice detener la decodificación de Brotli que no sea de confianza, el procesamiento de imagen/paginación/archivo afectado y aísle el LDAP o las entradas de autenticación problemáticas; manteniendo verificados los certificados TLS y los nombres de host. El WAF entrante no puede cubrir rutas salientes, como aplicaciones que obtienen respuestas comprimidas maliciosas. [S3](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-3)[S11](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-11)[S25](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-25)[S27](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-27)[S30](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-30)[S32](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-32) 6. **Reconstruir, reemplazar procesos antiguos y verificar a través de rutas de servicio reales.** Guarde el archivo de bloqueo y el resumen de imágenes, reconstruya la aplicación y la imagen, implemente reemplazos para todos los trabajadores/JVM/contenedores; verifique el proceso real, el árbol de dependencia, el almacén de confianza y las pruebas de regresión empresarial. Una versión más reciente de la línea de comandos por sí sola no establece que la corrección esté completa. 7. **Si se instaló o ejecutó LiteLLM 1.107.0, siga los procedimientos de respuesta a incidentes.** El proyecto confirmó el compromiso de la versión el 21 de octubre. Aísle los entornos afectados, investigue desde un entorno limpio, reconstruya y rote las credenciales expuestas. No inicie Python/pip en un entorno sospechoso para comprobarlo primero. Consulte la Sección 9 para obtener más detalles. [S41](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-41) ## 1. Descripción general de la vulnerabilidad y evaluación de riesgos ### 1.1 Priorizar la remediación por exposición real Las prioridades de implementación a continuación son una guía de implementación. Las etiquetas de gravedad siguen a cada proveedor, incluida la clasificación **Important** de Apache. CVSS 3.1 y 4.0 son sistemas de puntuación diferentes; no clasifique los problemas según su puntuación únicamente. | Ecosistema / capa | Cuestiones clave | Calificación oficial o puntaje verificado | Despliegue prioritario | | ---------------------------------- | --------------------------------------------------------------------------------------------------- | ----------------------------------------- | --------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | Dependencia nativa Node.js | CVE-2026-111497: Brotli está escrito fuera de límites y existe el riesgo de RCE | Node：High | Decodificar datos Brotli [S1](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-1)[S3](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-3) en el cuerpo de la solicitud externa o la respuesta externa | | Node.js TLS / DNS | CVE-2026-105482, 105483, 106069: El análisis y la verificación de identidad son inconsistentes | High | Rastreo URL, proxy, Webhook, dirección de destino dinámica [S1](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-1)[S5](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-5)[S6](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-6) | | Node.js HTTP/2 | CVE-2026-56846, 56848: Memoria agotada y UAF | High | Node maneja directamente el tráfico HTTP/2 que no es de confianza [S7](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-7) | | React / Next.js | RSC / `use cache` typed arrays RCE | Critical；CVSS 4.0 9.5 | Servidor RSC, componentes de caché relacionados y ruta de datos [S9](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-9)[S10](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-10) | | Next.js Optimización de imagen | CVE-2026-96889: SVG Procesamiento de imágenes RCE | Critical；CVSS 4.0 9.5 | Instancias en glibc Linux que pueden manejar imágenes que no son de confianza [S11](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-11) | | Next.js Server Actions | La solicitud especialmente diseñada hace que se agote CPU | High；CVSS 4.0 8.2 | App Router y al menos un Server Action [S12](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-12) | | Java TLS Confianza | CVE-2026-91403: Continuar confiando en el intermediario afectado CA | CVSS 3.1 9.1 | TLS/API Escenario [S17](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-17) usando la cadena de confianza afectada | | Tomcat | Omisión de autenticación JNDIRealm, confusión de solicitudes cruzadas HTTP/2, fuga de respuesta AJP | Important | Correspondiente a Realm / Connector / async Servlet ruta [S21](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-21)[S22](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-22)[S23](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-23) | | Spring for GraphQL | CVE-2026-59285: Deserialización de paginación RCE | High | Jackson 2 + Connection Paginación + Classpath explotable [S25](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-25) | | Spring Security | CVE-2026-59270: Identidad de administración conocida LDAP integrada expuesta | Critical | El LDAP integrado está habilitado y el atacante puede acceder al puerto de escucha [S27](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-27) | | CPython `ssl` | CVE-2026-19445: El contexto de cambio de SNI da como resultado UAF | Critical | Python termina TLS por sí solo y cumple con la condición del ciclo de vida del contexto [S29](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-29) | | CPython `ssl` | CVE-2026-19553: Omitir la verificación cuando falta el nombre de host | High | `wrap_bio()` / Falta el nombre de host esperado de la llamada asincio relacionada [S30](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-30) | | CPython `tarfile` | CVE-2026-82049: Bypass de combinación de enlace físico y enlace simbólico | High | Extraer automáticamente el archivo tar que no es de confianza [S32](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-32) | | Django / GeoDjango | CVE-2026-15307: archivo de escritura de consulta espacial, SSRF, bajo la condición RCE | High | Consultas espaciales o interfaces de administración relacionadas que aceptan entradas que no son de confianza [S38](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-38) | | Dependencia del certificado Python | certifi: desconfianza en certificados relacionados con emSign | Critical; GHSA, ninguno conocido CVE | La herramienta de administración de paquetes y cliente TLS [S36](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-36)[S37](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-37) todavía usa el CA bundle afectado | Abreviaturas: RCE significa ejecución remota de código, UAF significa uso después de la liberación y SSRF significa falsificación de solicitudes del lado del servidor. Los permisos directos de RCE suelen ser los permisos del proceso que aloja la aplicación y no pueden ser equivalentes automáticamente a los permisos raíz. **Secuencia recomendada:** primero maneja RCE, que es accesible externamente y cumple con las condiciones, omisión de autenticación, fuga de datos entre usuarios y problemas de autenticación de certificados; al mismo tiempo, programe actualizaciones para el punto de entrada público DoS. No es necesario ejecutar cargas útiles de ataque en producción para demostrar la explotabilidad. Existen dependencias, las rutas de código son accesibles y se cumplen las condiciones de ataque. Estas son tres cuestiones que deben comprobarse por separado. ### 1.2 Tres límites que se confunden fácilmente - **Actualice los tiempos de ejecución y las dependencias por separado.** Las actualizaciones de seguridad para Node, JDK, CPython no reparan automáticamente las instalaciones independientes de Next.js, Spring, Django, certifi o extensiones nativas. - El umbral de corrección **es independiente de la línea base de implementación actual.** No se garantiza que el primer parche para una vulnerabilidad en agosto cubra nuevos problemas de septiembre a octubre; La sección 2 utiliza actualizaciones posteriores verificadas como objetivo de implementación. - **Distinguir una vulnerabilidad de un compromiso real de la cadena de suministro.** Para las vulnerabilidades comunes, los parches eliminan rutas de ataque futuras; cuando se ejecutan paquetes maliciosos, es necesario investigar el impacto de las credenciales y la persistencia. El LiteLLM de la Sección 9 es el evento confirmado oficialmente. [S41](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-41) La existencia de explotación confirmada en la naturaleza debe basarse en divulgaciones oficiales. El vendedor no mencionó las actividades de explotación y no puede probar que no hubo ningún ataque; La corrección debe realizarse en función de la superficie de ataque real. ## 2. Comprobación rápida de la versión fija y la línea base de implementación ### Referencia: 2.1 Node.js、React、Next.js | componente/rama | Línea base de versión recomendada | Instrucciones de uso | | ---------------------------------------------------- | -------------------------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | Node.js 22.x | **22.23.4** | Lanzamiento de seguridad [S1](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-1)[S2](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-2) del 21 de octubre | | Node.js 24.x | **24.22.1** | Se aplica a la rama 24.x; 24.22.0 no contiene el parche de seguridad del 21 de octubre [S1](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-1)[S2](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-2) | | Node.js 26.x | **26.12.1** | Versión de seguridad en el mismo lote [S1](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-1)[S2](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-2) | | Node.js 20 y sucursales anteriores | Migrar a una sucursal compatible | Node 20 no acepta esta solución ascendente; el soporte extendido del proveedor debe verificarse por separado [S3](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-3) | | Next.js 15.x | **15.5.28** | Actualizado el 14 de octubre [S8](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-8) | | Next.js 16.x | **16.4.1** | Igual que el anterior [S8](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-8) | | Sucursal independiente RSC 19.0 / 19.1 / 19.2 / 19.3 | **19.0.9 / 19.1.10 / 19.2.9 / 19.3.1** | Verifique los tres paquetes `react-server-dom-*` por separado; no solo mire la capa superior `react` [S10](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-10) | | Next realmente cargó `sharp` | **≥0.35.5** | Condiciones oficiales de solución temporal para la vulnerabilidad SVG; no reemplaza otros parches Next.js [S11](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-11) | Node enumera oficialmente las ramas de mantenimiento afectadas por la vulnerabilidad de octubre, pero no proporciona la versión del parche introducido inicialmente elemento por elemento, por lo que la versión inicial precisa de cada vulnerabilidad no se puede determinar basándose únicamente en el rango de ramas de mantenimiento. Al implementar, dé prioridad al uso de la versión anterior de la misma rama o una versión posterior confirmada que contiene las mismas correcciones. ### 2.2 Java: Octubre CPU más actualización de certificado fuera de banda Esta tabla se aplica a **Oracle JDK**. La segunda columna cubre sólo el CPU del 20 de octubre; el tercero incluye el lanzamiento fuera de banda del 21 de octubre. Las versiones CPU por sí solas no cubren todos los riesgos de Java discutidos aquí. [S16](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-16)[S17](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-17)[S18](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-18) | rama | 20 de octubre CPU | Oracle lanzado fuera de banda el 21 de octubre | | ---- | ----------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | 11 | 11.0.33 | **11.0.33.0.2** | | 17 | 17.0.21 | **17.0.21.0.2** | | 21 | 21.0.13 | **21.0.13.0.2** | | 25 | 25.0.5 | **25.0.5.0.2** | | 27 | 27.0.1 | **27.0.1.0.2** | | 8 | 8u511 | La tabla de lanzamiento público todavía muestra **8u511**; Se debe verificar la compilación de seguridad específica y la reparación de la cadena de confianza, y no se puede determinar basándose únicamente en el número de versión corta. | \*\*Java 8 debe compararse con la información de compilación completa:\*\*Oracle La alerta enumera 8u511 como una versión afectada y la lista de versiones enumera las actualizaciones posteriores con el mismo nombre corto. El estado del parche no se puede distinguir basándose únicamente en el número de versión corta "8u511". Debe confirmar la compilación de seguridad específica y las correcciones de la cadena de confianza. [S17](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-17)[S18](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-18) **Temurin, Corretto, Zulu, Microsoft Build of OpenJDK, versión de lanzamiento OpenJDK, etc., verifique de acuerdo con sus respectivos anuncios y números completos de paquete/compilación.** Por ejemplo, el registro de lanzamiento oficial de Adoptium indica que la compilación se vuelve a empaquetar para agregar la corrección eMudhra; el mismo nombre de la versión anterior no significa que el contenido del paquete sea el mismo. Las reglas de sufijo `.0.2` para Oracle no se pueden aplicar automáticamente a otros editores. [S20](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-20) | Componentes de la aplicación Java | Línea base de versión recomendada | Observaciones | | ------------------------------------- | ------------------------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | Tomcat 9 / 10.1 / 11 | **9.0.123 / 10.1.61 / 11.0.27** | Consulta sucursal por sucursal; Tomcat 10.0 ha detenido el mantenimiento [S21](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-21)[S22](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-22)[S23](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-23) | | Spring for GraphQL 2.0.x | **2.0.5（OSS）** | El soporte comercial también es 2.0.4.1 [S25](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-25) | | Spring Security 7.1 / 7.0 | **7.1.1 / 7.0.7（OSS）** | Corresponde a la versión de arreglo mínimo anunciada en agosto; debe consultar el boletín de seguridad posterior [S27](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-27)[S28](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-28) antes de la implementación. | | Spring Security 6.5 / 6.4 / 5.8 / 5.7 | **6.5.12 / 6.4.19 / 5.8.28 / 5.7.26** | El anuncio figura como una solución de soporte comercial; La migración se evalúa cuando no hay soporte correspondiente y no se puede asumir que Maven Central esté disponible de forma gratuita [S27](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-27). | Las actualizaciones de Spring deben respetar la versión mínima Spring Boot BOM, Java del proyecto y las líneas de compatibilidad. No fuerce directamente todos los módulos Spring al mismo número solo para obtener un parche. ### 2.3 CPython, Django y dependencias de certificados La segunda columna de la siguiente tabla se centra en el problema TLS divulgado en septiembre; las diferencias de rama para `tarfile` se muestran en la sección 5.3.. Las versiones del 21 de octubre también actualizaron las herramientas de certificado incluidas, por lo que la última columna incluye las líneas base de implementación posteriores. [S29](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-29)[S30](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-30)[S33](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-33)[S35](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-35) | Rama CPython | Versión mínima del lote de seguridad de septiembre | Línea base de implementación recomendada | | ------------ | ---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | --------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | 3.10 | 3.10.22 | Última versión desde arriba, EOL; organizar la migración o verificar la compatibilidad con la extensión de lanzamiento [S34](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-34) | | 3.11 | **3.11.17** | 3.11.17 y actualice pip/certifi en cada entorno individualmente | | 3.12 | **3.12.15** | 3.12.15 y actualice pip/certifi en cada entorno individualmente | | 3.13 | 3.13.16 | **3.13.17** | | 3.14 | 3.14.8 | **3.14.9** | | 3.15 | La versión final de 3.15.0 incluye las correcciones de TLS y [S31](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-31)[S47](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-47). | **3.15.1** | Las versiones de seguridad ascendentes de 3.11 y 3.12 solo pueden publicarse en código fuente; cuando utilice el paquete del sistema operativo, consulte el aviso de backport del proveedor y la versión completa del paquete, y no es necesario reemplazar por la fuerza el sistema Python con una versión autocompilada. [S33](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-33)[S34](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-34) | dependencia independiente | Línea base de versión recomendada | Descripción | | ------------------------- | --------------------------------- | ---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | Django 5.2 / 6.0 / 6.1 | **5.2.18 / 6.0.9 / 6.1.2** | Incorporar corrección posterior [S38](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-38)[S39](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-39) del 6 de octubre | | certifi | **≥2026.10.19** | El parche inicial GHSA es .18; PSF recomienda .19 para preservar la compatibilidad de los certificados no afectados [S36](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-36)[S37](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-37) | | pip | **≥26.2.2** | La copia integrada de certifi debe actualizarse por separado [S35](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-35)[S37](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-37) | | uv (si se usa) | **≥0.13.4** | Actualice [S37](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-37) según el método de instalación real | **Estas líneas de base cubren las correcciones enumeradas.** El 22 de octubre se reveló otro problema de gravedad media en `tar_filter`. Al 23 de octubre de 2026, aún no se ha confirmado una versión de mantenimiento oficial que contenga esta solución; por lo tanto, no se puede considerar que 3.13.17 / 3.14.9 / 3.15.1 hayan cubierto todos los problemas de archivos tar. Ver Sección 5.4. [S40](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-40) ### 2.4 Verificando backports de distribución Principios de implementación aplicables a Ubuntu, Debian, RHEL y otros paquetes de software: 1. Registre la versión del sistema operativo, la fuente del repositorio, la versión completa del paquete y el número del boletín de seguridad del proveedor. 2. Confirme que el aviso cubra el CVE específico e identifique un paquete fijo para la versión de distribución correspondiente. 3. Compare los binarios/bibliotecas cargados por el proceso en ejecución real, no solo la versión corta ascendente. 4. Cuando no haya evidencia de un parche del proveedor, déjelo "por confirmar" y no lo tome como la única conclusión de que el número de versión parece antiguo o nuevo. Existen diferencias en las versiones del paquete apt/RPM y las estrategias de backport de diferentes distribuciones. Debe prevalecer el boletín de seguridad y la versión completa del paquete de cada distribución. ## 3. Ecosistema Node.js / JavaScript: Análisis de Causas y remediación ### 3.1 CVE-2026-111497: escritura fuera de límites del decodificador nativo Brotli **Divulgación: 2026-10-21; Node grado oficial: High. Las compilaciones afectadas de** Node 22.x, 24.x, 26.x requieren que se instale la sección de parche 2.1. Node El anuncio no incluye una puntuación numérica CVSS. [S1](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-1) El problema ocurre en la lógica de decodificación nativa cuando se maneja el flujo comprimido Brotli con formato incorrecto, lo que puede provocar escrituras fuera de límites. La descripción oficial de Vercel confirma que la demostración de la investigación implica pérdidas de memoria de proceso y ejecución de comandos. Que un atacante pueda llegar al decodificador depende de si la aplicación o la dependencia realmente decodifica los datos que controla. [S3](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-3) Es necesario comprobar ambas direcciones al mismo tiempo: - **inbound: el marco o middleware** descomprime automáticamente el cuerpo de solicitud Brotli enviado por el usuario. - \*\*saliente:\*\*HTTP Los clientes, capturadores de imágenes, etc. acceden a fuentes controlables por el atacante y descomprimen automáticamente el contenido devuelto. Deshabilitar la compresión Brotli de las respuestas enviadas a los navegadores no elimina un punto de entrada de decodificación. La protección entrante WAF tampoco cubre aplicaciones que obtienen y decodifican respuestas externas. [S3](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-3) \*\*Dirección del parche:\*\*Node Mueva la corrección ascendente Brotli a la dependencia nativa y complemente la verificación del estado de decodificación ilegal y la propagación de errores. Al mantener una versión autocompilada, debe utilizar la versión de seguridad oficial o el parche completo de la rama correspondiente. No puede simplemente cambiar la declaración de versión de un paquete JavaScript. [S4](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-4) **Sugerencias de implementación provisional:** detener la decodificación innecesaria de Brotli que no es de confianza; comprobar el comportamiento de descompresión automática del middleware y del cliente HTTP; Si la empresa debe aceptar este formato, complete el procesamiento en el entorno parcheado lo antes posible. Ajustar `Accept-Encoding` es simplemente un acto de negociación y no debe considerarse por sí solo como prueba de que se ha bloqueado una respuesta maliciosa. ### 3.2 TLS / DNS tres High: el objeto de verificación no coincide con el objetivo real Los tres fueron revelados el 21 de octubre, con el umbral de actualización oficial establecido en la Sección 2.1. [S1](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-1). | Identificador | Problema confirmado | Ramas afectadas | | --------------- | ------------------------------------------------------------------------------------------------------------- | ------------------ | | CVE-2026-105482 | `dns.resolve` Truncamiento de nombres que contienen NUL | 22.x / 24.x / 26.x | | CVE-2026-105483 | IP en formato numérico de ancho completo hace que se omita la verificación del nombre de host del certificado | 24.x / 26.x | | CVE-2026-106069 | El nombre de host que puede interpretarse libremente como IP da como resultado la omisión de verificación TLS | 22.x / 24.x / 26.x | DNS La esencia del problema es que la cadena verificada por la capa superior es diferente del nombre realmente analizado por la capa inferior. El parche oficial rechaza NUL en la entrada de análisis y agrega cobertura de regresión. [S6](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-6) TLS Dos elementos implican la normalización de nombres, la coherencia de la interpretación de IP y la coincidencia de certificados. Parche para que la entrada IP no estándar se rechace o se maneje correctamente para evitar confundir el punto final IP real con la identidad del dominio del certificado. [S5](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-5) Sugerencias de solución de problemas reales para **:** da prioridad a verificar el código del usuario receptor URL, el destino del proxy dinámico o la dirección Webhook; estandarización unificada y evaluación de la lista de permitidos, rechaza NUL/caracteres de control, confirma que los nombres de dominio legales IPv4, IPv6 y internacionalizados aún funcionan. Para saber si SSRF puede formarse más requiere la aplicación de evidencia de vínculo, que no se puede deducir directamente del nombre CVE. No utilice `NODE_TLS_REJECT_UNAUTHORIZED=0` o `rejectUnauthorized: false` para eliminar errores de suma de comprobación posteriores a la actualización. Se debe corregir la dirección, el certificado y la configuración comercial. ### 3.3 julio HTTP/2 High: problemas con el modelo de permisos y riesgos Las siguientes cuestiones reveladas en julio aún deben incluirse en la investigación. Se recomienda utilizar directamente la versión base de seguridad de octubre en la Sección 2.1 al realizar la implementación. [S7](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-7) | CVE | Causas y efectos | Primera versión fija | | -------------- | --------------------------------------------------------------------------------------------------------------------------------------------------- | ------------------------------------------------------ | | CVE-2026-56846 | El bloque HTTP/2 header retenido no está incluido correctamente en el presupuesto `maxSessionMemory` y puede agotar la memoria; Impacto 22.x / 24.x | 22.23.2 / 24.18.1 | | CVE-2026-56848 | HTTP/2 vuelve a ingresar a la ruta de envío durante la recopilación de paquetes, lo que genera un montón UAF; impacto 22.x / 24.x / 26.x | 22.23.2 / 24.18.1 / 26.5.1 | | CVE-2026-58043 | `--permission` La coincidencia del límite del prefijo de ruta es demasiado amplia y se puede acceder a archivos fuera de la lista permitida. | Igual que las tres líneas de mantenimiento anteriores. | Los tres son oficialmente High. Los dos primeros elementos dan prioridad a comprobar si HTTP/2 es procesado por el propio Node; el tercer elemento solo tiene el significado correspondiente cuando se utiliza el modelo de permiso y se basa en este límite. No todos los elementos del modelo de permiso pueden describirse como red RCE que no requiere autenticación. [S7](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-7) Terminar temporalmente HTTP/2 en un proxy actualizado e independiente y limitar las fuentes de backend es una opción de implementación para reducir la exposición; las cuotas de recursos solo pueden controlar las consecuencias del agotamiento de los recursos y no pueden parchear UAF. ### 3.4 Octubre React / Next.js: dos artículos RCE y un artículo DoS #### A. Funciones RCE en RSC / `use cache` que devuelven matrices escritas **Fecha de publicación: 2026-10-14; Critical, CVSS 4.0 9.5.** Identificadores oficiales de aviso: - React：**GHSA-xqc2-xf4c-x3h3**。 - Next.js：**GHSA-673q-mjm6-r5xr**。[S9](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-9)[S10](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-10) El problema ascendente React implica múltiples matrices escritas combinadas con valores controlables por el atacante en la respuesta RSC. Las tres versiones del paquete `react-server-dom-*` afectadas son **19.0.0—19.0.8, 19.1.0—19.1.9, 19.2.0—19.2.8, 19.3.0**; consulte el capítulo Sección 2.1. React del lado del navegador puro, o aplicaciones que no utilizan marcos/complementos que admitan RSC en absoluto, no entran dentro del alcance de este artículo. [S10](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-10) Next.js listas de anuncios posteriores **16.0.0—16.4.0**, revisado en **16.4.1**; el escenario son las funciones App Router, Cache Components y `use cache` que devuelven múltiples matrices escritas. No existe una solución alternativa oficial confiable y los usuarios de las versiones afectadas deben actualizar a tiempo. No es apropiado confiar simplemente en búsquedas manuales de "esta función no parece existir" para finalizar el procesamiento. [S9](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-9) #### Referencia: B. SVG Image Optimization RCE **CVE-2026-96889/GHSA-2464-fhr4-w9xw, 2026-10-14, Critical, CVSS 4.0 9.5. El problema** ocurre en la biblioteca nativa ascendente utilizada para la optimización de imágenes. Los funcionarios señalaron que el riesgo RCE existe en el escenario **glibc Linux**. [S11](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-11) Los campos de la versión oficial son: - `>=10.0.0 <=15.5.27`； - `>16.0.0 <=16.4.0`。 El funcionario utiliza un límite inferior estricto de `>16.0.0` para la rama 16.x, pero esta declaración de rango no es suficiente para demostrar que 16.0.0 es seguro. El objetivo de actualización real es uniformemente **15.5.28 / 16.4.1**. [S11](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-11) La solución temporal oficial es garantizar que **Next realmente cargue nítido ≥0.35.5**. Es posible que los archivos de bloqueo, las dependencias anidadas y las imágenes de implementación aún contengan instancias antiguas, por lo que simplemente agregar una nueva versión de la dependencia `sharp` en el nivel superior no es suficiente; el árbol de dependencia final debe verificarse y reconstruirse. [S11](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-11) #### C. Server Actions CPU agotado \*\*GHSA-p3m5-59mp-jv5r, 2026-10-14, High, CVSS 4.0 8.2.\*\*Next afecta a **13.0.0—15.5.27, 16.0.0—16.4.0**, corrige **15.5.28 /16.4.1**. Las condiciones son App Router y al menos un Server Action; Las solicitudes maliciosas pueden mantener ocupado a CPU durante mucho tiempo, bloqueando solicitudes posteriores en el mismo proceso. Las aplicaciones con Pages Router o sin Server Actions no se ven afectadas por esto. [S12](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-12) No existe ninguna solución alternativa oficial que pueda reemplazar la actualización. Los límites de velocidad, los límites de concurrencia y las cuotas de recursos pueden reducir el daño, pero no pueden utilizarse como conclusión para la verificación de parches. ### 3.5 Next.js anterior en la misma ventana Problema grave Los siguientes elementos tienen como objetivo evitar que falten implementaciones que aún estén bloqueadas en las versiones anteriores a agosto y septiembre; No se recomienda pasar ahora a los umbrales de corrección antiguos en la tabla. | Fecha | Identificador/escenario | Primera solución; acción actual | | ---------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------ | --------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | 2026-08-25 | GHSA-2xp9-vwfh-vxw4: Biblioteca nativa de optimización de imágenes AVIF RCE, Critical | 15.5.24 / 16.3.3; ahora 15.5.28 / 16.4.1 [S13](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-13) | | 2026-08-25 | CVE-2026-75604: RCE, Critical cuando Pages Router y App Router se usan simultáneamente en Windows y Cache Components no está habilitado; versiones `>=13.4.0 <15.5.24`, `>=16.0.0 <16.3.3` | 15.5.24 / 16.3.3; Linux/macOS no se ve afectado por este problema específico de Windows [S14](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-14) | | 2026-09-22 | GHSA-vcvr-r3jv-pc5j: la ruta de generación de imágenes Node en procesos `next/og` que no son de confianza SVG, Critical; 16.2.0—16.3.5 | 16.3.6; la implementación de Edge está fuera del alcance de este problema y 15.x no es una rama afectada para este RCE [S15](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-15) | ## 4. Ecosistema Java: la confianza en tiempo de ejecución, los contenedores y los marcos se manejan por separado ### 4.1 JDK: CPU y CVE-2026-91403 regulares son actualizaciones de dos niveles La matriz de riesgos Java SE para Oracle CPU del 20 de octubre enumera **55 nuevos parches de seguridad, 49 de los cuales están marcados como explotables en la red sin autenticación**. Esto no significa que haya 55 Critical, ni que haya 49 rutas RCE directamente explotables para cada servicio web Java; debe entenderse junto con los componentes, las API, las interacciones del usuario y las condiciones de implementación en la matriz. [S16](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-16) El **CVE-2026-91403 (CVSS 3.1 9.1)** del día siguiente trata de otro tipo de riesgo: un conjunto de CA intermedios relacionados con el evento eMudhra en el que ya no se confía. Afecta la autenticación de pares TLS y la confidencialidad/integridad de la comunicación y no puede describirse como una vulnerabilidad de corrupción de memoria JVM. [S17](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-17) El aviso Oracle enumera la versión lanzada el 20 de octubre como afectada, por lo que también es necesario instalar la actualización fuera de banda del 21 de octubre. Consulte la sección 2.2 para conocer la versión específica. GraalVM también tiene los productos afectados correspondientes y la versión reparada debería estar sujeta a su boletín de seguridad exclusivo. [S17](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-17)[S18](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-18) **Medidas oficiales temporales:** Primero haga una copia de seguridad y luego elimine el certificado raíz especificado de cada almacén de confianza realmente utilizado: - `emSign ECC Root CA - G3`, alias de Oracle `emsigneccrootcag3 [jdk]`. - `AAA Certificate Services`, alias de Oracle `comodoaaaca [jdk]`. [S19](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-19) JDK 11 y posteriores, el ejemplo oficial es: ```bash keytool -delete -cacerts -alias "emsigneccrootcag3 [jdk]" keytool -delete -cacerts -alias "comodoaaaca [jdk]" ``` Utilice **keytool del objetivo JDK** para estos comandos y confirme que estén funcionando en el almacén de confianza real de la aplicación. Java 8 utiliza la ruta correspondiente a `jre/lib/security/cacerts`; La personalización del almacén de confianza se debe gestionar por separado y otros editores pueden tener alias diferentes. La eliminación del certificado raíz ampliará el alcance del rechazo y realizará pruebas de regresión en las cadenas de certificados de servicios legítimos. [S19](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-19) El funcionario también ofrece la opción de habilitar la verificación de revocación, pero el efecto depende de la implementación real de TLS, la accesibilidad del servicio de revocación y la estrategia de falla. Para implementaciones generales, priorice la instalación de actualizaciones completas del proveedor para evitar tratar dos conmutadores JVM como evidencia de que todas las bibliotecas TLS se han reparado. ### 4.2 Tomcat: omisión de autenticación y aislamiento de solicitudes entre usuarios Los siguientes tres artículos fueron publicados el **2026-10-20**; la entrada de la versión reparada tiene fecha **O12 de octubre**. El grado oficial de Apache es **Important**. [S21](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-21)[S22](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-22)[S23](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-23) | CVE | Versiones afectadas confirmadas | Escenarios/resultados necesarios | | --------------- | ---------------------------------------------------- | --------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | CVE-2026-101296 | 9.0.0.M1—9.0.122；10.1.0-M1—10.1.60；11.0.0-M1—11.0.26 | JNDIRealm Configura un mecanismo de autenticación SASL que no es GSSAPI, falta la verificación de credenciales y también pueden pasar contraseñas incorrectas | | CVE-2026-101356 | 9.0.118—9.0.122；10.1.55—10.1.60；11.0.22—11.0.26 | El error de servlet asíncrono de HTTP/2 al manejar incorrectamente recicla/reutiliza objetos, lo que provoca que las solicitudes o respuestas se mezclen entre los usuarios | | CVE-2026-103119 | Solo confirmar **11.0.0-M25—11.0.26** | Las escrituras grandes sin bloqueo AJP pueden causar una lectura insuficiente del búfer, exponiendo los datos de respuesta anteriores en solicitudes posteriores. | La solución correspondiente es **9.0.123 / 10.1.61 / 11.0.27**; AJP solo aparece como Tomcat 11 según el anuncio y no se puede expandir a tres ramas con el mismo problema. [S21](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-21)[S22](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-22)[S23](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-23) El parche JNDIRealm corrige una brecha de verificación en el proceso de autenticación real, donde "la interfaz de inicio de sesión de la aplicación parece normal" no se puede utilizar en lugar de la verificación. Realm, se deben verificar los mecanismos SASL para verificar la configuración real del servicio y las pruebas deben fallar en busca de contraseñas incorrectas. [S24](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-24) **Sugerencias de implementación provisional:** aislar la ruta de autenticación afectada; suspender el procesamiento de HTTP/2 de Tomcat cuando el negocio lo permita; cerrar inútil AJP. Restringir únicamente el acceso directo al puerto AJP no puede demostrar que el tráfico que ingresa a través del proxy frontal legal no se verá afectado. Después de la actualización oficial, se deben probar las solicitudes simultáneas asincrónicas de dos usuarios independientes para confirmar que no haya conversaciones cruzadas entre identidades y respuestas. ### Referencia: 4.3 Spring for GraphQL：CVE-2026-59285 **Fecha de publicación: 2026-08-20; High.** afectado **2.0.0—2.0.4**, reparado **2.0.5 (OSS)** o **2.0.4.1 (soporte comercial)**. [S25](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-25) Este es un riesgo de deserialización inseguro en consultas de paginación. El requisito oficial es que se deben cumplir las siguientes condiciones al mismo tiempo: 1. Utilice Spring for GraphQL. 2. Deserializar JSON usando Jackson 2.x. 3. Proporcionar campo de paginación de conexión al mundo exterior. 4. El classpath contiene clases específicas que pueden realizar una lógica inesperada durante la creación de instancias o la deserialización. Una solicitud GraphQL maliciosa puede causar RCE cuando se cumplen las condiciones. No se puede reducir a "todos los programas Java que utilizan Jackson pueden ser explotados". [S25](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-25) **Por qué 2.0.4 es insuficiente:** En junio, CVE-2026-41699 había proporcionado líneas base de parches como 2.0.4, y en agosto el anuncio incluía claramente a 2.0.4 en el nuevo alcance de influencia. Por lo tanto, el registro de reparación debe actualizarse de acuerdo con anuncios posteriores y no se puede utilizar la versión mínima del antiguo CVE. [S26](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-26) Cuando la actualización no está disponible temporalmente, se pueden suspender los campos de paginación afectados a los que pueden acceder personas que no son de confianza; Reducir los tipos deserializables y las rutas de clases es una medida en profundidad. Las regresiones deben cubrir cursores legales, resultados paginados y rechazos de entradas de excepciones, y verificar las versiones reales de los componentes dentro del JAR de la aplicación final. ### 4.4 Spring Security: CVE-2026-59270 y riesgos de autenticación relacionados **CVE-2026-59270, 2026-08-20, Critical.** El `UnboundIdContainer` integrado registra las credenciales de administrador conocidas de forma predeterminada y escucha en todas las interfaces de red. Cuando el componente está habilitado y se puede acceder al puerto, un atacante puede leer o modificar datos del directorio; Los proyectos que generalmente introducen Spring Security no expondrán automáticamente LDAP. [S27](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-27) Área afectada: | rama | afectado | Primer canal de reparación/adquisición | | --------- | ------------------------- | -------------------------------------- | | 7.1 | 7.1.0 | 7.1.1 OSS; también comercial 7.1.0.1 | | 7.0 | 7.0.0—7.0.6 | 7.0.7 OSS; también comercial 7.0.6.1 | | 6.5 / 6.4 | 6.5.0—6.5.11；6.4.0—6.4.18 | 6.5.12/6.4.19, comercial | | 5.8 / 5.7 | 5.8.0—5.8.27；5.7.0—5.7.25 | 5.8.28/5.7.26, comercial | Fuente: [S27](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-27). Solucionar problemas de configuración automática `spring.ldap.embedded.*` y código de instanciación directa; cierre el componente cuando no sea necesario para la producción y verifique la dirección de escucha real. Cuando la empresa realmente lo necesite, primero limite las fuentes de llamadas y luego complete la actualización del componente. \*\*RProblema de autenticación relacionado: CVE-2026-47841 (High).\*\*WebAuthn La autenticación de usuario está configurada en `REQUIRED` y, después de que el almacenamiento distribuido serialice la sesión HTTP, la comparación incorrecta de la identidad del objeto puede invalidar el requisito de autenticación. El ataque también requiere que el atacante tenga posesión del dispositivo de autenticación del usuario, no un inicio de sesión remoto arbitrario sin un dispositivo. Para las versiones afectadas correspondientes de 7.1, 7.0, 6.5 y 6.4, la línea base del parche es consistente con estas ramas en la tabla anterior; La verificación debe cubrir sesiones entre nodos y aún requerir PIN/verificación biométrica. [S28](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-28) ## 5. Ecosistema Python: intérprete, biblioteca estándar, marco y certificados ### 5.1 CVE-2026-19445: SSLContext UAF en devolución de llamada SNI **Fecha de publicación: 2026-09-30; PSF Nivel: Critical.** En el servidor Python TLS, `sni_callback` cambia la conexión a otro `SSLContext`, y cuando el contexto original no tiene otras referencias supervivientes, el cliente TLS no autenticado puede bloquear el servicio o llamar a un puntero en un objeto liberado. [S29](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-29) El núcleo es que el objeto Python es inconsistente con el ciclo de vida de devolución de llamada subyacente TLS. El contexto original se ha liberado y es posible que la capa subyacente aún mantenga el estado requerido para la devolución de llamada; Es necesario utilizar el parche nativo del intérprete para corregir el ciclo de vida de referencia. [S47](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-47) **Scope:** El código Python que solo actúa como cliente TLS no se ve afectado por este elemento; el modo normal del conector de escucha que mantiene el contexto original durante mucho tiempo no cae en la ruta de falla específica descrita en el anuncio. Después de que Nginx termina TLS, solo entrega el HTTP local a Python, y Python maneja directamente SNI por sí mismo, que es una superficie de ataque diferente. [S29](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-29) Correspondiente a la versión fija 3.10—3.14, consulte la sección 2.3.. La versión oficial de 3.15 ha sido reparada y realmente se puede seleccionar 3.15.1. Sólo la actualización de la dependencia pip no puede reemplazar la implementación `_ssl` del intérprete. [S33](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-33)[S35](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-35)[S47](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-47) **OMitigación temporal oficial:** mantiene fuertes referencias a todos los SSLContext que han configurado la devolución de llamada SNI hasta el final del ciclo de vida del servidor. Esto debe cubrir las rutas reales de creación y conmutación dinámicas; la compilación personalizada de OpenSSL 1.1.1 también debe verificar las condiciones de renegociación junto con el registro de emisión oficial y dar prioridad a las actualizaciones completas. [S29](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-29)[S47](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-47) ### 5.2 CVE-2026-19553: El indicador de nombre de host está activado, pero falta el nombre de host al llamar **Fecha de publicación: 2026-09-30; High. Cuando**`SSLContext.check_hostname=True`, si `wrap_bio()` no se pasa en `server_hostname`, la implementación original puede omitir silenciosamente la verificación del nombre de host. La verificación exitosa de la cadena de certificados no significa que el nombre de dominio de destino también haya coincidido. [S30](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-30) La remediación requiere ambos pasos: - Instale la versión de seguridad del intérprete que figura en la sección 2.3.. - Verifique `wrap_bio()`, rutas relacionadas `asyncio.create_connection()` / `loop.start_tls()`, pase explícitamente el nombre de host esperado y no vacío y mantenga activada la verificación del certificado. [S30](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-30) \*\*Diferencias de compatibilidad que no se pueden omitir:\*\*3.10, 3.11, 3.12 son por compatibilidad, solo se emite `DeprecationWarning` para algunos casos en los que falta el nombre de host; 3.13 y posteriores aumentan `ValueError`. El backport 3.12 también distingue claramente `None` de las cadenas vacías: se agrega una nueva advertencia para `None` y todavía se informa un error para las cadenas vacías. Por lo tanto, los usuarios de sucursales bajas no pueden asumir que la verificación del nombre de dominio que faltaba originalmente se ha restaurado automáticamente simplemente mediante la actualización. [S31](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-31)[S33](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-33) En un entorno de prueba, utilice un certificado de cadena de confianza con un nombre de host que no coincida y confirme que el cliente TLS de la aplicación real lo rechace. La simple lectura del valor booleano `check_hostname` no constituye una aceptación completa. ### 5.3 CVE-2026-82049: Bypass de combinación de enlaces en el filtro tarfile **Fecha de publicación: 2026-09-14; High.** En CPython 3.13 e implementaciones relacionadas anteriores, la combinación de enlaces duros y enlaces simbólicos en tar que no es de confianza puede omitir el filtro de extracción `data` / `tar`, exponiendo el contenido de los archivos fuera del directorio de descomprimido en el árbol de descomprimido, o modificando sus permisos y modificaciones. veces. [S32](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-32) Los impactos confirmados de esta vulnerabilidad incluyen la exposición del contenido de los archivos y la modificación de metadatos; Estos impactos por sí solos no son suficientes para demostrar la sobrescritura arbitraria del contenido del archivo externo o la implementación incondicional de RCE. Para conocer las bases de referencia del parche correspondientes de 3.10—3.13, consulte la sección 2.3. **Python 3.14 ha estado exento de este problema específico debido a cambios de comportamiento de `os.link()` desde 3.14.0b1**, por lo que el alcance afectado de la rama 3.10—3.13 anterior no se aplica. [S33](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-33) **Medidas temporales y en profundidad:** suspender la extracción automática de archivos que no son de confianza; utilice procesos de trabajo aislados con bajos privilegios y nuevos directorios exclusivos cuando se deban procesar negocios, deniegue enlaces simbólicos, enlaces duros y entradas de dispositivos por negocio, y limite la cantidad de archivos y recursos de descompresión. Estas son recomendaciones de implementación. `filter="data"` es más adecuado para archivos generales que no son de confianza que la estrategia de plena confianza, pero el filtro en sí en la versión anterior también tiene esta vulnerabilidad, y agregar este parámetro por sí solo no puede reemplazar la actualización. El filtro tampoco es un entorno limitado de sistema de archivos completo. [S32](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-32)[S45](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-45) ### 5.4 Riesgo suplementario: CVE-2026-114583 (Medium) y estado de lanzamiento del parche PSF reveló en **2026-10-22** que el procesamiento de nombres de enlaces específicos por parte de `tarfile.tar_filter` se puede omitir, lo que permite a los miembros posteriores escribir fuera del directorio de descompresión, con un nivel de **Medium**. La solución oficial PR se fusionó ese día; A partir del 23 de octubre de 2026, no se ha confirmado ninguna versión de mantenimiento oficial que contenga esta confirmación. [S40](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-40) Por lo tanto: - Este artículo aparece por separado como Medium. - No se puede considerar que las versiones de intérprete publicadas el 21 de octubre hayan incluido esta solución. - El proceso que todavía utiliza `filter="tar"` para manejar archivos que no son de confianza debe realizar un seguimiento del backport de lanzamiento; aislar o suspender esta ruta de procesamiento por un corto período de tiempo. Al cambiar a `data` y rechazar enlaces, también debe confirmar que cumple con los requisitos comerciales, y cambiar el filtro no puede describirse como una zona de pruebas incondicional. ### 5.5 GeoDjango: CVE-2026-15307 y correcciones posteriores en octubre **2026-08-04, Django La consulta espacial oficial High.** pasa implícitamente ciertas cadenas/diccionarios a `GDALRaster`, y el controlador puede escribir archivos o iniciar solicitudes de red; RCE se puede formar cuando existen rutas específicas y condiciones de ejecución posteriores. El personal con permisos de visualización del modelo de campo espacial también puede acceder a esta ruta a través de la lista de cambios del administrador. [S38](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-38) La solución inicial es **5.2.17/6.0.8**, que restringe los tipos de entrada aceptados por las búsquedas espaciales. Este cambio puede afectar el negocio original de usar cadenas/diccionario para expresar ráster; simplemente incluir entradas que no son de confianza en GDALRaster no significa verificarlas. [S38](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-38) El 6 de octubre, se reparó **CVE-2026-87890 (Moderado)**: VRT expresado en bytes puede hacer referencia a recursos externos y aún activa solicitudes de red; el mismo día, también se reforzó la protección de la geometría anidada DoS de CVE-2026-15830. Los dos últimos no se pueden actualizar para describir el nuevo RCE de alto riesgo, pero indican que la línea base de implementación debe ser **5.2.18 / 6.0.9 / 6.1.2**. [S39](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-39) La implementación verifica los dos puntos de entrada de la API y la interfaz de administración, restringe la búsqueda espacial no confiable, los permisos de escritura de archivos y el acceso saliente; después de la actualización, pruebas de regresión de consultas espaciales válidas y rechazo de entradas prohibidas. Las aplicaciones Django ordinarias que no utilizan GeoDjango no deberían aplicar directamente esta conclusión de RCE. ### 5.6 certifi / pip: La confianza del certificado debe cubrir cada copia **GHSA-6q48-6c7w-9gw2, 2026-10-20, Critical, conocido CVE no listado.** Esta es la actualización de desconfianza del certificado causada por el incidente eMudhra intermedio CA. No se puede resumir en el mecanismo de criptografía de HTTPS o en que todos los certificados raíz hayan sido descifrados. [S36](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-36) El aviso certifi originalmente incluía **2026.10.18** como parche; Posteriormente, PSF recomendó explícitamente **2026.10.19** para preservar la compatibilidad con los certificados raíz no afectados. La línea base operativa es .19. [S36](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-36)[S37](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-37) Necesidad de distinguir: | Ubicación del material de confianza | ¿Por qué necesitas verificar por separado? | | ----------------------------------------------------- | ------------------------------------------------------------------------------------ | | Paquete de sistema operativo CA | Material de confianza del sistema para la imagen o el host | | certifi en venv | CA bundle realmente utilizado por aplicaciones o Solicitudes, etc. | | pip incorporado certifi | Es una copia diferente a la certifi instalada externamente. | | uv / Otras herramientas de embalaje | Siga las actualizaciones propias de la herramienta y las fuentes confiables. | | Archivos CA personalizados, instantáneas empaquetadas | Puede continuar anulando fuentes confiables predeterminadas para sistemas o paquetes | Lo anterior es una lista de verificación basada en diferentes ubicaciones de embalaje. PSF requiere actualizar las herramientas relacionadas, los entornos virtuales existentes y reconstruir la imagen; Sólo actualizar el host CA o reinstalar el intérprete no puede demostrar que se hayan actualizado todas las copias. [S35](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-35)[S37](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-37) Al actualizar desde el antiguo arranque seguro pip, PSF proporciona los comandos para **fixed wheel y SHA-256**; consulte el apéndice S37. No desactive la verificación TLS ni agregue `--trusted-host` para evitar problemas de certificados. ## 6. Proceso de remediación formal Los siguientes comandos son para entornos confiables confirmados. Al ejecutar, el administrador de paquetes existente, el archivo de bloqueo y el proceso de implementación del proyecto deben combinarse para evitar mezclar npm/pnpm/yarn o pip/uv/Poetry para generar archivos de bloqueo conflictivos. **Maneje una excepción primero:** Si sospecha que el entorno ha ejecutado el paquete comprometido en la Sección 9, aíslelo primero y verifique el disco, el archivo de bloqueo y el registro de imagen desde un entorno limpio; No ejecute primero el siguiente comando Python/pip. [S41](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-41) ### 6.1 Establezca un libro de contabilidad que pueda corresponder al tráfico real Cada servicio registra al menos: - Punto de entrada externo, proxy inverso, ruta de conexión directa al sitio de origen y cola en segundo plano/tareas programadas. - El comando de inicio real, la cuenta en ejecución, la ruta binaria, el proceso o la identidad del contenedor. - Versión completa en tiempo de ejecución, editor/repositorio, versión completa del paquete o resumen de imágenes. - Dependencias transitivas y de marco, archivos de bloqueo, bibliotecas nativas y rutas de almacenamiento de confianza. - Correspondiente a si existe la condición de vulnerabilidad, objetivo del parche, alcance del reinicio, persona responsable y resultado de la verificación. Las máquinas de desarrollo, los ejecutores de CI, los contenedores de compilación y las tareas en segundo plano también deben verificarse según sus rutas hacia contenido que no sea de confianza; no se limite a actualizar el contenedor web público. ### 6.2 Node.js: determine primero el tiempo de ejecución y luego actualice las dependencias de la aplicación Verifique en el entorno de servicio real: ```bash node -p 'JSON.stringify({execPath:process.execPath,node:process.version,openssl:process.versions.openssl,brotli:process.versions.brotli},null,2)' npm ls next react react-dom react-server-dom-webpack react-server-dom-parcel react-server-dom-turbopack sharp --all npm audit --omit=dev ``` `node -p` debe ejecutarse utilizando el ejecutable real del servicio o dentro de un contenedor real; comprueba si hay procesos recién iniciados y no prueba por sí mismo que el antiguo trabajador haya sido reemplazado. Node puede agregar el parche al Brotli integrado conservando la cadena de versión de la biblioteca original. Por lo tanto, no confíe únicamente en `process.versions.brotli` para determinar si se ha reparado. Debe combinarlo con la versión de seguridad Node o la evidencia del backport del proveedor. [S2](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-2)[S4](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-4) `npm ls` se utiliza para ver el árbol de dependencia real; Los paquetes faltantes o los conflictos entre pares también pueden producir códigos de salida distintos de cero, por lo que debe leer el resultado específico. `npm audit` se utiliza como ayuda para la verificación de dependencias y no puede reemplazar la verificación de biblioteca nativa y binaria Node. Utilice **mise para administrar el entorno de Node 24**, que se puede actualizar de la siguiente manera: ```bash mise use -g node@24.22.1 mise exec node@24.22.1 -- node -p 'process.version + " " + process.execPath' ``` `mise use -g` configura la versión global; La configuración local del proyecto aún debe verificarse por separado. Si el servicio ha corregido la antigua ruta absoluta, la imagen base del contenedor o el entorno de una cuenta diferente, se debe actualizar la configuración correspondiente y reiniciar el servicio. El comando en sí no reemplaza un proceso antiguo en ejecución. [S43](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-43) En el proyecto Next, ejecute el comando correspondiente según la rama seleccionada. Para Next 15: ```bash # Next 15 分支 npm install --save-exact next@15.5.28 ``` Para Next 16: ```bash # Next 16 分支 npm install --save-exact next@16.4.1 ``` Verifique las dependencias compatibles con React/RSC, bloquee los archivos y la instancia final de Sharp, y luego compílelo de acuerdo con el proceso del proyecto. Utilice el archivo de bloqueo actualizado en CI para una instalación reproducible y verifique la versión en la imagen en ejecución después de la compilación. No utilice la reparación automática no controlada en las versiones principales como solución predeterminada para esta emergencia. ### 6.3 Java: verificar el editor, el JVM real y los componentes integrados Inventario preliminar: ```bash java -XshowSettings:properties -version ``` El `java.home`, `java.runtime.version` y el editor en la salida deben estar alineados con el JVM que realmente utiliza el servicio. Para JVM con permiso de adjuntar, se puede usar `jcmd` de JDK para verificar el proceso de destino, no solo el shell de inicio de sesión. Verifique las dependencias en proyectos confiables y seleccione según las herramientas de compilación reales: ```bash ./mvnw dependency:tree '-Dincludes=org.apache.tomcat.embed:*,org.springframework.security:*,org.springframework.graphql:*' ./gradlew dependencyInsight --dependency tomcat-embed-core --configuration runtimeClasspath ./gradlew dependencyInsight --dependency spring-security-core --configuration runtimeClasspath ./gradlew dependencyInsight --dependency spring-graphql --configuration runtimeClasspath ``` Estos comandos de compilación pueden ejecutar complementos y resolver dependencias en línea, y solo se ejecutan en proyectos confiables. Verifique el JAR/WAR final o el JAR real en la imagen y no sustituya las declaraciones del archivo de compilación por el artefacto final. Spring El arranque integrado Tomcat requiere reconstruir la aplicación; actualizar una instalación Tomcat separada en el sistema no modificará la copia en el paquete de la aplicación. Después de actualizar el tiempo de ejecución, verifique el `javax.net.ssl.trustStore` personalizado, el KeyStore autocargado de la aplicación, el tiempo de ejecución jlink, la imagen nativa/GraalVM y otros formularios de entrega, elemento por elemento. Las aplicaciones que ya tienen materiales de confianza personalizados no pueden finalizar la verificación solo porque el directorio JDK sea nuevo. ### 6.4 Python: Procesamiento intérprete por intérprete y entorno virtual Dentro del venv/contenedor real confirmado como confiable: ```bash python - <<'PY' import sys import ssl import importlib.metadata as metadata print("executable:", sys.executable) print("version:", sys.version) print("openssl:", ssl.OPENSSL_VERSION) print("verify_paths:", ssl.get_default_verify_paths()) for name in ("pip", "certifi", "Django", "urllib3", "Brotli", "litellm"): try: print(name + ":", metadata.version(name)) except metadata.PackageNotFoundError: print(name + ": not installed") PY python -m pip --version python -m pip check ``` Este script solo recopila información y no determina la calificación de la versión. `ssl.get_default_verify_paths()` es la información de ruta predeterminada y no puede probar que todos los clientes de terceros utilicen el mismo almacén de confianza; debe confirmarse según la configuración de la aplicación. Después de completar la actualización de arranque confiable pip del apéndice S37, actualice las dependencias del certificado de acuerdo con las restricciones del proyecto, por ejemplo: ```bash python -m pip install --upgrade 'certifi>=2026.10.19' # 仅适用于当前就选择 Django 5.2 的项目 python -m pip install --upgrade 'Django>=5.2.18,<5.3' python -m pip check ``` El archivo de requisitos/bloqueo del proyecto debe actualizarse al mismo tiempo; de lo contrario, la próxima implementación puede volver a la versión anterior. Cuando utilice uv, Poetry o un repositorio de paquetes empresariales, utilice sus procesos de bloqueo y publicación existentes; no modifique manualmente los paquetes solo dentro de un contenedor de producción. El flujo de trabajo `pip-audit` existente del proyecto se puede utilizar para verificar vulnerabilidades de dependencia conocidas en un entorno confiable; no es un escáner de códigos maliciosos y no cubre todos los riesgos del intérprete, la biblioteca del sistema y el almacén de confianza. [S44](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-44) **No se recomienda forzar al sistema `/usr/bin/python3` a apuntar a una nueva versión compilada.** Utilice actualizaciones de seguridad de lanzamiento o tiempos de ejecución de aislamiento de proyectos para evitar dañar las herramientas de administración que dependen del sistema Python. Esta es una opción de implementación y no es un requisito de solución adicional para esta vulnerabilidad. ### 6.5 Reconstruir y reemplazar la instancia en ejecución Se recomienda realizar los siguientes pasos como un cambio completo: 1. Obtenga el parche de la fuente confiable original y guarde la versión/hash y el bloqueo de dependencia. 2. Devuelve las funciones clave en un entorno cercano a la producción y confirma que las extensiones nativas son compatibles con JVM/framework. 3. Actualizar el tiempo de ejecución, las dependencias de la aplicación y el almacén de confianza real; Actualice la imagen base y el sistema CA para el contenedor, no solo reutilice la capa anterior. 4. Reconstruya aplicaciones e imágenes y reemplace instancias de servicios, trabajadores, consumidores de colas y tareas programadas de forma continua. 5. Vuelva a verificar la versión y la configuración en la nueva instancia en ejecución y confirme que todas las copias antiguas hayan salido. 6. Observe las tasas de error, la latencia, CPU/memoria, fallas en el protocolo de enlace TLS y fallas en los procesos. La reversión debe dar prioridad a conservar el tiempo de ejecución seguro y las dependencias de parches, y revertir la configuración de la aplicación o los cambios comerciales. Si tiene que volver a un producto antiguo con vulnerabilidades, se deben restaurar simultáneamente las restricciones de entrada correspondientes y se debe definir claramente la persona responsable y el período mínimo de recuperación. ## 7. Mitigación temporal y selección de parches ### 7.1 Límite de cobertura de medidas temporales Las siguientes son sugerencias de implementación basadas en las condiciones de utilización anunciadas. A menos que se indique el plan oficial, el proveedor no garantiza que todas las variantes puedan bloquearse por completo. | riesgo | Medidas temporales que se pueden tomar | La parte que no se puede considerar completada con base en este | | ----------------------------------- | ----------------------------------------------------------------------------------------------------------------------------------------- | -------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | Decodificación Brotli | Detener la decodificación de entradas que no sean de confianza; comprobar la descompresión automática entrante y saliente | WAF entrante o desactivar la compresión de respuesta no cubre todas las entradas de decodificación [S3](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-3) | | Next.js typed arrays RCE | Actualice inmediatamente; aislar temporalmente los servicios afectados si es necesario | No existe una solución alternativa universal oficial confiable [S9](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-9) | | Next.js SVG RCE | Plan oficial: Garantizar la nitidez real ≥0.35.5; suspender los puntos de entrada de optimización relevantes cuando el negocio lo permita | No cubre otros problemas de Next/RSC [S11](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-11) | | Reino Tomcat / HTTP/2 / AJP | Aislar la ruta correspondiente y cerrar los conectores innecesarios. | Aún necesito el paquete de reparación de sucursal correspondiente [S21](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-21)[S22](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-22)[S23](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-23) | | GraphQL Deserialización | Suspender los campos de conexión afectados; restringir llamadas no confiables | Sólo el límite de longitud de la solicitud no puede solucionar el problema de tipo/deserialización [S25](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-25) | | Spring embedded LDAP | Desactivar cuando no sea necesario; limitar el alcance del puerto de escucha real | Aún es necesario verificar la identidad administrativa predeterminada y la integridad del directorio [S27](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-27) | | CPython SNI UAF | Plan oficial: mantenga la referencia sólida SSLContext relevante hasta el final del servicio | Se deben cubrir todas las rutas de creación/cambio [S29](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-29) | | Python omitir nombre de host | Solución oficial: pase correctamente el server\_hostname esperado | No se puede simplemente marcar el indicador check\_hostname o ignorar la advertencia [S30](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-30)[S31](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-31) | | alquitrán no confiable | Deshabilitar/poner en cuarentena la extracción, rechazar enlaces no esenciales y entradas de dispositivos | Ni los filtros ni las cuotas de recursos son entornos sandbox universales [S32](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-32)[S40](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-40)[S45](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-45) | | Evento de confianza del certificado | Actualice el material CA correcto; La confianza Java puede restringirse según la mitigación oficial | Deshabilitar la verificación TLS aumenta el riesgo [S19](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-19)[S37](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-37) | ### 7.2 Seleccione el parche según el método de entrega | Método de entrega | Priorizar los métodos de reparación | Pruebas que deben conservarse | | ----------------------------------------------------- | ------------------------------------------------------------------------------------------------------------- | ------------------------------------------------------------------------------------------------------- | | Tiempo de ejecución administrado por distribución | Actualizaciones de seguridad correspondientes del fabricante | Versión completa del paquete, anuncio, fuente del repositorio | | Administrador oficial de binarios/tiempo de ejecución | Comunicado de seguridad oficial de la misma sucursal. | Versión, código fuente y resumen, ruta de ejecución real | | Autocompilado Node / CPython | La versión oficial de la rama correspondiente o el conjunto completo de parches del proveedor | Conjunto de confirmación, parámetros de compilación, bibliotecas dependientes y resultados de regresión | | Spring / Next / Django | Compatible con actualizaciones internas, reconstrucción de bloqueos de dependencia y aplicaciones finales | Árbol de dependencia final, versión real en JAR/paquete/imagen | | Tienda de confianza personalizada | Plan de retiro oficial o actualización del proveedor que confirma el retiro | Ruta de uso real, cambio de material, pruebas de éxito y rechazo de TLS | | Un entorno comprometido | Reconstruir a partir de productos limpios y confiables y realizar investigaciones de incidentes por separado. | Resumen histórico de paquete/imagen, registro de instalación, registro de rotación de credenciales | ### 7.3 Mecanismo de parche clave y enfoque de revisión - **Brotli:** preste atención a si la verificación de límites y el retorno de error del estado de decodificación nativo están completos antes de ingresar a la compilación; solo reemplazar el paquete JavaScript no puede cambiar el código compilado estáticamente en Node. [S4](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-4) - **Node DNS/TLS:** se centra en el rechazo de entrada, la normalización de direcciones, la distinción entre las identidades SAN IP y DNS, y la devolución de llamada/promesa DNS La ruta de análisis y TLS prueba de coincidencia de nombre de host. [S5](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-5)[S6](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-6) - **Tomcat JNDIRealm:** se centra en si el proceso de autenticación realmente verifica las credenciales, en lugar de simplemente obtener un contexto de directorio; priorizar la versión oficial y no tratar el reemplazo de un único archivo fuente como un parche binario completo. [S24](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-24) - **CPython ssl:** se centra en la propiedad de referencia de Python y el ciclo de vida del SSLContext subyacente; Los backports `wrap_bio()` tienen diferencias de compatibilidad de ramas y debe leer la implementación real de la rama utilizada. [S31](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-31)[S47](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-47) - **Certificado de desconfianza:** Estas actualizaciones pueden aparecer como material confiable o cambios en la lista de denegación en lugar de cambios obvios de API. El mismo lote de Node también incluye el mecanismo de rechazo del intermedio afectado CA; las respectivas fuentes de confianza de Java y Python aún deben verificarse por separado. [S19](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-19)[S37](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-37)[S46](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-46) \*\*También se debe verificar el enlace independiente Brotli.\*\*Google upstream lanzó **1.0.10 / 1.1.1 / 1.2.1** el mismo día para reparar CVE-2026-111497. Las extensiones nativas Python o los artefactos JNI que incorporan la misma implementación de C afectada deben actualizarse/reconstruirse de forma independiente; No se puede inferir que todos los decodificadores Java puros se vean afectados, ni se puede suponer que la actualización de Node reemplace automáticamente las copias en otros idiomas. [S42](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-42) ## 8. Verificación y controles de seguimiento ### 8.1 Lista de verificación mínima de verificación | comprobar artículos | Se requiere evidencia | | -------------------------------- | ---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | tiempo de ejecución | La versión completa o la evidencia del backport del proveedor son correctas en un proceso/contenedor real | | dependencias de la aplicación | Next/RSC/sharp, Tomcat/Spring y Django/certifi en los productos de implementación final han alcanzado el umbral correspondiente | | Gama de reemplazo | Todas las copias de trabajador/JVM/contenedor y las tareas en segundo plano se reemplazaron por otras nuevas y las instancias antiguas se cerraron. | | TLS | Los certificados de dominio válidos tienen éxito; los nombres de host no coincidentes y las cadenas no válidas fallan según la política; Se incluyen tiendas de confianza personalizadas. | | eMudhra desconfianza | La cadena de certificados creada por el intermediario CA afectado fue rechazada durante el tiempo de ejecución real, o hay evidencia de que se ha implementado la compilación de seguridad/la lista de rechazo correspondiente del proveedor específico; el caso no se puede cerrar según la prueba general TLS o el número de versión corta Java 8. | | Node decodificación e imágenes | Están disponibles las funciones de respuesta comprimida normal, carga, optimización de imágenes y RSC; La política de fuente no confiable está vigente. | | Java Autenticación y aislamiento | Contraseña incorrecta rechazada; solicitudes asincrónicas simultáneas de usuarios independientes sin combinación de identidad/respuesta; LDAP escuchando como se esperaba | | Python SNI / Archivo | El negocio normal de nombres de dominios múltiples TLS es estable; el archivado rechaza el recorrido de ruta y los enlaces no permitidos, y los archivos fuera del directorio no se modifican | | Datos y regresión funcional. | Las tareas de paginación, consulta espacial, verificación de permisos y en segundo plano pasaron las pruebas existentes del proyecto. | | Recursos y observaciones | No hay un aumento anormal en CPU, memoria, tasa de error, latencia y errores TLS. | | Trazabilidad | Ahorre tiempo de actualización, resumen de paquetes/imágenes, cambios de configuración, resultados de verificación y elementos no resueltos | Estas son recomendaciones de aceptación de implementación y no requieren que se produzca un script de ataque para cada CVE. La verificación que involucra fallas, agotamiento de recursos y archivos fuera de límites debe utilizar pruebas de regresión ascendentes o datos de prueba controlados por el proyecto en un entorno aislado. ### 8.2 La aplicación de parches y la investigación de intrusiones son tareas diferentes Verifique los registros existentes en busca de errores de decodificación inusuales, fallas de trabajador/JVM, escrituras de archivos sospechosos, cambios de datos de directorio, excepciones de autenticación, solicitudes salientes y registros de uso de credenciales. Estas señales deben juzgarse en contexto: una falla o OOM no es prueba de una explotación exitosa; la ausencia de alertas no prueba que un sistema no haya sido afectado. Cuando se descubren modificaciones no autorizadas, credenciales comprometidas o dependencias maliciosas confirmadas, se deben preservar las pruebas, aislar las instancias relevantes, rotar las credenciales afectadas desde un entorno confiable y reconstruir el sistema. El parche no revocará los tokens que haya obtenido el atacante ni restaurará los datos que hayan sido modificados. ## 9. Incidente de seguridad de la cadena de suministro: compromiso LiteLLM 1.107.0 \*\*Ofecha de confirmación oficial: 2026-10-21.\*\*LiteLLM informó que su proceso de lanzamiento estaba comprometido. **litellm==1.107.0** de PyPI y algunos productos Docker/GHCR del mismo período contenían código malicioso de robo de secretos y control remoto, y los productos relacionados han sido retirados. [S41](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-41) Para determinar el impacto, debe consultar los registros históricos de instalación y el resumen de imágenes; etiquetas como `latest`, `main-latest` y `main-stable` ahora apuntan a imágenes limpias, lo que no prueba que los productos retirados en el momento del incidente estuvieran limpios. La recomendación oficial en ese momento fue fijar temporalmente **1.106.2**; esta recomendación se basó en este incidente y aún es necesario verificar otros anuncios de seguridad durante la implementación. [S41](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-41) Para entornos donde se han instalado o ejecutado productos relacionados: 1. Aísle y conserve registros, imágenes y registros de instalación, e inspecciónelos desde un entorno limpio. 2. **No inicie primero Python/pip** en un entorno sospechoso; El malicioso `.pth` / `sitecustomize.py` puede volver a ejecutarse después del inicio. 3. Reconstruir hosts, venvs/contenedores de fuentes confiables; No se puede simplemente desinstalar o degradar paquetes. 4. Revocar/rotar las credenciales de la nube, las claves del proveedor LLM, las claves LiteLLM y las credenciales de la base de datos según la accesibilidad real y revisar el uso anormal. [S41](https://keendigit.com/es/insights/node-java-python-security-remediation-guide#source-41) Este es un incidente confirmado en la cadena de suministro y requiere consideración de la ejecución de código malicioso, la fuga de credenciales y los riesgos de persistencia al abordarlo. El 23 de octubre de 2026, los funcionarios todavía estaban investigando la intrusión inicial. ## Apéndice: fuentes citadas y enlaces La siguiente fecha de verificación de la fuente es **2026-10-23**, incluido el anuncio de seguridad oficial del proyecto, el repositorio de código oficial y las instrucciones del proveedor. El texto principal \[Sx] corresponde a este apéndice; Al realizar actualizaciones, debe verificar si el proveedor ha publicado revisiones posteriores. ### S1 — Node.js: 2026-10-21 Aviso de seguridad - Propósito: Cuatro tiempos de ejecución High, que afectan a las sucursales, versión de seguridad de octubre. - Referencia: [Official Security Bulletin](https://nodejs.org/en/blog/vulnerability/october-2026-security-releases) ### S2 — Node.js: Instrucciones de lanzamiento oficiales para tres líneas de mantenimiento - Propósito: Verificar 22.23.4, 24.22.1, 26.12.1 y los parches fusionados reales. - Referencia: [Node.js 22.23.4](https://nodejs.org/en/blog/release/v22.23.4/) - Referencia: [Node.js 24.22.1](https://nodejs.org/en/blog/release/v24.22.1/) - Referencia: [Node.js 26.12.1](https://nodejs.org/en/blog/release/v26.12.1/) ### S3 — Vercel: Aviso de seguridad Node.js Brotli RCE - Propósito: Condiciones de decodificación entrante/saliente, límite de cobertura WAF, estado Node 20. - Referencia: [Node.js security advisory: Brotli decoder RCE](https://vercel.com/kb/bulletin/node-js-security-advisory) ### S4 — Node.js: Envío del parche oficial Brotli - Propósito: Base de implementación para la verificación de decodificación nativa y propagación de errores. - Referencia: [Brotli Patch commit 49dff6f57a](https://github.com/nodejs/node/commit/49dff6f57a) ### S5 — Node.js: parche de normalización de direcciones TLS - Propósito: Certificado de verificación de identidad de números de ancho completo y no estándar IP. - Referencia: [IP normalization regression Patch](https://github.com/nodejs/node/commit/935918e342) - Referencia: [rejects the patching of non-standard IP address](https://github.com/nodejs/node/commit/de49c913f2) ### S6 — Node.js: parche de verificación DNS NUL - Propósito: Rechazo de entrada y cobertura de regresión. - Referencia: [dns.resolve Input verification patch](https://github.com/nodejs/node/commit/843a1627dc) ### S7 — Node.js: 2026-07-29 Aviso de seguridad - Propósito: Agotamiento de la memoria HTTP/2, UAF y vulnerabilidades del modelo de permisos. - Referencia: [July 2026 Security Releases](https://nodejs.org/en/blog/vulnerability/july-2026-security-releases) ### S8 — Next.js: actualización de seguridad del 14 de octubre de 2026 - Propósito: Unificar la línea base de actualización y tres riesgos clave. - Referencia: [Next.js Security Update for Upstream Vulnerabilities](https://nextjs.org/blog/nextjs-security-update-october-14-2026) ### Referencia: S9 — Next.js：typed arrays / use cache RCE - Propósito: GHSA-673q-mjm6-r5xr; afecta el intervalo, la condición, la puntuación y el estado de la solución. - Referencia: [Next.js Official Security Bulletin](https://github.com/vercel/next.js/security/advisories/GHSA-673q-mjm6-r5xr) ### Referencia: S10 — React：React Server Components RCE - Propósito: GHSA-xqc2-xf4c-x3h3; Versiones afectadas y reparadas de tres paquetes RSC. - Referencia: [React Official Security Bulletin](https://github.com/react/react/security/advisories/GHSA-xqc2-xf4c-x3h3) ### Referencia: S11 — Next.js：SVG Image Optimization RCE - Propósito: CVE-2026-96889 / GHSA-2464-fhr4-w9xw; Límites de la versión glibc, nítida y original. - Referencia: [SVG Image Optimization Official Security Bulletin](https://github.com/vercel/next.js/security/advisories/GHSA-2464-fhr4-w9xw) ### Referencia: S12 — Next.js：Server Actions DoS - Propósito: GHSA-p3m5-59mp-jv5r; Afecta a condiciones, versiones y clasificaciones. - Referencia: [Server Actions DoS Official Security Bulletin](https://github.com/vercel/next.js/security/advisories/GHSA-p3m5-59mp-jv5r) ### S13 — Next.js: AVIF Optimización de imagen RCE - Propósito: 2026-08-25, GHSA-2xp9-vwfh-vxw4. - Referencia: [AVIF Official Security Bulletin](https://github.com/vercel/next.js/security/advisories/GHSA-2xp9-vwfh-vxw4) ### Referencia: S14 — Next.js：Windows RCE - Propósito: 2026-08-25, CVE-2026-75604/GHSA-p293-qw3h-jr36. - Referencia: [Windows RCE Official Security Bulletin](https://github.com/vercel/next.js/security/advisories/GHSA-p293-qw3h-jr36) ### Referencia: S15 — Next.js：next/og ImageResponse RCE - Propósito: 2026-09-22, GHSA-vcvr-r3jv-pc5j; Diferencia entre Node y Edge. - Referencia: [ImageResponse Official Security Bulletin](https://github.com/vercel/next.js/security/advisories/GHSA-vcvr-r3jv-pc5j) - Referencia: [September 22 release notes](https://nextjs.org/blog/nextjs-security-update-september-22-2026) ### Referencia: S16 — Oracle: October 2026 CPU - Finalidad: Matriz de riesgos Java SE, cantidad de parches y condiciones aplicables. - Referencia: [Oracle Critical Patch Update – October 2026](https://www.oracle.com/security-alerts/cpuoct2026.html) - Referencia: [Oracle Java SE CPU Version list](https://docs.oracle.com/en-us/iaas/releasenotes/java-management/jdk-cpu-october-2026.htm) ### S17 — Oracle: CVE-2026-91403 alarma fuera de banda - Finalidad: 2026-10-21, Riesgo de confianza del certificado JSSE, productos afectados y CVSS 3.1 9.1. - Referencia: [Oracle Security Alert](https://www.oracle.com/security-alerts/alert-cve-2026-91403.html) ### S18 — Oracle: JDK versión oficial y descarga - Propósito: Distinguir entre CPU el 20 de octubre y la versión fuera de banda el 21 de octubre; distinguir las limitaciones de la versión corta de Java 8. - Referencia: [JDK release list](https://ops.java/releases/) - Referencia: [Oracle Java Download page](https://www.oracle.com/java/technologies/downloads/) ### S19 — Oracle: eMudhra plan de retiro temporal - Propósito: Actualizado el 22 de octubre de 2026; dos certificados raíz, herramienta de claves, almacén de confianza personalizado y verificación de revocación. - Referencia: [Distrusting eMudhra Intermediate Certificates in Oracle JDK](https://ops.java/emudhra) ### S20 — Eclipse Adoptium: registro de compilación de versión - Propósito: Temurin se reempaqueta debido al incidente del certificado; el sufijo de versión Oracle no se puede aplicar mecánicamente. - Referencia: [Adoptium Release Scorecards](https://github.com/adoptium/adoptium/wiki/Adoptium-Release-Scorecards) ### S21 — Apache Tomcat 9 Aviso de seguridad - Propósito: Intervalo afectado exacto de 9 ramas con corrección 9.0.123. - Referencia: [Tomcat 9 vulnerabilities](https://tomcat.apache.org/security-9.html) ### S22 — Apache Tomcat 10 Aviso de seguridad - Propósito: intervalo preciso de rama 10.1 y reparación de 10.1.61; 10.0 EOL. - Referencia: [Tomcat 10 vulnerabilities](https://tomcat.apache.org/security-10.html) ### S23 — Apache Tomcat 11 Aviso de seguridad - Propósito: Tres elementos: Important, 11.0.27, AJP, alcance aplicable y fecha de divulgación/lanzamiento. - Referencia: [Tomcat 11 vulnerabilities](https://tomcat.apache.org/security-11.html) ### S24 — Apache Tomcat: confirmación del parche JNDIRealm - Propósito: Base formal para reparar las brechas de verificación de certificación. - Referencia: [JNDIRealm Patch commit](https://github.com/apache/tomcat/commit/e43453fc04abb44f64faf571ca98af71aa3c20a1) ### Referencia: S25 — Spring：GraphQL CVE-2026-59285 - Propósito: 2026-08-20, Requerido, 2.0.5 OSS / 2.0.4.1 Reparación comercial. - Referencia: [Spring for GraphQL Unsafe Deserialization](https://spring.io/security/cve-2026-59285/) ### Referencia: S26 — Spring：GraphQL CVE-2026-41699 - Propósito: Un umbral de corrección anterior, solo para explicar por qué no puede permanecer en la línea de base anterior. - Referencia: [6 Month GraphQL Security Bulletin](https://spring.io/security/cve-2026-41699/) ### Referencia: S27 — Spring Security：CVE-2026-59270 - Propósito: Incrustar UnboundID LDAP, identidad de administración conocida y distinguir OSS/versión comercial. - Referencia: [Spring embedded LDAP Security Bulletin](https://spring.io/security/cve-2026-59270/) ### Referencia: S28 — Spring Security：CVE-2026-47841 - Propósito: autenticación de usuario WebAuthn, serialización de sesiones y premisa de ataque. - Referencia: [WebAuthn Security Bulletin](https://spring.io/security/cve-2026-47841/) ### S29 — PSF: CVE-2026-19445 Asesor de seguridad independiente - Objeto: 2026-09-30, Critical, SNI Condiciones y medidas temporales citadas por SSLContext. - Referencia: [SSLContext UAF Official announcement](https://mail.python.org/archives/list/security-announce@python.org/thread/QMQIUQB6WGGC3MI7I3WKQXOYOBDSPPS3/) ### S30 — PSF: CVE-2026-19553 Asesor de seguridad independiente - Propósito: 2026-09-30, High, falta nombre de host y mitigación de parámetros explícitos. - Referencia: [wrap\_bio Official announcement of hostname verification](https://mail.python.org/archives/list/security-announce@python.org/thread/QNZRG3YOAMTHDCMVCICXGY6YEFPY2VDL/) ### S31 — CPython: parche oficial wrap\_bio y backport 3.12 - Propósito: 3.10: política de compatibilidad de advertencias 3.12, la diferencia entre None y la cadena vacía. - Referencia: [Main Patch PR #158503](https://github.com/python/cpython/pull/158503) - Referencia: [3.12 Backfill PR #158513](https://github.com/python/cpython/pull/158513) - Referencia: [3.15 Backfill PR #158511](https://github.com/python/cpython/pull/158511) ### S32 — PSF: CVE-2026-82049 Asesor de seguridad independiente - Finalidad: 2026-09-14, High, combinación de enlaces, modificación de metadatos y exposición de contenidos. - Referencia: [tarfile link bypasses the official announcement](https://mail.python.org/archives/list/security-announce@python.org/thread/EFJWGAZJA56AKSBR2WHMHQZO7RRLZPRH/) ### S33 — CPython: Lanzamiento de seguridad oficial a finales de septiembre/principios de octubre - Propósito: Versión mínima de corrección, método de distribución del código fuente y exención 3.14 para problemas específicos del archivo tar. - Referencia: [Python Cross-branch security release instructions](https://blog.python.org/2026/10/python-31022-31117/) - Referencia: [Python 3.11.17](https://www.python.org/downloads/release/python-31117/) - Referencia: [Python 3.12.15](https://www.python.org/downloads/release/python-31215/) - Referencia: [Python 3.13.16](https://www.python.org/downloads/release/python-31316/) - Referencia: [Python 3.14.8](https://www.python.org/downloads/release/python-3148/) ### S34 — CPython: 3.10 última liberación segura - Finalidad: 3.10.22 y fin del ciclo de vida aguas arriba. - Referencia: [Python 3.10.22](https://www.python.org/downloads/release/python-31022/) ### S35 — CPython: 2026-10-21 versión de mantenimiento de emergencia - Propósito: 3.13.17 / 3.14.9 / 3.15.1, actualizaciones integradas de pip y certifi, requisitos de venv existentes. - Referencia: [Python 3.13.17](https://www.python.org/downloads/release/python-31317/) - Referencia: [Python 3.14.9](https://www.python.org/downloads/release/python-3149/) - Referencia: [Python 3.15.1](https://www.python.org/downloads/release/python-3151/) ### S36 — certifi: Anuncio de desconfianza del certificado emSign - Propósito: 2026-10-20, GHSA-6q48-6c7w-9gw2, Critical, no se conoce CVE. - Referencia: [certifi Official Security Bulletin](https://github.com/certifi/python-certifi/security/advisories/GHSA-6q48-6c7w-9gw2) ### S37 — PSF: Impacto de eMudhra / emSign en los usuarios de Python - Propósito: recomendación certifi .19, línea base pip/uv, comando de actualización de arranque confiable con SHA-256. - Referencia: [PSF Official event and upgrade instructions](https://discuss.python.org/t/information-for-python-users-regarding-emudhra-emsign-ca-certificate-security-incident/109576) El comando de actualización de arranque pip proporcionado por las instrucciones oficiales citadas por S37 es el siguiente. Utilice únicamente en entornos Python que se haya confirmado que son confiables; si hay sospecha de envenenamiento en la Sección 9, primero aísle y reconstruya de acuerdo con el proceso del incidente. Corrige el hash del contenido de la rueda y posteriormente actualiza otras dependencias según el proceso del proyecto. ```bash python -m pip install "pip @ https://files.pythonhosted.org/packages/3f/06/3e4420302363fbb71be3c7f35ce042f54bfca330e3e66b3a2e3c4cca579f/pip-26.2.2-py3-none-any.whl#sha256=fd7f4dfa8190e014013b9f08f3e973f4e4c26ffd179a204895533a7254813a70" ``` ### S38 — Django: 2026-08-04 liberación segura - Uso: CVE-2026-15307, GeoDjango Condiciones de explotación, correcciones iniciales y cambios de compatibilidad. - Referencia: [Django 6.0.8 / 5.2.17](https://www.djangoproject.com/weblog/2026/aug/04/security-releases/) ### S39 — Django: 2026-10-06 liberación segura - Propósito: CVE-2026-87890, geometría DoS refuerzo posterior con la línea base actualmente seleccionada. - Referencia: [Django 6.1.2 / 6.0.9 / 5.2.18](https://www.djangoproject.com/weblog/2026/oct/06/security-releases/) ### S40 — PSF / CPython: Última nota al margen de tar\_filter - Propósito: 2026-10-22, CVE-2026-114583 (Medium); La fusión PR no significa que se haya lanzado la versión de mantenimiento oficial. - Referencia: [PSF Independent Announcement](https://mail.python.org/archives/list/security-announce@python.org/thread/43JOWPRAV5DI3VZ4FUEUAZOHCATXXOCK/) - Referencia: [CPython Patch PR #160098](https://github.com/python/cpython/pull/160098) ### S41 — LiteLLM: Informe oficial de incidentes en la cadena de suministro, 21 de octubre - Propósito: Producto contaminado 1.107.0, resumen histórico, reconstrucción de aislamiento y eliminación de credenciales. - Referencia: [Contained: LiteLLM v1.107.0 Compromised](https://docs.litellm.ai/blog/security-incident-oct-21-2026) ### S42 — Google Brotli: versión segura oficial - Propósito: Brotli 1.0.10 / 1.1.1 / 1.2.1 independiente y base de verificación de copia integrada en varios idiomas. - Referencia: [Brotli releases](https://github.com/google/brotli/releases) ### S43 — mise: use la documentación oficial del comando - Propósito: Especificar la versión de la herramienta y la semántica del comando de la configuración global. - Referencia: [mise use](https://mise.jdx.dev/cli/use.html) ### S44 — PyPA: Proyecto oficial de auditoría pip - Propósito: Python El propósito y los límites de capacidad de la auditoría de vulnerabilidad de dependencia. - Referencia: [pip-audit](https://github.com/pypa/pip-audit) ### S45 — Python: documento de filtro de extracción de archivos tar - Propósito: estrategia de datos, cambios de comportamiento predeterminados y restricciones que no pueden reemplazar la zona de pruebas. - Referencia: [tarfile extraction filters](https://docs.python.org/3/library/tarfile.html#extraction-filters) ### S46 — Node.js: Mecanismo de rechazo intermedio CA - Propósito: Este procesamiento de cadena de confianza relacionado con eMudhra no es equivalente a la invalidación criptográfica de todos los certificados raíz. - Referencia: [Node.js PR #66871](https://github.com/nodejs/node/pull/66871) ### S47 — CPython: Notas técnicas y correcciones de SNI UAF - Propósito: ciclo de vida de referencia, condiciones especiales de construcción y seguimiento de sucursales. - Referencia: [official issue #156293](https://github.com/python/cpython/issues/156293) - Referencia: [official patch PR #158504](https://github.com/python/cpython/pull/158504) - Referencia: [3.15 Backfill PR #158514](https://github.com/python/cpython/pull/158514) ## Consulta de mantenimiento de seguridad. ¿No está seguro de cómo los cambios de confianza de los certificados afectan sus sistemas? Podemos ayudar a evaluar a los clientes afectados y planificar actualizaciones de seguridad. [Discutir actualizaciones de seguridad]() [pagina original]() · [índice de contenido]() KeenDigit LLC · Identificación de presentación de Wyoming: 2026-002106155 [Verificar con el Secretario de Estado de Wyoming]() © 2026 KeenDigit LLC · Sheridan, Wyoming, EE.UU. · Todos los derechos reservados.