Node.js, Java dan Python: kerentanan terkini dan panduan remediasi

Sumber diperiksa pada 23 Oktober 2026 (UTC) Periode cakupan: 25 Juli-23 Oktober 2026, dengan fokus pada pengumuman baru dan patch berikutnya dari September hingga Oktober. Audiens: insinyur dan responden keamanan yang memelihara layanan Node.js, Java, Python, kontainer, membangun jaringan pipa dan lingkungan pengembangan.

Artikel ini merangkum risiko keamanan penting terkini dalam runtime Node.js, Java, dan Python, pustaka standar, serta kerangka kerja dan dependensi server umum, serta memberikan cakupan dampak, versi tetap, tindakan mitigasi sementara, pemilihan patch, dan metode verifikasi.

Menilai dampak terhadap versi komponen, fitur yang diaktifkan, dan titik masuk yang dapat diakses. Fakta kerentanan didapat dari saran resmi; tanggal mengacu pada pengungkapan publik kecuali rilis patch sebelumnya disebutkan secara eksplisit. Kami tidak menyimpulkan kondisi eksploitasi yang belum dikonfirmasi, skor CVSS, atau eksploitasi di alam liar. Saran penerapan diidentifikasi sebagai panduan implementasi.

TL;DR: prioritas remediasi

Perbarui runtime yang benar-benar menghosting layanan terlebih dahulu. Perbarui cabang Node.js yang sesuai ke setidaknya 22.23.4 / 24.22.1 / 26.12.1. Layanan yang menggunakan Node 24 dapat ditingkatkan ke 24.22.1 dalam versi utama yang sama atau versi yang lebih baru yang berisi perbaikan yang sama. S1 S2
Perbarui dependensi aplikasi Node secara terpisah. Untuk Next.js, gunakan 15.5.28 / 16.4.1 sebagai dasar pemutakhiran; saat menggunakan React Server Components secara mandiri, periksa paket react-server-dom-* yang sebenarnya terinstal. Hanya memperbarui biner Node tidak mencakup kerentanan kerangka kerja ini. S8 S9 S10 S11 S12
Java: mencakup kedua putaran pembaruan. Instal build vendor yang mencakup CPU 20 Oktober dan perbaikan kepercayaan sertifikat darurat CVE-2026-91403 21 Oktober. Lihat bagian 2.2 untuk versi out-of-band Oracle JDK 11-27; memverifikasi distribusi lain terhadap paket keamanan mereka sendiri dan nomor build lengkap. Perbarui cabang Tomcat yang sesuai ke 9.0.123 / 10.1.61 / 11.0.27. S16 S17 S18 S20 S21 S22 S23
Python: perbarui juru bahasa, paket aplikasi, dan paket sertifikat secara terpisah. Lihat bagian 2.3 untuk garis dasar juru bahasa; certifi merekomendasikan ≥2026.10.19, pip ≥26.2.2, saat menggunakan uv ≥0.13.4. Setiap venv yang ada perlu diperiksa. Untuk kode terkait wrap_bio(), server_hostname yang benar dan tidak kosong juga harus diteruskan. S29 S30 S31 S33 S35 S36 S37
Jika pemutakhiran segera tidak memungkinkan, kurangi paparan pada titik masuk yang relevan. Prioritaskan penghentian pengodean Brotli yang tidak tepercaya, pemrosesan gambar/paging/pengarsipan yang terpengaruh, dan isolasi LDAP atau entri autentikasi yang bermasalah; menjaga sertifikat TLS dan nama host tetap terverifikasi. WAF masuk tidak dapat mencakup jalur keluar seperti aplikasi yang menarik respons terkompresi berbahaya. S3 S11 S25 S27 S30 S32
Bangun kembali, ganti proses lama, dan verifikasi melalui jalur layanan nyata. Simpan file kunci dan intisari gambar, bangun kembali aplikasi dan gambar, luncurkan pengganti untuk semua pekerja/JVM/kontainer; periksa proses aktual, pohon ketergantungan, penyimpanan kepercayaan, dan uji regresi bisnis. Versi baris perintah yang lebih baru saja tidak membuktikan bahwa remediasi telah selesai.
Jika LiteLLM 1.107.0 diinstal atau dijalankan, ikuti prosedur respons insiden. Proyek mengonfirmasi kompromi rilis pada tanggal 21 Oktober. Isolasikan lingkungan yang terkena dampak, selidiki dari lingkungan yang bersih, bangun kembali, dan putar kredensial yang terbuka. Jangan memulai Python/pip di lingkungan yang mencurigakan untuk pemeriksaan terlebih dahulu. Lihat Bagian 9 untuk rinciannya. S41

1. Tinjauan Kerentanan dan penilaian risiko

1.1 Prioritaskan remediasi berdasarkan paparan aktual

Prioritas penerapan di bawah ini adalah panduan penerapan. Label tingkat keparahan mengikuti setiap vendor, termasuk peringkat Important dari Apache. CVSS 3.1 dan 4.0 adalah sistem penilaian yang berbeda; jangan mengurutkan permasalahan berdasarkan skor saja.

Ekosistem/lapisan	Masalah-masalah utama	Nilai resmi atau skor terverifikasi	Penerapan prioritas
Ketergantungan asli Node.js	CVE-2026-111497: Brotli ditulis di luar batas, dan ada risiko RCE	Node：High	Dekode data Brotli S1 S3 di badan permintaan eksternal atau respons eksternal
Node.js TLS / DNS	CVE-2026-105482, 105483, 106069: Penguraian dan verifikasi identitas tidak konsisten	High	URL perayapan, proksi, Webhook, alamat target dinamis S1 S5 S6
Node.js HTTP/2	CVE-2026-56846, 56848: Memori habis dan UAF	High	Node secara langsung menangani lalu lintas HTTP/2 yang tidak tepercaya S7
React / Next.js	RSC / `use cache` typed arrays RCE	Critical；CVSS 4.0 9.5	Server RSC, komponen cache terkait dan jalur data S9 S10
Next.js Pengoptimalan gambar	CVE-2026-96889: SVG Pemrosesan gambar RCE	Critical；CVSS 4.0 9.5	Instance pada glibc Linux yang dapat menangani gambar yang tidak tepercaya S11
Next.js Server Actions	Permintaan yang dibuat khusus menyebabkan CPU habis	High；CVSS 4.0 8.2	App Router dan setidaknya satu Server Action S12
Java TLS Kepercayaan	CVE-2026-91403: Terus mempercayai CA perantara yang terkena dampak	CVSS 3.1 9.1	Skenario TLS/API S17 menggunakan rantai kepercayaan yang terpengaruh
Tomcat	Pintasan autentikasi JNDIRealm, kesalahan permintaan silang HTTP/2, kebocoran respons AJP	Important	Sesuai dengan jalur Realm / Connector / async Servlet S21 S22 S23
Spring for GraphQL	CVE-2026-59285: Deserialisasi halaman RCE	High	Jackson 2 + Connection Paging + Classpath yang Dapat Dieksploitasi S25
Spring Security	CVE-2026-59270: Identitas manajemen LDAP yang diketahui dan terekspos	Critical	LDAP yang tertanam diaktifkan dan port pendengaran dapat diakses oleh penyerang S27
CPython `ssl`	CVE-2026-19445: Konteks peralihan SNI menghasilkan UAF	Critical	Python mengakhiri TLS dengan sendirinya, dan memenuhi kondisi siklus hidup konteks S29
CPython `ssl`	CVE-2026-19553: Lewati verifikasi ketika nama host tidak ada	High	`wrap_bio()` / Panggilan asyncio terkait tidak memiliki nama host yang diharapkan S30
CPython `tarfile`	CVE-2026-82049: Pintasan kombinasi tautan keras dan tautan simbolik	High	Ekstrak arsip tar S32 yang tidak tepercaya secara otomatis
Django / GeoDjango	CVE-2026-15307: File penulisan kueri spasial, SSRF, dalam kondisi RCE	High	Kueri spasial atau antarmuka administrasi terkait yang menerima masukan tidak tepercaya S38
Ketergantungan sertifikat Python	certifi: ketidakpercayaan sertifikat terkait emSign	Critical; GHSA, tidak ada yang diketahui CVE	Klien TLS dan alat manajemen paket S36 S37 masih menggunakan CA bundle yang terpengaruh

Singkatan: RCE adalah singkatan dari eksekusi kode jarak jauh, UAF adalah singkatan dari use-after-free, dan SSRF adalah singkatan dari pemalsuan permintaan sisi server. Izin langsung RCE biasanya merupakan izin proses hosting aplikasi dan tidak dapat secara otomatis setara dengan izin root.

Urutan yang disarankan: pertama-tama menangani RCE, yang dapat dijangkau secara eksternal dan memenuhi persyaratan, bypass autentikasi, kebocoran data lintas pengguna, dan masalah autentikasi sertifikat; pada saat yang sama, jadwalkan pembaruan untuk titik masuk DoS yang dapat dilihat publik. Tidak perlu menjalankan muatan serangan dalam produksi untuk membuktikan kemampuan eksploitasi. Ketergantungan ada, jalur kode dapat dijangkau, dan kondisi serangan terpenuhi. Ini adalah tiga masalah yang perlu diperiksa secara terpisah.

1.2 Tiga batasan yang mudah membingungkan

Tingkatkan runtime dan dependensi secara terpisah. Pembaruan keamanan untuk Node, JDK, CPython tidak secara otomatis memperbaiki instalasi mandiri Next.js, Spring, Django, certifi atau ekstensi asli.
Ambang batas remediasi terpisah dari dasar penerapan saat ini. Patch pertama untuk kerentanan pada bulan Agustus tidak dijamin akan mencakup masalah baru dari bulan September hingga Oktober; Bagian 2 menggunakan pembaruan selanjutnya yang terverifikasi sebagai target implementasi.
Membedakan kerentanan dari kompromi rantai pasokan yang sebenarnya. Untuk kerentanan umum, patch menghilangkan jalur serangan di masa depan; ketika paket berbahaya telah dijalankan, dampak kredensial dan persistensi perlu diselidiki. LiteLLM Bagian 9 adalah acara yang dikonfirmasi secara resmi. S41

Adanya eksploitasi yang terkonfirmasi di alam liar harus didasarkan pada pengungkapan resmi. Vendor tidak menyebutkan aktivitas eksploitasi dan tidak dapat membuktikan bahwa tidak ada serangan; remediasi harus dilakukan berdasarkan permukaan serangan yang sebenarnya.

2. Pemeriksaan cepat terhadap versi tetap dan dasar penerapan

Referensi: 2.1 Node.js、React、Next.js

komponen/cabang	Garis dasar versi yang direkomendasikan	Petunjuk penggunaan
Node.js 22.x	22.23.4	Rilis keamanan S1 S2 pada 21 Oktober
Node.js 24.x	24.22.1	Berlaku untuk cabang 24.x; 24.22.0 tidak berisi patch keamanan 21 Oktober S1 S2
Node.js 26.x	26.12.1	Rilis keamanan dalam batch yang sama S1 S2
Node.js 20 dan cabang hulu sebelumnya	Bermigrasi ke cabang yang didukung	Node 20 tidak menerima perbaikan upstream ini; dukungan tambahan vendor harus diverifikasi secara terpisah S3
Next.js 15.x	15.5.28	Diperbarui pada 14 Oktober S8
Next.js 16.x	16.4.1	Sama seperti di atas S8
Cabang RSC 19.0 / 19.1 / 19.2 / 19.3 mandiri	19.0.9 / 19.1.10 / 19.2.9 / 19.3.1	Periksa ketiga paket `react-server-dom-*` secara terpisah; tidak hanya melihat lapisan atas `react` S10
Next sebenarnya memuat `sharp`	≥0.35.5	Kondisi perbaikan sementara resmi untuk kerentanan SVG; tidak menggantikan patch Next.js lainnya S11

Node secara resmi mencantumkan cabang pemeliharaan yang terpengaruh untuk kerentanan bulan Oktober, tetapi tidak menyediakan versi patch yang diperkenalkan pertama kali item demi item, sehingga versi awal yang tepat dari setiap kerentanan tidak dapat ditentukan berdasarkan rentang cabang pemeliharaan saja. Saat menerapkan, berikan prioritas untuk menggunakan versi di atas dari cabang yang sama atau versi berikutnya yang dikonfirmasi berisi perbaikan yang sama.

2.2 Java: Oktober CPU ditambah pembaruan sertifikat out-of-band

Tabel ini berlaku untuk Oracle JDK. Kolom kedua hanya mencakup CPU 20 Oktober; yang ketiga mencakup rilis out-of-band pada 21 Oktober. Versi CPU saja tidak mencakup semua risiko Java yang dibahas di sini. S16 S17 S18

cabang	20 Oktober CPU	Oracle dirilis keluar band pada 21 Oktober
11	11.0.33	11.0.33.0.2
17	17.0.21	17.0.21.0.2
21	21.0.13	21.0.13.0.2
25	25.0.5	25.0.5.0.2
27	27.0.1	27.0.1.0.2
8	8u511	Tabel rilis publik masih menampilkan 8u511; pembangunan keamanan spesifik dan perbaikan rantai kepercayaan harus diperiksa, dan tidak dapat ditentukan berdasarkan nomor versi pendek saja

**Java 8 perlu diperiksa berdasarkan informasi build lengkap:**Oracle Peringatan mencantumkan 8u511 sebagai versi yang terpengaruh, dan daftar rilis mencantumkan pembaruan berikutnya dengan nama pendek yang sama. Status patch tidak dapat dibedakan berdasarkan nomor versi pendek “8u511” saja. Anda harus mengonfirmasi pembangunan keamanan spesifik dan perbaikan rantai kepercayaan. S17 S18

Temurin, Corretto, Zulu, Microsoft Build of OpenJDK, versi rilis OpenJDK, dll., periksa sesuai dengan pengumuman masing-masing dan nomor paket/build lengkap. Misalnya, catatan rilis resmi dari Adoptium menyatakan bahwa build yang relevan dikemas ulang untuk menambahkan perbaikan eMudhra; nama versi upstream yang sama tidak berarti isi paketnya sama. Aturan akhiran .0.2 untuk Oracle tidak dapat diterapkan secara mekanis ke penerbit lain. S20

Komponen aplikasi Java	Garis dasar versi yang direkomendasikan	Keterangan
Tomcat 9 / 10.1 / 11	9.0.123 / 10.1.61 / 11.0.27	Periksa cabang demi cabang; Tomcat 10.0 telah menghentikan pemeliharaan S21 S22 S23
Spring for GraphQL 2.0.x	2.0.5（OSS）	Dukungan komersial juga 2.0.4.1 S25
Spring Security 7.1 / 7.0	7.1.1 / 7.0.7（OSS）	Sesuai dengan versi perbaikan minimum yang diumumkan pada bulan Agustus; Anda perlu memeriksa buletin keamanan berikutnya S27 S28 sebelum penerapan
Spring Security 6.5 / 6.4 / 5.8 / 5.7	6.5.12 / 6.4.19 / 5.8.28 / 5.7.26	Pengumuman tersebut terdaftar sebagai perbaikan dukungan komersial; migrasi dievaluasi ketika tidak ada dukungan yang sesuai, dan tidak dapat diasumsikan bahwa Maven Central tersedia secara gratis S27

Peningkatan Spring harus mematuhi Spring Boot BOM, versi minimum Java dan jalur kompatibilitas proyek. Jangan langsung memaksa semua modul Spring ke nomor yang sama hanya untuk mendapatkan patch.

2.3 CPython, Django dan ketergantungan sertifikat

Kolom kedua dari tabel di bawah berfokus pada masalah TLS yang diungkapkan pada bulan September; perbedaan cabang untuk tarfile ditampilkan di bagian 5.3. Rilis 21 Oktober juga memperbarui perkakas sertifikat yang dibundel, sehingga kolom terakhir menyertakan garis dasar penerapan selanjutnya. S29 S30 S33 S35

Cabang CPython	Versi minimum batch keamanan September	Dasar penerapan yang direkomendasikan
3.10	3.10.22	Rilis terakhir dari upstream, EOL; mengatur migrasi atau memverifikasi dukungan ekstensi rilis S34
3.11	3.11.17	3.11.17, dan perbarui pip/certifi di setiap lingkungan satu per satu
3.12	3.12.15	3.12.15, dan perbarui pip/certifi di setiap lingkungan satu per satu
3.13	3.13.16	3.13.17
3.14	3.14.8	3.14.9
3.15	Rilis 3.15.0 terakhir mencakup perbaikan TLS S31 S47	3.15.1

Versi keamanan upstream 3.11 dan 3.12 hanya dapat dirilis dalam kode sumber; saat menggunakan paket sistem operasi, periksa saran backport vendor dan versi paket lengkap, dan tidak ada persyaratan untuk mengganti paksa sistem Python dengan versi yang dikompilasi sendiri. S33 S34

ketergantungan mandiri	Garis dasar versi yang direkomendasikan	Deskripsi
Django 5.2 / 6.0 / 6.1	5.2.18 / 6.0.9 / 6.1.2	Gabungkan koreksi selanjutnya S38 S39 pada 6 Oktober
certifi	≥2026.10.19	Patch awal GHSA adalah .18; PSF merekomendasikan .19 untuk menjaga kompatibilitas untuk sertifikat yang tidak terpengaruh S36 S37
pip	≥26.2.2	Salinan bawaan certifi perlu diperbarui secara terpisah S35 S37
uv (jika digunakan)	≥0.13.4	Perbarui S37 sesuai dengan metode instalasi sebenarnya

Garis dasar ini mencakup perbaikan yang tercantum. Masalah tingkat keparahan sedang lainnya di tar_filter diungkapkan pada tanggal 22 Oktober. Pada tanggal 23 Oktober 2026, versi pemeliharaan resmi yang berisi perbaikan ini belum dikonfirmasi; oleh karena itu, 3.13.17 / 3.14.9 / 3.15.1 tidak dapat dianggap mencakup semua masalah tarfile. Lihat Bagian 5.4. S40

2.4 Memverifikasi backport distribusi

Prinsip implementasi yang berlaku untuk Ubuntu, Debian, RHEL dan paket perangkat lunak lainnya:

Catat versi sistem operasi, sumber repositori, versi paket lengkap, dan nomor buletin keamanan vendor.
Konfirmasikan bahwa saran tersebut mencakup CVE tertentu dan mengidentifikasi paket tetap untuk rilis distribusi yang relevan.
Bandingkan binari/perpustakaan yang dimuat oleh proses yang sedang berjalan, bukan hanya versi pendek upstream.
Jika tidak ada bukti adanya patch vendor, biarkan saja “untuk dikonfirmasi” dan jangan menganggapnya sebagai satu-satunya kesimpulan bahwa nomor versi terlihat lama atau baru.

Terdapat perbedaan dalam versi paket apt/RPM dan strategi backport dari distribusi yang berbeda. Buletin keamanan dan versi paket lengkap dari setiap distribusi harus berlaku.

3. Ekosistem Node.js / JavaScript: Analisis Penyebab dan Remediasi

3.1 CVE-2026-111497: Brotli dekoder asli di luar batas penulisan

Pengungkapan: 21-10-2026; Node kelas resmi: High. Versi Node 22.x, 24.x, 26.x yang terpengaruh memerlukan bagian patch 2.1 untuk diinstal. Node Pengumuman tidak mencantumkan skor numerik CVSS. S1

Masalah terjadi pada logika decoding asli saat menangani aliran terkompresi Brotli yang formatnya salah, yang dapat menyebabkan penulisan di luar batas. Deskripsi resmi Vercel menegaskan bahwa demonstrasi penelitian melibatkan kebocoran memori proses dan eksekusi perintah. Apakah penyerang dapat mencapai dekoder bergantung pada apakah aplikasi atau ketergantungan benar-benar mendekode data yang dikontrolnya. S3

Kedua arah perlu diperiksa secara bersamaan:

inbound: Kerangka kerja atau middleware secara otomatis mendekompresi isi permintaan Brotli yang dikirimkan oleh pengguna.
**outbound:**HTTP Klien, pengambil gambar, dll. mengakses sumber yang dapat dikontrol penyerang dan secara otomatis mendekompresi konten yang dikembalikan.

Menonaktifkan kompresi Brotli dari respons yang dikirim ke browser tidak menghapus titik masuk decoding. Perlindungan WAF masuk juga tidak mencakup aplikasi yang mengambil dan mendekode respons eksternal. S3

**Arah patch:**Node Pindahkan perbaikan hulu Brotli ke ketergantungan asli, dan tambahkan pemeriksaan status decoding ilegal dan penyebaran kesalahan. Saat mempertahankan versi yang dikompilasi sendiri, Anda harus menggunakan rilis keamanan resmi atau patch lengkap dari cabang yang cocok. Anda tidak bisa begitu saja mengubah pernyataan versi paket JavaScript. S4

Saran implementasi sementara: menghentikan decoding Brotli yang tidak tepercaya dan tidak perlu; periksa perilaku dekompresi otomatis middleware dan klien HTTP; jika bisnis harus menerima format ini, selesaikan pemrosesan di lingkungan yang ditambal sesegera mungkin. Penyesuaian Accept-Encoding hanyalah tindakan negosiasi dan tidak boleh berdiri sendiri sebagai bukti bahwa respons jahat telah diblokir.

3.2 TLS / DNS tiga High: Objek verifikasi tidak sesuai dengan target sebenarnya

Ketiganya diungkapkan pada tanggal 21 Oktober, dengan ambang batas peningkatan resmi ditetapkan di Bagian 2.1. S1

Pengidentifikasi	Masalah dikonfirmasi	Cabang yang terkena dampak
CVE-2026-105482	`dns.resolve` Pemotongan nama yang mengandung NUL	22.x / 24.x / 26.x
CVE-2026-105483	IP dalam bentuk numerik lebar penuh menyebabkan verifikasi nama host sertifikat dilewati	24.x / 26.x
CVE-2026-106069	Nama host yang dapat diartikan secara longgar sebagai IP menghasilkan bypass verifikasi TLS	22.x / 24.x / 26.x

DNS Inti masalahnya adalah string yang diperiksa oleh lapisan atas berbeda dengan nama sebenarnya yang diurai oleh lapisan bawah. Patch resmi menolak NUL pada entri penguraian dan menambahkan cakupan regresi. S6

TLS Dua item melibatkan normalisasi nama, konsistensi interpretasi IP dan pencocokan sertifikat. Patch sehingga input IP non-standar ditolak atau ditangani dengan benar untuk menghindari kebingungan antara titik akhir IP yang sebenarnya dengan identitas domain sertifikat. S5

Saran pemecahan masalah aktual untuk : memberikan prioritas untuk memeriksa kode pengguna penerima URL, target proxy dinamis, atau alamat Webhook; standardisasi terpadu dan mengizinkan penilaian daftar, menolak karakter NUL/kontrol, mengonfirmasi IPv4, IPv6, dan nama domain internasional masih berfungsi. Apakah SSRF dapat dibentuk lebih lanjut memerlukan penerapan bukti tautan, yang tidak dapat disimpulkan secara langsung dari nama CVE.

Jangan gunakan NODE_TLS_REJECT_UNAUTHORIZED=0 atau rejectUnauthorized: false untuk menghilangkan kesalahan checksum pasca-peningkatan. Alamat, sertifikat, dan konfigurasi bisnis harus diperbaiki.

3.3 Juli HTTP/2 High-masalah model risiko dan izin

Masalah-masalah berikut yang diungkapkan pada bulan Juli masih perlu dimasukkan dalam penyelidikan. Disarankan untuk langsung menggunakan garis dasar versi keamanan Oktober di Bagian 2.1 saat penerapan. S7

CVE	Penyebab dan akibat	Versi tetap pertama
CVE-2026-56846	Blok HTTP/2 header yang dipertahankan tidak disertakan dengan benar dalam anggaran `maxSessionMemory` dan dapat menghabiskan memori; Dampak 22.x / 24.x	22.23.2 / 24.18.1
CVE-2026-56848	HTTP/2 memasuki kembali jalur pengiriman selama pengumpulan paket, menyebabkan tumpukan UAF; dampak 22.x / 24.x / 26.x	22.23.2 / 24.18.1 / 26.5.1
CVE-2026-58043	`--permission` Kecocokan batas awalan jalur terlalu lebar, dan file di luar daftar yang diizinkan dapat diakses.	Sama seperti ketiga jalur perawatan di atas

Ketiganya secara resmi adalah High. Dua item pertama memberikan prioritas untuk memeriksa apakah HTTP/2 diproses oleh Node itu sendiri; item ketiga hanya memiliki arti yang sesuai ketika menggunakan model izin dan mengandalkan batasan ini. Item model izin tidak dapat semuanya digambarkan sebagai jaringan RCE yang tidak memerlukan otentikasi. S7

Menghentikan sementara HTTP/2 pada proxy terpisah yang diperbarui dan membatasi sumber backend adalah opsi penerapan untuk mengurangi paparan; kuota sumber daya hanya dapat mengontrol konsekuensi dari habisnya sumber daya dan tidak dapat menambal UAF.

3.4 Oktober React / Next.js: dua item RCE dan satu item DoS

A. RCE di RSC / `use cache` berfungsi mengembalikan array yang diketik

Tanggal publik: 14-10-2026; Critical, CVSS 4.0 9.5. Pengidentifikasi resmi:

React：GHSA-xqc2-xf4c-x3h3。
Next.js：GHSA-673q-mjm6-r5xr。S9 S10

Masalah hulu React melibatkan beberapa jenis array yang dikombinasikan dengan nilai yang dapat dikontrol penyerang dalam respons RSC. Tiga versi paket react-server-dom-* yang terpengaruh adalah 19.0.0—19.0.8, 19.1.0—19.1.9, 19.2.0—19.2.8, 19.3.0; lihat bab Bagian 2.1. React sisi browser murni, atau aplikasi yang tidak menggunakan kerangka kerja/plug-in yang mendukung RSC sama sekali, tidak termasuk dalam cakupan item ini. S10

Next.js daftar pengumuman hilir 16.0.0—16.4.0, direvisi dalam 16.4.1; skenarionya adalah fungsi App Router, Cache Components, dan use cache yang mengembalikan beberapa array yang diketik. Tidak ada solusi umum resmi yang dapat diandalkan, dan pengguna versi yang terpengaruh harus melakukan upgrade tepat waktu. Tidaklah tepat jika hanya mengandalkan pencarian manual untuk “fungsi ini sepertinya tidak ada” untuk mengakhiri pemrosesan. S9

Referensi: B. SVG Image Optimization RCE

CVE-2026-96889/GHSA-2464-fhr4-w9xw, 14-10-2026, Critical, CVSS 4.0 9.5. Masalah terjadi di perpustakaan asli hulu yang digunakan untuk pengoptimalan gambar. Para pejabat menunjukkan bahwa risiko RCE ada dalam skenario glibc Linux. S11

Bidang versi resmi adalah:

>=10.0.0 <=15.5.27；
>16.0.0 <=16.4.0。

Pejabat tersebut menggunakan batas bawah >16.0.0 yang ketat untuk cabang 16.x, tetapi pernyataan rentang ini tidak cukup untuk membuktikan bahwa 16.0.0 aman. Target peningkatan sebenarnya adalah 15.5.28 / 16.4.1 secara seragam. S11

Solusi sementara resmi adalah memastikan bahwa Next benar-benar memuat ≥0.35.5 yang tajam. File kunci, dependensi bersarang, dan gambar penerapan mungkin masih menyimpan instance lama, jadi menambahkan versi baru dependensi sharp di tingkat atas tidaklah cukup, pohon dependensi akhir harus diperiksa dan dibangun kembali. S11

C. Server Actions CPU habis

**GHSA-p3m5-59mp-jv5r, 14-10-2026, High, CVSS 4.0 8.2.**Next memengaruhi 13.0.0—15.5.27, 16.0.0—16.4.0, memperbaiki 15.5.28 /16.4.1. Ketentuannya adalah App Router dan setidaknya satu Server Action; permintaan jahat dapat membuat CPU sibuk untuk waktu yang lama, memblokir permintaan berikutnya dalam proses yang sama. Aplikasi dengan Pages Router atau tanpa Server Actions tidak terpengaruh oleh hal ini. S12

Tidak ada solusi resmi yang dapat menggantikan pemutakhiran. Batasan laju, batas konkurensi, dan kuota sumber daya dapat mengurangi kerusakan, namun tidak dapat digunakan sebagai kesimpulan untuk verifikasi patch.

3.5 Sebelumnya Next.js di jendela yang sama Masalah serius

Item berikut ini dimaksudkan untuk menghindari penerapan yang hilang yang masih terhenti pada versi sebelum Agustus-September; tidak disarankan untuk hanya menaikkan ambang batas perbaikan lama di tabel sekarang.

Tanggal	Pengidentifikasi / skenario	Perbaikan pertama; tindakan saat ini
2026-08-25	GHSA-2xp9-vwfh-vxw4: AVIF pustaka asli pengoptimalan gambar RCE, Critical	15.5.24 / 16.3.3; sekarang 15.5.28 / 16.4.1 S13
2026-08-25	CVE-2026-75604: RCE, Critical ketika Pages Router dan App Router digunakan secara bersamaan pada Windows, dan Cache Components tidak diaktifkan; versi `>=13.4.0 <15.5.24`, `>=16.0.0 <16.3.3`	15.5.24 / 16.3.3; Linux/macOS tidak terpengaruh oleh masalah Windows khusus ini S14
2026-09-22	GHSA-vcvr-r3jv-pc5j: jalur pembuatan gambar Node di `next/og` memproses SVG, Critical yang tidak tepercaya; 16.2.0—16.3.5	16.3.6; implementasi Edge berada di luar cakupan masalah ini, dan 15.x bukan cabang yang terpengaruh untuk RCE S15 ini

4. Ekosistem Java: Kepercayaan runtime, container, dan kerangka kerja ditangani secara terpisah

4.1 JDK: CPU Reguler dan CVE-2026-91403 adalah pembaruan dua tingkat

Matriks risiko Java SE untuk Oracle CPU pada tanggal 20 Oktober mencantumkan 55 patch keamanan baru, 49 di antaranya ditandai sebagai dapat dieksploitasi melalui jaringan tanpa autentikasi. Ini tidak berarti bahwa terdapat 55 Critical, juga tidak berarti bahwa terdapat 49 jalur RCE yang dapat dieksploitasi secara langsung untuk setiap layanan web Java; hal ini harus dipahami bersama dengan komponen, API, interaksi pengguna, dan kondisi penerapan dalam matriks. S16

CVE-2026-91403 (CVSS 3.1 9.1) hari berikutnya menangani jenis risiko lain: sekumpulan CA perantara yang terkait dengan peristiwa eMudhra yang tidak lagi dipercaya. Ini mempengaruhi otentikasi rekan TLS dan kerahasiaan/integritas komunikasi dan tidak dapat digambarkan sebagai kerentanan kerusakan memori JVM. S17

Penasihat Oracle mencantumkan versi yang dirilis pada tanggal 20 Oktober sebagai terpengaruh, sehingga pembaruan out-of-band pada tanggal 21 Oktober juga perlu diinstal. Lihat bagian 2.2 untuk versi spesifik. GraalVM juga memiliki produk terkait yang terpengaruh, dan versi yang diperbaiki harus tunduk pada buletin keamanan eksklusifnya. S17 S18

Tindakan resmi sementara: Cadangkan terlebih dahulu, lalu hapus sertifikat akar yang ditentukan dari setiap truststore yang sebenarnya digunakan:

emSign ECC Root CA - G3, alias di Oracle emsigneccrootcag3 [jdk].
AAA Certificate Services, alias di Oracle comodoaaaca [jdk]. S19

JDK 11 dan yang lebih baru, contoh resminya adalah:

keytool -delete -cacerts -alias "emsigneccrootcag3 [jdk]"
keytool -delete -cacerts -alias "comodoaaaca [jdk]"

Gunakan keytool dari target JDK untuk perintah ini dan konfirmasikan bahwa perintah tersebut beroperasi pada penyimpanan kepercayaan aplikasi yang sebenarnya. Java 8 menggunakan jalur yang sesuai dengan jre/lib/security/cacerts; penyesuaian toko kepercayaan harus ditangani secara terpisah, dan penerbit lain mungkin memiliki alias yang berbeda. Menghapus sertifikat akar akan memperluas cakupan penolakan, dan menguji regresi rantai sertifikat layanan yang sah. S19

Pejabat tersebut juga memberikan opsi untuk mengaktifkan pemeriksaan pencabutan, namun efeknya bergantung pada implementasi TLS yang sebenarnya, keterjangkauan layanan pencabutan, dan strategi kegagalan. Untuk penerapan umum, prioritaskan penginstalan pembaruan vendor lengkap untuk menghindari memperlakukan dua sakelar JVM sebagai bukti bahwa semua pustaka TLS telah diperbaiki.

4.2 Tomcat: Bypass autentikasi dan isolasi permintaan lintas pengguna

Tiga item berikut diterbitkan pada 2026-10-20; entri versi yang diperbaiki bertanggal Oktober 12. Nilai resmi Apache adalah Important. S21 S22 S23

CVE	Versi yang terpengaruh telah dikonfirmasi	Skenario/hasil yang diperlukan
CVE-2026-101296	9.0.0.M1—9.0.122；10.1.0-M1—10.1.60；11.0.0-M1—11.0.26	JNDIRealm Mengonfigurasi mekanisme autentikasi SASL non-GSSAPI, verifikasi kredensial tidak ada, dan kata sandi yang salah juga mungkin lolos
CVE-2026-101356	9.0.118—9.0.122；10.1.55—10.1.60；11.0.22—11.0.26	Kesalahan Servlet asinkron HTTP/2 menangani daur ulang/penggunaan kembali objek yang salah, menyebabkan permintaan atau respons tercampur antar pengguna
CVE-2026-103119	Hanya konfirmasikan 11.0.0-M25—11.0.26	Penulisan non-pemblokiran AJP yang besar dapat menyebabkan buffer kurang terbaca, sehingga memperlihatkan data respons sebelumnya pada permintaan selanjutnya.

Perbaikan yang sesuai adalah 9.0.123 / 10.1.61 / 11.0.27; AJP hanya terdaftar sebagai Tomcat 11 menurut pengumuman, dan tidak dapat diperluas ke tiga cabang dengan masalah yang sama. S21 S22 S23

Patch JNDIRealm memperbaiki celah verifikasi dalam proses otentikasi sebenarnya, di mana “antarmuka login aplikasi terlihat normal” tidak dapat digunakan sebagai pengganti verifikasi. Realm, mekanisme SASL harus diperiksa untuk konfigurasi layanan yang sebenarnya, dan pengujian harus gagal untuk kata sandi yang salah. S24

Saran penerapan sementara: mengisolasi jalur autentikasi yang terpengaruh; menangguhkan pemrosesan HTTP/2 atas Tomcat bila izin usaha; tutup AJP yang tidak berguna. Hanya membatasi akses langsung ke port AJP tidak dapat membuktikan bahwa lalu lintas yang masuk melalui proxy depan yang sah tidak akan terpengaruh. Setelah pembaruan resmi, permintaan bersamaan yang tidak sinkron dari dua pengguna independen harus diuji untuk mengonfirmasi bahwa tidak ada perbincangan silang antara identitas dan respons.

Referensi: 4.3 Spring for GraphQL：CVE-2026-59285

Tanggal publik: 20-08-2026; High. terpengaruh 2.0.0—2.0.4, diperbaiki 2.0.5 (OSS) atau 2.0.4.1 (dukungan komersial). S25

Ini adalah risiko deserialisasi yang tidak aman dalam kueri paging. Persyaratan resminya adalah kondisi berikut harus dipenuhi secara bersamaan:

Gunakan Spring for GraphQL.
Deserialisasi JSON menggunakan Jackson 2.x.
Menyediakan bidang paging Koneksi ke dunia luar.
Classpath berisi kelas-kelas tertentu yang dapat melakukan logika tak terduga selama instantiasi atau deserialisasi.

Permintaan GraphQL yang berbahaya dapat menyebabkan RCE ketika ketentuan terpenuhi. Ini tidak dapat direduksi menjadi “semua program Java yang menggunakan Jackson dapat dieksploitasi”. S25

Mengapa 2.0.4 tidak mencukupi: Pada bulan Juni, CVE-2026-41699 telah memberikan dasar patch seperti 2.0.4, dan pada bulan Agustus pengumuman tersebut dengan jelas memasukkan 2.0.4 ke dalam cakupan pengaruh baru. Oleh karena itu, catatan perbaikan harus diperbarui sesuai dengan pengumuman selanjutnya, dan versi minimum CVE yang lama tidak dapat digunakan. S26

Ketika pemutakhiran untuk sementara tidak tersedia, bidang penomoran halaman yang terpengaruh dan dapat diakses oleh penelepon yang tidak tepercaya dapat ditangguhkan; mempersempit tipe dan jalur kelas yang dapat dideserialisasi adalah tindakan yang mendalam. Regresi harus mencakup kursor legal, hasil paginasi, dan penolakan input pengecualian, dan memeriksa versi komponen sebenarnya dalam aplikasi akhir JAR.

4.4 Spring Security: CVE-2026-59270 dan risiko autentikasi terkait

CVE-2026-59270, 20-08-2026, Critical. tertanam UnboundIdContainer mendaftarkan kredensial administrator yang dikenal secara default dan mendengarkan di semua antarmuka jaringan. Ketika komponen diaktifkan dan port dapat dijangkau, penyerang dapat membaca atau mengubah data direktori; proyek yang umumnya memperkenalkan Spring Security tidak akan secara otomatis mengekspos LDAP. S27

Daerah yang terkena dampak:

cabang	terpengaruh	Saluran perbaikan/akuisisi pertama
7.1	7.1.0	7.1.1 OSS; juga 7.1.0.1 komersial
7.0	7.0.0—7.0.6	7.0.7 OSS; juga 7.0.6.1 komersial
6.5 / 6.4	6.5.0—6.5.11；6.4.0—6.4.18	6.5.12/6.4.19, komersial
5.8 / 5.7	5.8.0—5.8.27；5.7.0—5.7.25	5.8.28/5.7.26, komersial

Sumber: S27. Memecahkan masalah konfigurasi otomatis spring.ldap.embedded.* dan kode instantiasi langsung; tutup komponen jika tidak diperlukan untuk produksi, dan periksa alamat pendengaran sebenarnya. Ketika bisnis benar-benar membutuhkannya, batasi dulu sumber panggilan, lalu selesaikan peningkatan komponen.

**Masalah otentikasi terkait: CVE-2026-47841 (High).**WebAuthn Otentikasi pengguna diatur ke REQUIRED, dan setelah sesi HTTP diserialkan oleh penyimpanan terdistribusi, perbandingan identitas objek yang salah dapat membuat persyaratan otentikasi tidak valid. Serangan ini juga mengharuskan penyerang memiliki perangkat pengautentikasi pengguna, bukan login jarak jauh tanpa perangkat. Untuk versi 7.1, 7.0, 6.5, dan 6.4 yang terkena dampak, garis dasar patch konsisten dengan cabang-cabang ini pada tabel di atas; verifikasi harus mencakup sesi lintas node dan masih memerlukan verifikasi PIN/biometrik. S28

5. Ekosistem Python: juru bahasa, perpustakaan standar, kerangka kerja, dan sertifikat

5.1 CVE-2026-19445: SSLContext UAF dalam panggilan balik SNI

Tanggal publikasi: 30-09-2026; PSF Level: Critical. Di server Python TLS, sni_callback mengalihkan koneksi ke SSLContext lain, dan ketika konteks asli tidak memiliki referensi lain yang masih ada, yang tidak diautentikasi Klien TLS mungkin membuat layanan crash atau memanggil pointer di objek yang dirilis. S29

Intinya adalah objek Python tidak konsisten dengan siklus hidup panggilan balik TLS yang mendasarinya. Konteks asli telah dirilis, dan lapisan yang mendasarinya mungkin masih menyimpan status yang diperlukan untuk panggilan balik; patch asli penerjemah perlu digunakan untuk memperbaiki siklus hidup referensi. S47

Scope: Python kode yang hanya bertindak sebagai klien TLS tidak terpengaruh oleh item ini; mode normal dari soket pendengaran yang menahan konteks asli untuk waktu yang lama tidak termasuk dalam jalur kegagalan spesifik yang dijelaskan dalam pengumuman. Setelah Nginx menghentikan TLS, Nginx hanya menyerahkan HTTP lokal ke Python, dan Python langsung menangani SNI dengan sendirinya, yang merupakan permukaan serangan yang berbeda. S29

Sesuai dengan versi tetap 3.10—3.14, lihat bagian 2.3. Versi resmi 3.15 telah diperbaiki, dan 3.15.1 sebenarnya dapat dipilih. Hanya memperbarui ketergantungan pip yang tidak dapat menggantikan implementasi _ssl penerjemah. S33 S35 S47

Mitigasi sementara resmi: menyimpan referensi kuat ke semua SSLContext yang telah menyetel panggilan balik SNI hingga akhir siklus hidup server. Hal ini perlu mencakup jalur penciptaan dan peralihan dinamis yang sebenarnya; build OpenSSL 1.1.1 kustom juga harus memeriksa ketentuan negosiasi ulang sehubungan dengan catatan masalah resmi dan memberikan prioritas untuk menyelesaikan pembaruan. S29 S47

5.2 CVE-2026-19553: Bendera nama host diaktifkan, tetapi nama host hilang saat menelepon

Tanggal publik: 30-09-2026; High. KetikaSSLContext.check_hostname=True, jika wrap_bio() tidak diteruskan di server_hostname, implementasi asli mungkin secara diam-diam melewati verifikasi nama host. Verifikasi rantai sertifikat yang berhasil tidak berarti nama domain target juga telah cocok. S30

Remediasi memerlukan kedua langkah:

Instal rilis keamanan juru bahasa yang tercantum di bagian 2.3.
Periksa wrap_bio(), jalur asyncio.create_connection() / loop.start_tls() terkait, teruskan secara eksplisit nama host yang diharapkan dan tidak kosong, dan tetap aktifkan verifikasi sertifikat. S30

**Perbedaan kompatibilitas yang tidak dapat dihilangkan:**3.10, 3.11, 3.12 ditujukan untuk kompatibilitas, hanya DeprecationWarning yang dikeluarkan untuk beberapa kasus di mana nama host tidak ada; 3.13 dan kemudian naikkan ValueError. Backport 3.12 juga dengan jelas membedakan None dari string kosong: peringatan baru ditambahkan untuk None, dan kesalahan masih dilaporkan untuk string kosong. Oleh karena itu, pengguna cabang rendah tidak dapat berasumsi bahwa verifikasi nama domain yang awalnya hilang telah dipulihkan secara otomatis hanya dengan memutakhirkan. S31 S33

Dalam lingkungan pengujian, gunakan sertifikat rantai tepercaya dengan nama host yang tidak cocok dan konfirmasikan bahwa klien aplikasi TLS yang sebenarnya menolaknya. Hanya membaca nilai Boolean check_hostname tidak berarti menerima sepenuhnya.

5.3 CVE-2026-82049: Bypass kombinasi tautan dalam filter tarfile

Tanggal publik: 14-09-2026; High. Di CPython 3.13 dan implementasi terkait sebelumnya, kombinasi tautan keras dan tautan simbolis dalam tar yang tidak tepercaya dapat melewati filter ekstraksi data / tar, mengekspos konten file di luar direktori pembongkaran di pohon pembongkaran, atau memodifikasinya izin dan waktu modifikasi. S32

Dampak yang dipastikan dari kerentanan ini mencakup paparan konten file dan modifikasi metadata; dampak ini saja tidak cukup untuk menunjukkan penimpaan konten file eksternal secara sewenang-wenang atau penerapan RCE tanpa syarat.

Untuk dasar patch yang sesuai dari 3.10—3.13, lihat Bagian 2.3. Python 3.14 telah dikecualikan dari masalah khusus ini karena perubahan perilaku os.link() sejak itu 3.14.0b1, sehingga cakupan cabang 3.10—3.13 yang terpengaruh di atas tidak berlaku. S33

Tindakan sementara dan mendalam: menangguhkan ekstraksi otomatis arsip yang tidak tepercaya; menggunakan proses pekerja dengan hak istimewa rendah yang terisolasi dan direktori eksklusif baru ketika bisnis harus diproses, menolak tautan simbolik, tautan keras, dan entri perangkat berdasarkan bisnis, dan membatasi jumlah file dan sumber daya dekompresi. Ini adalah rekomendasi penerapan.

filter="data" lebih cocok untuk arsip umum yang tidak tepercaya daripada strategi kepercayaan penuh, tetapi filter itu sendiri pada versi lama juga memiliki kerentanan ini, dan menambahkan parameter ini saja tidak dapat menggantikan pembaruan. Filternya juga bukan kotak pasir sistem file lengkap. S32 S45

5.4 Risiko tambahan: CVE-2026-114583 (Medium) dan status rilis patch

PSF diungkapkan dalam 2026-10-22 bahwa pemrosesan nama tautan tertentu oleh tarfile.tar_filter dapat dilewati, memungkinkan anggota berikutnya untuk menulis di luar direktori pembongkaran, dengan tingkat Medium. Perbaikan resmi PR digabungkan hari itu; pada tanggal 23 Oktober 2026, belum ada rilis pemeliharaan resmi yang berisi komitmen ini yang dikonfirmasi. S40

Oleh karena itu:

Item ini terdaftar secara terpisah sebagai Medium.
Versi juru bahasa yang dirilis pada tanggal 21 Oktober tidak dapat dianggap menyertakan perbaikan ini.
Proses yang masih menggunakan filter="tar" untuk menangani arsip yang tidak tepercaya harus melacak backport rilis; mengisolasi atau menangguhkan jalur pemrosesan ini untuk jangka waktu singkat. Saat beralih ke data dan menolak tautan, Anda juga harus mengonfirmasi bahwa tautan tersebut memenuhi persyaratan bisnis, dan mengubah filter tidak dapat digambarkan sebagai kotak pasir tanpa syarat.

5.5 GeoDjango: CVE-2026-15307 dan perbaikan selanjutnya di bulan Oktober

2026-08-04, Django resmi High. kueri spasial secara implisit meneruskan string/kamus tertentu ke GDALRaster, dan pengemudi dapat menulis file atau memulai permintaan jaringan; RCE dapat dibentuk ketika ada jalur tertentu dan kondisi eksekusi berikutnya. Staf dengan izin melihat model bidang spasial juga dapat mengakses jalur ini melalui daftar perubahan admin. S38

Perbaikan awal adalah 5.2.17 / 6.0.8, yang membatasi jenis masukan yang diterima oleh pencarian spasial. Perubahan ini dapat mempengaruhi bisnis awal penggunaan string/kamus untuk mengekspresikan raster; hanya dengan memasukkan masukan yang tidak tepercaya ke dalam GDALRaster tidak berarti memverifikasinya. S38

Pada tanggal 6 Oktober, CVE-2026-87890 (Sedang) telah diperbaiki: VRT yang dinyatakan dalam byte dapat mereferensikan sumber daya eksternal dan masih memicu permintaan jaringan; pada hari yang sama, perlindungan geometri DoS bersarang dari CVE-2026-15830 juga diperkuat. Dua yang terakhir tidak dapat ditingkatkan untuk menggambarkan RCE baru yang berisiko tinggi, tetapi menunjukkan bahwa dasar penerapan harus 5.2.18 / 6.0.9 / 6.1.2. S39

Implementasinya memeriksa dua titik masuk API dan antarmuka administrasi, membatasi pencarian spasial yang tidak tepercaya, izin menulis file, dan akses keluar; setelah memperbarui, uji regresi kueri spasial yang valid dan penolakan masukan yang dilarang. Aplikasi Django biasa yang tidak menggunakan GeoDjango sebaiknya tidak langsung menerapkan kesimpulan RCE ini.

5.6 certifi / pip: Kepercayaan sertifikat harus mencakup setiap salinan

GHSA-6q48-6c7w-9gw2, 20-10-2026, Critical, dikenal CVE tidak terdaftar. Ini adalah pembaruan ketidakpercayaan sertifikat yang disebabkan oleh insiden CA perantara eMudhra. Ini tidak dapat diringkas sebagai mekanisme kriptografi HTTPS atau bahwa semua sertifikat root telah di-crack. S36

Penasihat certifi awalnya mencantumkan 2026.10.18 sebagai patch; PSF kemudian secara eksplisit merekomendasikan 2026.10.19 untuk menjaga kompatibilitas dengan sertifikat akar yang tidak terpengaruh. Garis dasar pengoperasiannya adalah 0,19. S36 S37

Perlu dibedakan:

Percayai lokasi material	Mengapa Anda perlu memeriksanya secara terpisah
Paket sistem operasi CA	Materi kepercayaan sistem untuk gambar atau host
certifi di venv	CA bundle sebenarnya digunakan oleh aplikasi atau Permintaan dll.
pip bawaan certifi	Merupakan salinan yang berbeda dari certifi yang diinstal secara eksternal
uv / Alat pengemas lainnya	Ikuti pembaruan alat itu sendiri dan sumber tepercaya
File CA yang disesuaikan, snapshot yang dikemas	Mungkin terus mengesampingkan sumber terpercaya default untuk sistem atau paket

Di atas adalah daftar periksa berdasarkan lokasi pengemasan yang berbeda. PSF memerlukan pembaruan alat terkait, lingkungan virtual yang ada, dan pembangunan kembali gambar; hanya memperbarui host CA atau menginstal ulang penerjemah tidak dapat membuktikan bahwa semua salinan telah disegarkan. S35 S37

Saat memutakhirkan dari bootstrap aman pip yang lama, PSF menyediakan perintah untuk roda tetap dan SHA-256, lihat lampiran S37. Jangan nonaktifkan verifikasi TLS atau tambahkan --trusted-host untuk melewati masalah sertifikat.

6. Proses remediasi formal

Perintah berikut ditujukan untuk lingkungan tepercaya yang dikonfirmasi. Saat menjalankan, manajer paket yang ada, file kunci, dan proses penerapan proyek harus digabungkan untuk menghindari pencampuran npm/pnpm/yarn atau pip/uv/Poetry untuk menghasilkan file kunci yang bertentangan.

Tangani pengecualian terlebih dahulu: Jika Anda mencurigai bahwa lingkungan telah menjalankan paket yang disusupi di Bagian 9, isolasi terlebih dahulu dan periksa disk, kunci file dan rekaman gambar dari lingkungan yang bersih; jangan jalankan perintah Python/pip berikut terlebih dahulu. S41

6.1 Buat buku besar yang sesuai dengan lalu lintas sebenarnya

Setiap layanan mencatat setidaknya:

Titik masuk eksternal, proksi terbalik, jalur koneksi langsung ke situs asal, dan antrian latar belakang/tugas terjadwal.
Perintah startup sebenarnya, akun yang berjalan, jalur biner, proses atau identitas kontainer.
Versi lengkap runtime, penerbit/repositori, versi lengkap paket, atau intisari gambar.
Kerangka kerja dan ketergantungan transitif, file kunci, perpustakaan asli, dan jalur penyimpanan kepercayaan.
Sesuai dengan apakah kondisi kerentanan ada, target patch, cakupan restart, penanggung jawab dan hasil verifikasi.

Mesin pengembangan, runner CI, container build, dan tugas latar belakang juga harus diperiksa sesuai dengan jalurnya menuju konten yang tidak tepercaya; jangan hanya memperbarui wadah web yang dapat dilihat publik.

6.2 Node.js: Tentukan runtime terlebih dahulu, lalu perbarui dependensi aplikasi

Periksa di lingkungan layanan aktual:

node -p 'JSON.stringify({execPath:process.execPath,node:process.version,openssl:process.versions.openssl,brotli:process.versions.brotli},null,2)'
npm ls next react react-dom react-server-dom-webpack react-server-dom-parcel react-server-dom-turbopack sharp --all
npm audit --omit=dev

node -p harus dieksekusi menggunakan layanan yang sebenarnya dapat dieksekusi atau dalam wadah sebenarnya; ia memeriksa proses yang baru diluncurkan dan tidak membuktikan bahwa pekerja lama telah diganti. Node dapat menambahkan patch ke Brotli bawaan sambil mempertahankan string versi perpustakaan asli. Oleh karena itu, jangan hanya mengandalkan process.versions.brotli untuk menentukan apakah sudah diperbaiki. Anda harus menggabungkannya dengan versi keamanan Node atau bukti backport vendor. S2 S4

npm ls digunakan untuk melihat pohon ketergantungan sebenarnya; paket yang hilang atau konflik rekan juga dapat menghasilkan kode keluar yang tidak nol, jadi Anda harus membaca keluaran spesifiknya. npm audit digunakan sebagai bantuan pemeriksaan ketergantungan dan tidak dapat menggantikan pemeriksaan pustaka biner dan asli Node.

Gunakan mise untuk mengelola lingkungan Node 24, yang dapat diperbarui sebagai berikut:

mise use -g [email protected]
mise exec [email protected] -- node -p 'process.version + " " + process.execPath'

mise use -g mengkonfigurasi versi global; konfigurasi lokal proyek masih perlu diperiksa secara terpisah. Jika layanan telah memperbaiki jalur absolut lama, gambar dasar kontainer, atau lingkungan akun yang berbeda, konfigurasi yang sesuai harus diperbarui dan layanan harus dimulai ulang. Perintah itu sendiri tidak menggantikan proses lama yang sedang berjalan. S43

Dalam proyek Next, jalankan perintah yang sesuai sesuai dengan cabang yang dipilih. Untuk Next 15:

# Next 15 分支
npm install --save-exact [email protected]

Untuk Next 16:

# Next 16 分支
npm install --save-exact [email protected]

Periksa dependensi yang kompatibel dengan React/RSC, kunci file dan instance sharp akhir, lalu buat sesuai dengan proses proyek. Gunakan file kunci yang diperbarui di CI untuk instalasi yang dapat direproduksi, dan periksa versi pada image yang berjalan setelah pembuatan. Jangan gunakan perbaikan otomatis yang tidak terkontrol pada versi utama sebagai solusi default untuk keadaan darurat ini.

6.3 Java: Verifikasi penerbit, JVM aktual, dan komponen yang disematkan

Inventarisasi awal:

java -XshowSettings:properties -version

java.home, java.runtime.version dan penerbit dalam output harus selaras dengan JVM yang sebenarnya digunakan oleh layanan. Untuk JVM dengan izin melampirkan, jcmd dari JDK dapat digunakan untuk memeriksa proses target, bukan hanya shell login.

Periksa dependensi dalam proyek tepercaya dan pilih berdasarkan alat pembangunan aktual:

./mvnw dependency:tree '-Dincludes=org.apache.tomcat.embed:*,org.springframework.security:*,org.springframework.graphql:*'

./gradlew dependencyInsight --dependency tomcat-embed-core --configuration runtimeClasspath
./gradlew dependencyInsight --dependency spring-security-core --configuration runtimeClasspath
./gradlew dependencyInsight --dependency spring-graphql --configuration runtimeClasspath

Perintah build ini dapat mengeksekusi plug-in dan menyelesaikan dependensi secara online, dan hanya dijalankan pada proyek tepercaya. Periksa JAR/WAR terakhir atau JAR sebenarnya pada gambar dan jangan gantikan artefak akhir dengan deklarasi file build. Spring Boot tertanam Tomcat memerlukan pembangunan kembali aplikasi; memperbarui instalasi Tomcat terpisah di sistem tidak akan mengubah salinan dalam paket aplikasi.

Setelah runtime diperbarui, periksa javax.net.ssl.trustStore yang disesuaikan, KeyStore yang dimuat sendiri oleh aplikasi, runtime jlink, GraalVM/gambar asli, dan formulir pengiriman lainnya item demi item. Aplikasi yang sudah memiliki materi kepercayaan yang disesuaikan tidak dapat mengakhiri pemeriksaan hanya karena direktori JDK menjadi baru.

6.4 Python: Interpreter-by-interpreter dan pemrosesan lingkungan virtual

Dalam venv/kontainer sebenarnya yang dikonfirmasi dapat dipercaya:

python - <<'PY'
import sys
import ssl
import importlib.metadata as metadata

print("executable:", sys.executable)
print("version:", sys.version)
print("openssl:", ssl.OPENSSL_VERSION)
print("verify_paths:", ssl.get_default_verify_paths())
for name in ("pip", "certifi", "Django", "urllib3", "Brotli", "litellm"):
    try:
        print(name + ":", metadata.version(name))
    except metadata.PackageNotFoundError:
        print(name + ": not installed")
PY

python -m pip --version
python -m pip check

Skrip ini hanya mengumpulkan informasi dan tidak melakukan penentuan kualifikasi versi. ssl.get_default_verify_paths() adalah informasi jalur default dan tidak dapat membuktikan bahwa semua klien pihak ketiga menggunakan penyimpanan kepercayaan yang sama; itu harus dikonfirmasi berdasarkan konfigurasi aplikasi.

Setelah menyelesaikan pemutakhiran boot pip tepercaya dari lampiran S37, perbarui dependensi sertifikat sesuai dengan batasan proyek, misalnya:

python -m pip install --upgrade 'certifi>=2026.10.19'

# 仅适用于当前就选择 Django 5.2 的项目
python -m pip install --upgrade 'Django>=5.2.18,<5.3'

python -m pip check

File persyaratan/kunci proyek perlu diperbarui pada saat yang sama, jika tidak, penerapan berikutnya mungkin akan kembali ke versi lama. Saat menggunakan uv, Puisi, atau repositori paket perusahaan, gunakan proses penguncian dan penerbitan yang ada; jangan mengubah paket secara manual hanya di dalam wadah produksi.

Alur kerja pip-audit proyek yang ada dapat digunakan untuk memeriksa kerentanan ketergantungan yang diketahui di lingkungan tepercaya; ini bukan pemindai kode berbahaya dan tidak mencakup semua risiko penerjemah, pustaka sistem, dan penyimpanan kepercayaan. S44

Tidak disarankan untuk memaksa sistem /usr/bin/python3 untuk menunjuk ke versi kompilasi baru. Gunakan pembaruan keamanan rilis atau runtime isolasi proyek untuk menghindari kerusakan alat manajemen yang mengandalkan sistem Python. Ini adalah pilihan implementasi dan bukan merupakan persyaratan perbaikan tambahan untuk kerentanan ini.

6.5 Bangun kembali dan ganti instance yang sedang berjalan

Disarankan agar langkah-langkah berikut diambil sebagai perubahan total:

Dapatkan patch dari sumber tepercaya asli dan simpan versi/hash dan kunci ketergantungan.
Kembalikan fungsi utama di lingkungan dekat produksi dan konfirmasikan bahwa ekstensi asli kompatibel dengan JVM/framework.
Perbarui runtime, dependensi aplikasi, dan penyimpanan kepercayaan aktual; segarkan gambar dasar dan sistem CA untuk penampung, jangan hanya menggunakan kembali lapisan lama.
Bangun kembali aplikasi dan gambar, serta ganti layanan, pekerja, konsumen antrean, dan instans tugas terjadwal secara bergilir.
Periksa kembali versi dan konfigurasi pada instance baru yang sedang berjalan dan konfirmasikan bahwa semua salinan lama telah keluar.
Amati tingkat kesalahan, latensi, CPU/memori, kegagalan jabat tangan TLS, dan proses terhenti.

Rollback harus memberikan prioritas untuk mempertahankan runtime yang aman dan ketergantungan patch, serta mengembalikan konfigurasi aplikasi atau perubahan bisnis. Jika Anda harus kembali ke produk lama yang memiliki kerentanan, pembatasan masuk yang sesuai harus dipulihkan secara bersamaan, dan orang yang bertanggung jawab serta periode pemulihan minimum harus ditentukan dengan jelas.

7. Mitigasi Sementara dan Pemilihan Patch

7.1 Batas cakupan tindakan sementara

Berikut ini adalah saran implementasi berdasarkan kondisi pemanfaatan yang diumumkan. Kecuali rencana resminya disebutkan, vendor tidak menjamin bahwa semua varian dapat diblokir sepenuhnya.

risiko	Tindakan sementara yang dapat diambil	Bagian yang tidak dapat dianggap selesai berdasarkan ini
Penguraian kode Brotli	Hentikan decoding masukan yang tidak tepercaya; periksa dekompresi otomatis masuk dan keluar	WAF masuk atau mematikan kompresi respons tidak mencakup semua entri decoding S3
Next.js typed arrays RCE	Tingkatkan segera; mengisolasi sementara layanan yang terkena dampak jika perlu	Tidak ada solusi universal resmi yang dapat diandalkan S9
Next.js SVG RCE	Rencana resmi: Pastikan ≥0.35.5 yang tajam; menangguhkan titik masuk pengoptimalan yang relevan jika izin usaha	Tidak mencakup masalah Next/RSC lainnya S11
Alam Tomcat / HTTP/2 / AJP	Pisahkan jalur yang sesuai dan tutup konektor yang tidak perlu	Masih memerlukan paket perbaikan cabang yang sesuai S21 S22 S23
Deserialisasi GraphQL	Tangguhkan bidang Koneksi yang terpengaruh; membatasi penelepon yang tidak tepercaya	Hanya batas panjang permintaan yang tidak dapat memperbaiki masalah tipe/deserialisasi S25
Spring embedded LDAP	Nonaktifkan bila tidak diperlukan; membatasi jangkauan port pendengaran yang sebenarnya	Identitas administratif default dan integritas direktori masih perlu diperiksa S27
CPython SNI UAF	Rencana resmi: Pertahankan referensi kuat SSLContext yang relevan hingga akhir layanan	Semua jalur pembuatan/pengalihan harus tercakup dalam S29
Lewati nama host Python	Solusi resmi: Berikan server_hostname yang diharapkan dengan benar	Tidak bisa begitu saja memeriksa tanda check_hostname atau mengabaikan peringatan S30 S31
Tar yang tidak dapat dipercaya	Nonaktifkan/karantina ekstraksi, tolak tautan dan entri perangkat yang tidak penting	Baik filter maupun kuota sumber daya bukanlah kotak pasir universal S32 S40 S45
Acara kepercayaan sertifikat	Perbarui materi CA yang benar; Kepercayaan Java dapat dibatasi sesuai dengan mitigasi resmi	Menonaktifkan verifikasi TLS meningkatkan risiko S19 S37

7.2 Pilih patch berdasarkan metode pengiriman

Metode pengiriman	Prioritaskan metode perbaikan	Bukti yang harus disimpan
Runtime yang dikelola distribusi	Pembaruan keamanan terkait dari pabrikan	Versi paket lengkap, pengumuman, sumber repositori
Manajer Biner/Runtime Resmi	Rilis keamanan resmi dari cabang yang sama	Versi, sumber dan intisari, jalur eksekusi aktual
Node / CPython yang dikompilasi sendiri	Rilis sumber resmi cabang yang cocok atau set patch lengkap vendor	Set komit, parameter build, pustaka dependen, dan hasil regresi
Spring / Next / Django	Kompatibel dengan pembaruan di cabang, membangun kembali kunci ketergantungan, dan aplikasi akhir	Pohon ketergantungan terakhir, versi aktual dalam JAR/paket/gambar
Toko kepercayaan khusus	Rencana penarikan resmi atau pembaruan vendor yang mengonfirmasi penarikan	Jalur penggunaan aktual, perubahan material, uji keberhasilan dan penolakan TLS
Lingkungan yang dikompromikan	Bangun kembali dari produk yang bersih dan dapat dipercaya dan lakukan investigasi insiden terpisah	Paket historis/intisari gambar, catatan instalasi, catatan rotasi kredensial

7.3 Mekanisme patch kunci dan fokus tinjauan

Brotli: memperhatikan apakah pemeriksaan batas dan pengembalian kesalahan status decoding asli telah selesai sebelum memasuki build; hanya mengganti paket JavaScript tidak dapat mengubah kode yang dikompilasi secara statis menjadi Node. S4
Node DNS/TLS: berfokus pada penolakan masukan, normalisasi alamat, pembedaan antara identitas IP SAN dan DNS, dan panggilan balik/Janji DNS jalur penguraian dan uji kecocokan nama host TLS. S5 S6
Tomcat JNDIRealm: berfokus pada apakah proses otentikasi benar-benar memverifikasi kredensial, bukan hanya mendapatkan konteks direktori; memprioritaskan versi resmi dan tidak memperlakukan penggantian file sumber tunggal sebagai patch biner lengkap. S24
CPython ssl: berfokus pada kepemilikan referensi Python dan siklus hidup SSLContext yang mendasarinya; Backport wrap_bio() memiliki perbedaan kompatibilitas cabang, dan Anda harus membaca implementasi sebenarnya dari cabang yang digunakan. S31 S47
Ketidakpercayaan sertifikat: Pembaruan tersebut mungkin tampak sebagai materi tepercaya atau perubahan daftar tolak, bukan perubahan API yang jelas. Batch Node yang sama juga mencakup mekanisme penolakan CA perantara yang terkena dampak; sumber kepercayaan masing-masing Java dan Python masih perlu diverifikasi secara terpisah. S19 S37 S46

**Pengikatan Brotli independen juga harus diperiksa.**Upstream Google merilis 1.0.10 / 1.1.1 / 1.2.1 pada hari yang sama untuk diperbaiki CVE-2026-111497. Ekstensi asli Python atau artefak JNI yang menyematkan implementasi C yang terpengaruh perlu diperbarui/dibangun kembali secara independen; tidak dapat disimpulkan bahwa semua decoder Java murni terpengaruh, juga tidak dapat diasumsikan bahwa peningkatan Node secara otomatis menggantikan salinan dalam bahasa lain. S42

8. Verifikasi dan pemeriksaan lanjutan

8.1 Daftar periksa verifikasi minimum

Periksa item	Diperlukan bukti
waktu proses	Versi lengkap atau bukti backport vendor benar dalam proses/wadah nyata
ketergantungan aplikasi	Next/RSC/sharp, Tomcat/Spring, dan Django/certifi dalam produk penerapan akhir telah mencapai ambang batas yang sesuai
Kisaran penggantian	Semua salinan pekerja/JVM/kontainer dan tugas latar belakang telah diganti dengan yang baru, dan instance lama telah keluar.
TLS	Sertifikat domain yang valid berhasil; nama host yang tidak cocok dan rantai yang tidak valid gagal sesuai kebijakan; toko kepercayaan khusus disertakan
eMudhra ketidakpercayaan	Rantai sertifikat yang dibuat oleh perantara CA yang terpengaruh ditolak selama runtime aktual, atau terdapat bukti bahwa build keamanan vendor tertentu/daftar penolakan terkait telah diterapkan; kasus ini tidak dapat ditutup berdasarkan pengujian umum TLS atau nomor versi pendek Java 8.
Decoding dan gambar Node	Respon terkompresi normal, unggahan, pengoptimalan gambar, dan fungsi RSC tersedia; kebijakan sumber tidak tepercaya berlaku
Otentikasi dan Isolasi Java	Kata sandi yang salah ditolak; permintaan asinkron bersamaan dari pengguna independen tanpa pencampuran identitas/respons; LDAP mendengarkan seperti yang diharapkan
Python SNI / Arsip	Bisnis nama multi-domain normal TLS stabil; pengarsipan menolak traversal jalur dan tautan yang tidak diizinkan, dan file di luar direktori tidak diubah
Data dan regresi fungsional	Paging, kueri spasial, pemeriksaan izin, dan tugas latar belakang lulus pengujian proyek yang ada
Sumber Daya dan Pengamatan	Tidak ada peningkatan abnormal pada CPU, memori, tingkat kesalahan, latensi, dan kesalahan TLS.
Ketertelusuran	Menghemat waktu pemutakhiran, intisari paket/gambar, perubahan konfigurasi, hasil verifikasi, dan item yang belum terselesaikan

Ini adalah rekomendasi penerimaan implementasi dan tidak memerlukan pembuatan skrip serangan untuk setiap CVE. Verifikasi yang melibatkan error, kehabisan sumber daya, dan arsip di luar batas harus menggunakan pengujian regresi upstream atau data pengujian yang dikendalikan proyek di lingkungan yang terisolasi.

8.2 Patching dan investigasi intrusi adalah tugas yang berbeda

Periksa log yang ada untuk menemukan kesalahan pengodean yang tidak biasa, pekerja/JVM mogok, penulisan file yang mencurigakan, perubahan data direktori, pengecualian autentikasi, permintaan keluar, dan catatan penggunaan kredensial. Tanda-tanda ini perlu dinilai berdasarkan konteksnya: crash atau OOM bukanlah bukti keberhasilan eksploitasi; tidak adanya peringatan tidak membuktikan bahwa sistem tidak terpengaruh.

Ketika modifikasi yang tidak sah, kredensial yang disusupi, atau dependensi berbahaya yang terkonfirmasi ditemukan, bukti harus disimpan, instance yang relevan diisolasi, kredensial yang terpengaruh dirotasi dari lingkungan tepercaya, dan sistem dibangun kembali. Patch tersebut tidak akan mencabut token yang telah diperoleh penyerang atau memulihkan data yang telah dimodifikasi.

9. Insiden keamanan rantai pasokan: kompromi LiteLLM 1.107.0

**Tanggal konfirmasi resmi: 21-10-2026.**LiteLLM melaporkan bahwa jalur rilisnya telah disusupi. litellm==1.107.0 PyPI dan beberapa produk Docker/GHCR pada periode yang sama berisi pencurian rahasia dan kode berbahaya kendali jarak jauh, dan produk terkait telah ditarik. S41

Untuk menentukan dampaknya, Anda harus memeriksa catatan riwayat instalasi dan intisari gambar; label seperti latest, main-latest, dan main-stable sekarang menunjuk pada gambar bersih, yang tidak membuktikan bahwa produk yang ditarik pada saat kejadian adalah bersih. Rekomendasi resmi saat itu adalah menyematkan sementara 1.106.2; rekomendasi ini didasarkan pada insiden ini, dan pengumuman keamanan lainnya masih perlu diperiksa selama penerapan. S41

Untuk lingkungan tempat produk terkait telah diinstal atau dijalankan:

Pisahkan dan simpan catatan, gambar, dan log instalasi, serta periksa dari lingkungan yang bersih.
Jangan memulai Python/pip terlebih dahulu di lingkungan yang mencurigakan; .pth / sitecustomize.py yang berbahaya dapat dijalankan lagi setelah startup.
Membangun kembali host, venvs/container dari sumber terpercaya; tidak bisa begitu saja menghapus atau menurunkan versi paket.
Cabut/putar kredensial cloud, kunci penyedia LLM, kunci LiteLLM, dan kredensial basis data berdasarkan aksesibilitas aktual dan tinjau penggunaan abnormal. S41

Ini adalah insiden rantai pasokan yang telah dikonfirmasi dan memerlukan pertimbangan terhadap eksekusi kode berbahaya, kebocoran kredensial, dan risiko persistensi saat menanganinya. Hingga 23 Oktober 2026, petugas masih menyelidiki penyusupan awal.

Lampiran: Sumber dan tautan yang dikutip

Tanggal verifikasi sumber berikut adalah 2026-10-23, termasuk pengumuman keamanan resmi proyek, penyimpanan kode resmi, dan instruksi vendor. Teks utama [Sx] sesuai dengan lampiran ini; saat melakukan pembaruan, Anda harus memeriksa apakah pemasok telah merilis revisi berikutnya.

S1 — Node.js: Pemberitahuan Keamanan 21-10-2026

Tujuan: Empat runtime High, memengaruhi cabang, rilis keamanan Oktober.
Referensi: Official Security Bulletin

S2 — Node.js: Petunjuk rilis resmi untuk tiga jalur pemeliharaan

Tujuan: Periksa 22.23.4, 24.22.1, 26.12.1 dan patch gabungan yang sebenarnya.
Referensi: Node.js 22.23.4
Referensi: Node.js 24.22.1
Referensi: Node.js 26.12.1

S3 — Vercel: Node.js Brotli RCE penasihat keamanan

Tujuan: Kondisi decoding masuk/keluar, batas cakupan WAF, status Node 20.
Referensi: Node.js security advisory: Brotli decoder RCE

S4 — Node.js: Brotli pengiriman patch resmi

Tujuan: Dasar implementasi untuk pemeriksaan decoding asli dan propagasi kesalahan.
Referensi: Brotli Patch commit 49dff6f57a

S5 — Node.js: TLS patch normalisasi alamat

Tujuan: Verifikasi identitas sertifikat nomor lebar penuh dan IP non-standar.
Referensi: IP normalization regression Patch
Referensi: rejects the patching of non-standard IP address

S6 — Node.js: patch verifikasi DNS NUL

Tujuan: Penolakan masukan dan cakupan regresi.
Referensi: dns.resolve Input verification patch

S7 — Node.js: Pemberitahuan Keamanan 29-07-2026

Tujuan: kehabisan memori HTTP/2, UAF dan kerentanan model izin.
Referensi: July 2026 Security Releases

S8 — Next.js: pembaruan keamanan 14-10-2026

Tujuan: Menyatukan dasar pemutakhiran dan tiga risiko utama.
Referensi: Next.js Security Update for Upstream Vulnerabilities

Referensi: S9 — Next.js：typed arrays / use cache RCE

Tujuan: GHSA-673q-mjm6-r5xr; mempengaruhi interval, kondisi, skor dan status solusi.
Referensi: Next.js Official Security Bulletin

Referensi: S10 — React：React Server Components RCE

Tujuan: GHSA-xqc2-xf4c-x3h3; versi yang terpengaruh dan diperbaiki dari tiga paket RSC.
Referensi: React Official Security Bulletin

Referensi: S11 — Next.js：SVG Image Optimization RCE

Tujuan: CVE-2026-96889 / GHSA-2464-fhr4-w9xw; glibc, batas versi yang tajam dan asli.
Referensi: SVG Image Optimization Official Security Bulletin

Referensi: S12 — Next.js：Server Actions DoS

Tujuan: GHSA-p3m5-59mp-jv5r; mempengaruhi kondisi, versi, dan peringkat.
Referensi: Server Actions DoS Official Security Bulletin

S13 — Next.js: AVIF Pengoptimalan gambar RCE

Tujuan: 25-08-2026, GHSA-2xp9-vwfh-vxw4.
Referensi: AVIF Official Security Bulletin

Referensi: S14 — Next.js：Windows RCE

Tujuan: 25-08-2026, CVE-2026-75604/GHSA-p293-qw3h-jr36.
Referensi: Windows RCE Official Security Bulletin

Referensi: S15 — Next.js：next/og ImageResponse RCE

Tujuan: 22-09-2026, GHSA-vcvr-r3jv-pc5j; Perbedaan antara Node dan Edge.
Referensi: ImageResponse Official Security Bulletin
Referensi: September 22 release notes

Referensi: S16 — Oracle: October 2026 CPU

Tujuan: Matriks risiko Java SE, kuantitas patch, dan ketentuan yang berlaku.
Referensi: Oracle Critical Patch Update – October 2026
Referensi: Oracle Java SE CPU Version list

S17 — Oracle: CVE-2026-91403 alarm di luar pita

Tujuan: 21-10-2026, risiko kepercayaan sertifikat JSSE, produk yang terpengaruh, dan CVSS 3.1 9.1.
Referensi: Oracle Security Alert

S18 — Oracle: JDK versi resmi dan unduh

Tujuan: Membedakan antara CPU pada tanggal 20 Oktober dan versi out-of-band pada tanggal 21 Oktober; membedakan keterbatasan versi pendek Java 8.
Referensi: JDK release list
Referensi: Oracle Java Download page

S19 — Oracle: eMudhra rencana penarikan sementara

Tujuan: Diperbarui 22-10-2026; dua sertifikat root, keytool, truststore khusus, dan pemeriksaan pencabutan.
Referensi: Distrusting eMudhra Intermediate Certificates in Oracle JDK

S20 — Eclipse Adoptium: Rilis rekaman build

Tujuan: Temurin dikemas ulang karena insiden sertifikat; akhiran versi Oracle tidak dapat diterapkan secara mekanis.
Referensi: Adoptium Release Scorecards

S21 — Apache Tomcat 9 Pemberitahuan Keamanan

Tujuan: Interval pengaruh tepat 9 cabang dengan perbaikan 9.0.123.
Referensi: Tomcat 9 vulnerabilities

S22 — Apache Tomcat 10 Pemberitahuan Keamanan

Tujuan: interval tepat cabang 10.1 dan perbaikan 10.1.61; 10.0 EOL.
Referensi: Tomcat 10 vulnerabilities

S23 — Apache Tomcat 11 Pemberitahuan Keamanan

Tujuan: Tiga item Important, 11.0.27, AJP cakupan yang berlaku dan tanggal pengungkapan/rilis.
Referensi: Tomcat 11 vulnerabilities

S24 — Apache Tomcat: JNDIRealm melakukan patch

Tujuan: Dasar formal untuk memperbaiki kesenjangan verifikasi sertifikasi.
Referensi: JNDIRealm Patch commit

Referensi: S25 — Spring：GraphQL CVE-2026-59285

Tujuan: 20-08-2026, Wajib, Perbaikan Komersial 2.0.5 OSS / 2.0.4.1.
Referensi: Spring for GraphQL Unsafe Deserialization

Referensi: S26 — Spring：GraphQL CVE-2026-41699

Tujuan: Ambang batas perbaikan sebelumnya, hanya untuk menjelaskan mengapa Anda tidak bisa tetap berada pada garis dasar yang lama.
Referensi: 6 Month GraphQL Security Bulletin

Referensi: S27 — Spring Security：CVE-2026-59270

Tujuan: Menyematkan UnboundID LDAP, identitas manajemen yang diketahui dan membedakan OSS/versi komersial.
Referensi: Spring embedded LDAP Security Bulletin

Referensi: S28 — Spring Security：CVE-2026-47841

Tujuan: Otentikasi pengguna WebAuthn, serialisasi sesi, dan premis serangan.
Referensi: WebAuthn Security Bulletin

S29 — PSF: CVE-2026-19445 Penasihat Keamanan Independen

Tujuan: 30-09-2026, Critical, SNI Ketentuan dan tindakan sementara yang dikutip oleh SSLContext.
Referensi: SSLContext UAF Official announcement

S30 — PSF: CVE-2026-19553 Penasihat Keamanan Independen

Tujuan: 30-09-2026, High, nama host tidak ada dan mitigasi parameter eksplisit.
Referensi: wrap_bio Official announcement of hostname verification

S31 — CPython: patch resmi wrap_bio dan backport 3.12

Tujuan: 3.10—kebijakan kompatibilitas peringatan 3.12, perbedaan antara None dan string kosong.
Referensi: Main Patch PR #158503
Referensi: 3.12 Backfill PR #158513
Referensi: 3.15 Backfill PR #158511

S32 — PSF: CVE-2026-82049 Penasihat Keamanan Independen

Tujuan: 14-09-2026, High, kombinasi tautan, modifikasi metadata, dan paparan konten.
Referensi: tarfile link bypasses the official announcement

S33 — CPython: Rilis keamanan resmi pada akhir September/awal Oktober

Tujuan: Versi perbaikan minimum, metode distribusi kode sumber, dan pengecualian 3.14 untuk masalah khusus tarfile.
Referensi: Python Cross-branch security release instructions
Referensi: Python 3.11.17
Referensi: Python 3.12.15
Referensi: Python 3.13.16
Referensi: Python 3.14.8

S34 — CPython: 3.10 rilis aman terakhir

Tujuan: 3.10.22 dan akhir siklus hidup hulu.
Referensi: Python 3.10.22

S35 — CPython: versi pemeliharaan darurat 21-10-2026

Tujuan: 3.13.17 / 3.14.9 / 3.15.1, pembaruan pip dan certifi bawaan, persyaratan venv yang ada.
Referensi: Python 3.13.17
Referensi: Python 3.14.9
Referensi: Python 3.15.1

S36 — certifi: pengumuman ketidakpercayaan sertifikat emSign

Tujuan: 20-10-2026, GHSA-6q48-6c7w-9gw2, Critical, tidak diketahui CVE.
Referensi: certifi Official Security Bulletin

S37 — PSF: Dampak eMudhra / emSign pada pengguna Python

Tujuan: Rekomendasi certifi .19, garis dasar pip/uv, perintah peningkatan boot tepercaya dengan SHA-256.
Referensi: PSF Official event and upgrade instructions

Perintah peningkatan boot pip yang disediakan oleh instruksi resmi yang dikutip oleh S37 adalah sebagai berikut. Hanya digunakan di lingkungan Python yang telah dipastikan dapat dipercaya; jika ada dugaan keracunan di Bagian 9, isolasi terlebih dahulu dan bangun kembali sesuai proses kejadian. Ini memperbaiki hash konten roda dan kemudian memperbarui dependensi lain sesuai dengan proses proyek.

python -m pip install "pip @ https://files.pythonhosted.org/packages/3f/06/3e4420302363fbb71be3c7f35ce042f54bfca330e3e66b3a2e3c4cca579f/pip-26.2.2-py3-none-any.whl#sha256=fd7f4dfa8190e014013b9f08f3e973f4e4c26ffd179a204895533a7254813a70"

S38 — Django: rilis aman 04-08-2026

Penggunaan: CVE-2026-15307, GeoDjango Kondisi eksploitasi, perbaikan awal dan perubahan kompatibilitas.
Referensi: Django 6.0.8 / 5.2.17

S39 — Django: rilis aman 06-10-2026

Tujuan: CVE-2026-87890, geometri DoS perkuatan selanjutnya dengan garis dasar yang dipilih saat ini.
Referensi: Django 6.1.2 / 6.0.9 / 5.2.18

S40 — PSF / CPython: Catatan tambahan tar_filter terbaru

Tujuan: 22-10-2026, CVE-2026-114583 (Medium); Penggabungan PR tidak berarti bahwa versi pemeliharaan resmi telah dirilis.
Referensi: PSF Independent Announcement
Referensi: CPython Patch PR #160098

S41 — LiteLLM: Laporan Insiden Rantai Pasokan Resmi, 21 Oktober

Tujuan: Produk terkontaminasi 1.107.0, intisari riwayat, rekonstruksi isolasi, dan pembuangan kredensial.
Referensi: Contained: LiteLLM v1.107.0 Compromised

S42 — Google Brotli: versi aman resmi

Tujuan: Brotli 1.0.10 / 1.1.1 / 1.2.1 independen dan basis verifikasi salinan tertanam lintas bahasa.
Referensi: Brotli releases

S43 — mise: gunakan perintah dokumentasi resmi

Tujuan: Menentukan versi alat dan semantik perintah konfigurasi global.
Referensi: mise use

S44 — PyPA: pip-audit proyek resmi

Tujuan: Python Tujuan dan batasan kemampuan audit kerentanan ketergantungan.
Referensi: pip-audit

S45 — Python: dokumen filter ekstraksi tarfile

Tujuan: strategi data, perubahan perilaku default, dan batasan yang tidak dapat menggantikan sandbox.
Referensi: tarfile extraction filters

S46 — Node.js: Mekanisme penolakan CA tingkat menengah

Tujuan: Pemrosesan rantai kepercayaan terkait eMudhra ini tidak setara dengan pembatalan kriptografi semua sertifikat akar.
Referensi: Node.js PR #66871

S47 — CPython: SNI UAF catatan teknis dan perbaikan

Tujuan: referensi siklus hidup, kondisi pembangunan khusus, dan kemunduran cabang.
Referensi: official issue #156293
Referensi: official patch PR #158504
Referensi: 3.15 Backfill PR #158514