--- title: "Node.js, Java dan Python: kerentanan terkini dan panduan remediasi" description: "Tinjau runtime, pembaruan kerangka kerja dan sertifikat, dengan garis dasar patch khusus cabang, kondisi paparan, mitigasi sementara, dan verifikasi produksi." language: "id" url: "https://keendigit.com/id/insights/node-java-python-security-remediation-guide" author: "KeenDigit" published: "2026-10-23" --- # Node.js, Java dan Python: kerentanan terkini dan panduan remediasi Tinjau runtime, pembaruan kerangka kerja dan sertifikat, dengan garis dasar patch khusus cabang, kondisi paparan, mitigasi sementara, dan verifikasi produksi. **Sumber diperiksa pada 23 Oktober 2026 (UTC)** **Periode cakupan: 25 Juli-23 Oktober 2026, dengan fokus pada pengumuman baru dan patch berikutnya dari September hingga Oktober.** **Audiens: insinyur dan responden keamanan yang memelihara layanan Node.js, Java, Python, kontainer, membangun jaringan pipa dan lingkungan pengembangan.** Artikel ini merangkum risiko keamanan penting terkini dalam runtime Node.js, Java, dan Python, pustaka standar, serta kerangka kerja dan dependensi server umum, serta memberikan cakupan dampak, versi tetap, tindakan mitigasi sementara, pemilihan patch, dan metode verifikasi. Menilai dampak terhadap versi komponen, fitur yang diaktifkan, dan titik masuk yang dapat diakses. Fakta kerentanan didapat dari saran resmi; tanggal mengacu pada pengungkapan publik kecuali rilis patch sebelumnya disebutkan secara eksplisit. Kami tidak menyimpulkan kondisi eksploitasi yang belum dikonfirmasi, skor CVSS, atau eksploitasi di alam liar. Saran penerapan diidentifikasi sebagai panduan implementasi. ## TL;DR: prioritas remediasi 1. **Perbarui runtime yang benar-benar menghosting layanan terlebih dahulu.** Perbarui cabang Node.js yang sesuai ke setidaknya **22.23.4 / 24.22.1 / 26.12.1**. Layanan yang menggunakan Node 24 dapat ditingkatkan ke **24.22.1 dalam versi utama yang sama atau versi yang lebih baru** yang berisi perbaikan yang sama. [S1](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-1)[S2](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-2) 2. **Perbarui dependensi aplikasi Node secara terpisah.** Untuk Next.js, gunakan **15.5.28 / 16.4.1** sebagai dasar pemutakhiran; saat menggunakan React Server Components secara mandiri, periksa paket `react-server-dom-*` yang sebenarnya terinstal. Hanya memperbarui biner Node tidak mencakup kerentanan kerangka kerja ini. [S8](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-8)[S9](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-9)[S10](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-10)[S11](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-11)[S12](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-12) 3. **Java: mencakup kedua putaran pembaruan.** Instal build vendor yang mencakup CPU 20 Oktober dan perbaikan kepercayaan sertifikat darurat **CVE-2026-91403** 21 Oktober. Lihat bagian 2.2 untuk versi out-of-band Oracle JDK 11-27; memverifikasi distribusi lain terhadap paket keamanan mereka sendiri dan nomor build lengkap. Perbarui cabang Tomcat yang sesuai ke **9.0.123 / 10.1.61 / 11.0.27**. [S16](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-16)[S17](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-17)[S18](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-18)[S20](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-20)[S21](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-21)[S22](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-22)[S23](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-23) 4. **Python: perbarui juru bahasa, paket aplikasi, dan paket sertifikat secara terpisah.** Lihat bagian 2.3 untuk garis dasar juru bahasa; `certifi` merekomendasikan **≥2026.10.19**, `pip` **≥26.2.2**, saat menggunakan `uv` **≥0.13.4**. Setiap venv yang ada perlu diperiksa. Untuk kode terkait `wrap_bio()`, `server_hostname` yang benar dan tidak kosong juga harus diteruskan. [S29](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-29)[S30](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-30)[S31](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-31)[S33](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-33)[S35](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-35)[S36](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-36)[S37](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-37) 5. **Jika pemutakhiran segera tidak memungkinkan, kurangi paparan pada titik masuk yang relevan.** Prioritaskan penghentian pengodean Brotli yang tidak tepercaya, pemrosesan gambar/paging/pengarsipan yang terpengaruh, dan isolasi LDAP atau entri autentikasi yang bermasalah; menjaga sertifikat TLS dan nama host tetap terverifikasi. WAF masuk tidak dapat mencakup jalur keluar seperti aplikasi yang menarik respons terkompresi berbahaya. [S3](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-3)[S11](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-11)[S25](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-25)[S27](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-27)[S30](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-30)[S32](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-32) 6. **Bangun kembali, ganti proses lama, dan verifikasi melalui jalur layanan nyata.** Simpan file kunci dan intisari gambar, bangun kembali aplikasi dan gambar, luncurkan pengganti untuk semua pekerja/JVM/kontainer; periksa proses aktual, pohon ketergantungan, penyimpanan kepercayaan, dan uji regresi bisnis. Versi baris perintah yang lebih baru saja tidak membuktikan bahwa remediasi telah selesai. 7. **Jika LiteLLM 1.107.0 diinstal atau dijalankan, ikuti prosedur respons insiden.** Proyek mengonfirmasi kompromi rilis pada tanggal 21 Oktober. Isolasikan lingkungan yang terkena dampak, selidiki dari lingkungan yang bersih, bangun kembali, dan putar kredensial yang terbuka. Jangan memulai Python/pip di lingkungan yang mencurigakan untuk pemeriksaan terlebih dahulu. Lihat Bagian 9 untuk rinciannya. [S41](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-41) ## 1. Tinjauan Kerentanan dan penilaian risiko ### 1.1 Prioritaskan remediasi berdasarkan paparan aktual Prioritas penerapan di bawah ini adalah panduan penerapan. Label tingkat keparahan mengikuti setiap vendor, termasuk peringkat **Important** dari Apache. CVSS 3.1 dan 4.0 adalah sistem penilaian yang berbeda; jangan mengurutkan permasalahan berdasarkan skor saja. | Ekosistem/lapisan | Masalah-masalah utama | Nilai resmi atau skor terverifikasi | Penerapan prioritas | | -------------------------------- | ----------------------------------------------------------------------------------------- | -------------------------------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------ | | Ketergantungan asli Node.js | CVE-2026-111497: Brotli ditulis di luar batas, dan ada risiko RCE | Node：High | Dekode data Brotli [S1](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-1)[S3](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-3) di badan permintaan eksternal atau respons eksternal | | Node.js TLS / DNS | CVE-2026-105482, 105483, 106069: Penguraian dan verifikasi identitas tidak konsisten | High | URL perayapan, proksi, Webhook, alamat target dinamis [S1](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-1)[S5](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-5)[S6](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-6) | | Node.js HTTP/2 | CVE-2026-56846, 56848: Memori habis dan UAF | High | Node secara langsung menangani lalu lintas HTTP/2 yang tidak tepercaya [S7](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-7) | | React / Next.js | RSC / `use cache` typed arrays RCE | Critical；CVSS 4.0 9.5 | Server RSC, komponen cache terkait dan jalur data [S9](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-9)[S10](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-10) | | Next.js Pengoptimalan gambar | CVE-2026-96889: SVG Pemrosesan gambar RCE | Critical；CVSS 4.0 9.5 | Instance pada glibc Linux yang dapat menangani gambar yang tidak tepercaya [S11](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-11) | | Next.js Server Actions | Permintaan yang dibuat khusus menyebabkan CPU habis | High；CVSS 4.0 8.2 | App Router dan setidaknya satu Server Action [S12](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-12) | | Java TLS Kepercayaan | CVE-2026-91403: Terus mempercayai CA perantara yang terkena dampak | CVSS 3.1 9.1 | Skenario TLS/API [S17](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-17) menggunakan rantai kepercayaan yang terpengaruh | | Tomcat | Pintasan autentikasi JNDIRealm, kesalahan permintaan silang HTTP/2, kebocoran respons AJP | Important | Sesuai dengan jalur Realm / Connector / async Servlet [S21](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-21)[S22](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-22)[S23](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-23) | | Spring for GraphQL | CVE-2026-59285: Deserialisasi halaman RCE | High | Jackson 2 + Connection Paging + Classpath yang Dapat Dieksploitasi [S25](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-25) | | Spring Security | CVE-2026-59270: Identitas manajemen LDAP yang diketahui dan terekspos | Critical | LDAP yang tertanam diaktifkan dan port pendengaran dapat diakses oleh penyerang [S27](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-27) | | CPython `ssl` | CVE-2026-19445: Konteks peralihan SNI menghasilkan UAF | Critical | Python mengakhiri TLS dengan sendirinya, dan memenuhi kondisi siklus hidup konteks [S29](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-29) | | CPython `ssl` | CVE-2026-19553: Lewati verifikasi ketika nama host tidak ada | High | `wrap_bio()` / Panggilan asyncio terkait tidak memiliki nama host yang diharapkan [S30](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-30) | | CPython `tarfile` | CVE-2026-82049: Pintasan kombinasi tautan keras dan tautan simbolik | High | Ekstrak arsip tar [S32](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-32) yang tidak tepercaya secara otomatis | | Django / GeoDjango | CVE-2026-15307: File penulisan kueri spasial, SSRF, dalam kondisi RCE | High | Kueri spasial atau antarmuka administrasi terkait yang menerima masukan tidak tepercaya [S38](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-38) | | Ketergantungan sertifikat Python | certifi: ketidakpercayaan sertifikat terkait emSign | Critical; GHSA, tidak ada yang diketahui CVE | Klien TLS dan alat manajemen paket [S36](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-36)[S37](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-37) masih menggunakan CA bundle yang terpengaruh | Singkatan: RCE adalah singkatan dari eksekusi kode jarak jauh, UAF adalah singkatan dari use-after-free, dan SSRF adalah singkatan dari pemalsuan permintaan sisi server. Izin langsung RCE biasanya merupakan izin proses hosting aplikasi dan tidak dapat secara otomatis setara dengan izin root. **Urutan yang disarankan:** pertama-tama menangani RCE, yang dapat dijangkau secara eksternal dan memenuhi persyaratan, bypass autentikasi, kebocoran data lintas pengguna, dan masalah autentikasi sertifikat; pada saat yang sama, jadwalkan pembaruan untuk titik masuk DoS yang dapat dilihat publik. Tidak perlu menjalankan muatan serangan dalam produksi untuk membuktikan kemampuan eksploitasi. Ketergantungan ada, jalur kode dapat dijangkau, dan kondisi serangan terpenuhi. Ini adalah tiga masalah yang perlu diperiksa secara terpisah. ### 1.2 Tiga batasan yang mudah membingungkan - **Tingkatkan runtime dan dependensi secara terpisah.** Pembaruan keamanan untuk Node, JDK, CPython tidak secara otomatis memperbaiki instalasi mandiri Next.js, Spring, Django, certifi atau ekstensi asli. - Ambang batas remediasi **terpisah dari dasar penerapan saat ini.** Patch pertama untuk kerentanan pada bulan Agustus tidak dijamin akan mencakup masalah baru dari bulan September hingga Oktober; Bagian 2 menggunakan pembaruan selanjutnya yang terverifikasi sebagai target implementasi. - **Membedakan kerentanan dari kompromi rantai pasokan yang sebenarnya.** Untuk kerentanan umum, patch menghilangkan jalur serangan di masa depan; ketika paket berbahaya telah dijalankan, dampak kredensial dan persistensi perlu diselidiki. LiteLLM Bagian 9 adalah acara yang dikonfirmasi secara resmi. [S41](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-41) Adanya eksploitasi yang terkonfirmasi di alam liar harus didasarkan pada pengungkapan resmi. Vendor tidak menyebutkan aktivitas eksploitasi dan tidak dapat membuktikan bahwa tidak ada serangan; remediasi harus dilakukan berdasarkan permukaan serangan yang sebenarnya. ## 2. Pemeriksaan cepat terhadap versi tetap dan dasar penerapan ### Referensi: 2.1 Node.js、React、Next.js | komponen/cabang | Garis dasar versi yang direkomendasikan | Petunjuk penggunaan | | -------------------------------------------- | --------------------------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------ | | Node.js 22.x | **22.23.4** | Rilis keamanan [S1](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-1)[S2](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-2) pada 21 Oktober | | Node.js 24.x | **24.22.1** | Berlaku untuk cabang 24.x; 24.22.0 tidak berisi patch keamanan 21 Oktober [S1](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-1)[S2](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-2) | | Node.js 26.x | **26.12.1** | Rilis keamanan dalam batch yang sama [S1](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-1)[S2](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-2) | | Node.js 20 dan cabang hulu sebelumnya | Bermigrasi ke cabang yang didukung | Node 20 tidak menerima perbaikan upstream ini; dukungan tambahan vendor harus diverifikasi secara terpisah [S3](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-3) | | Next.js 15.x | **15.5.28** | Diperbarui pada 14 Oktober [S8](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-8) | | Next.js 16.x | **16.4.1** | Sama seperti di atas [S8](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-8) | | Cabang RSC 19.0 / 19.1 / 19.2 / 19.3 mandiri | **19.0.9 / 19.1.10 / 19.2.9 / 19.3.1** | Periksa ketiga paket `react-server-dom-*` secara terpisah; tidak hanya melihat lapisan atas `react` [S10](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-10) | | Next sebenarnya memuat `sharp` | **≥0.35.5** | Kondisi perbaikan sementara resmi untuk kerentanan SVG; tidak menggantikan patch Next.js lainnya [S11](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-11) | Node secara resmi mencantumkan cabang pemeliharaan yang terpengaruh untuk kerentanan bulan Oktober, tetapi tidak menyediakan versi patch yang diperkenalkan pertama kali item demi item, sehingga versi awal yang tepat dari setiap kerentanan tidak dapat ditentukan berdasarkan rentang cabang pemeliharaan saja. Saat menerapkan, berikan prioritas untuk menggunakan versi di atas dari cabang yang sama atau versi berikutnya yang dikonfirmasi berisi perbaikan yang sama. ### 2.2 Java: Oktober CPU ditambah pembaruan sertifikat out-of-band Tabel ini berlaku untuk **Oracle JDK**. Kolom kedua hanya mencakup CPU 20 Oktober; yang ketiga mencakup rilis out-of-band pada 21 Oktober. Versi CPU saja tidak mencakup semua risiko Java yang dibahas di sini. [S16](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-16)[S17](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-17)[S18](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-18) | cabang | 20 Oktober CPU | Oracle dirilis keluar band pada 21 Oktober | | ------ | -------------- | ---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | 11 | 11.0.33 | **11.0.33.0.2** | | 17 | 17.0.21 | **17.0.21.0.2** | | 21 | 21.0.13 | **21.0.13.0.2** | | 25 | 25.0.5 | **25.0.5.0.2** | | 27 | 27.0.1 | **27.0.1.0.2** | | 8 | 8u511 | Tabel rilis publik masih menampilkan **8u511**; pembangunan keamanan spesifik dan perbaikan rantai kepercayaan harus diperiksa, dan tidak dapat ditentukan berdasarkan nomor versi pendek saja | \*\*Java 8 perlu diperiksa berdasarkan informasi build lengkap:\*\*Oracle Peringatan mencantumkan 8u511 sebagai versi yang terpengaruh, dan daftar rilis mencantumkan pembaruan berikutnya dengan nama pendek yang sama. Status patch tidak dapat dibedakan berdasarkan nomor versi pendek "8u511" saja. Anda harus mengonfirmasi pembangunan keamanan spesifik dan perbaikan rantai kepercayaan. [S17](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-17)[S18](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-18) **Temurin, Corretto, Zulu, Microsoft Build of OpenJDK, versi rilis OpenJDK, dll., periksa sesuai dengan pengumuman masing-masing dan nomor paket/build lengkap.** Misalnya, catatan rilis resmi dari Adoptium menyatakan bahwa build yang relevan dikemas ulang untuk menambahkan perbaikan eMudhra; nama versi upstream yang sama tidak berarti isi paketnya sama. Aturan akhiran `.0.2` untuk Oracle tidak dapat diterapkan secara mekanis ke penerbit lain. [S20](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-20) | Komponen aplikasi Java | Garis dasar versi yang direkomendasikan | Keterangan | | ------------------------------------- | --------------------------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------ | | Tomcat 9 / 10.1 / 11 | **9.0.123 / 10.1.61 / 11.0.27** | Periksa cabang demi cabang; Tomcat 10.0 telah menghentikan pemeliharaan [S21](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-21)[S22](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-22)[S23](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-23) | | Spring for GraphQL 2.0.x | **2.0.5（OSS）** | Dukungan komersial juga 2.0.4.1 [S25](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-25) | | Spring Security 7.1 / 7.0 | **7.1.1 / 7.0.7（OSS）** | Sesuai dengan versi perbaikan minimum yang diumumkan pada bulan Agustus; Anda perlu memeriksa buletin keamanan berikutnya [S27](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-27)[S28](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-28) sebelum penerapan | | Spring Security 6.5 / 6.4 / 5.8 / 5.7 | **6.5.12 / 6.4.19 / 5.8.28 / 5.7.26** | Pengumuman tersebut terdaftar sebagai perbaikan dukungan komersial; migrasi dievaluasi ketika tidak ada dukungan yang sesuai, dan tidak dapat diasumsikan bahwa Maven Central tersedia secara gratis [S27](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-27) | Peningkatan Spring harus mematuhi Spring Boot BOM, versi minimum Java dan jalur kompatibilitas proyek. Jangan langsung memaksa semua modul Spring ke nomor yang sama hanya untuk mendapatkan patch. ### 2.3 CPython, Django dan ketergantungan sertifikat Kolom kedua dari tabel di bawah berfokus pada masalah TLS yang diungkapkan pada bulan September; perbedaan cabang untuk `tarfile` ditampilkan di bagian 5.3. Rilis 21 Oktober juga memperbarui perkakas sertifikat yang dibundel, sehingga kolom terakhir menyertakan garis dasar penerapan selanjutnya. [S29](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-29)[S30](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-30)[S33](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-33)[S35](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-35) | Cabang CPython | Versi minimum batch keamanan September | Dasar penerapan yang direkomendasikan | | -------------- | ----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | --------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | 3.10 | 3.10.22 | Rilis terakhir dari upstream, EOL; mengatur migrasi atau memverifikasi dukungan ekstensi rilis [S34](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-34) | | 3.11 | **3.11.17** | 3.11.17, dan perbarui pip/certifi di setiap lingkungan satu per satu | | 3.12 | **3.12.15** | 3.12.15, dan perbarui pip/certifi di setiap lingkungan satu per satu | | 3.13 | 3.13.16 | **3.13.17** | | 3.14 | 3.14.8 | **3.14.9** | | 3.15 | Rilis 3.15.0 terakhir mencakup perbaikan TLS [S31](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-31)[S47](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-47) | **3.15.1** | Versi keamanan upstream 3.11 dan 3.12 hanya dapat dirilis dalam kode sumber; saat menggunakan paket sistem operasi, periksa saran backport vendor dan versi paket lengkap, dan tidak ada persyaratan untuk mengganti paksa sistem Python dengan versi yang dikompilasi sendiri. [S33](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-33)[S34](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-34) | ketergantungan mandiri | Garis dasar versi yang direkomendasikan | Deskripsi | | ---------------------- | --------------------------------------- | ---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | Django 5.2 / 6.0 / 6.1 | **5.2.18 / 6.0.9 / 6.1.2** | Gabungkan koreksi selanjutnya [S38](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-38)[S39](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-39) pada 6 Oktober | | certifi | **≥2026.10.19** | Patch awal GHSA adalah .18; PSF merekomendasikan .19 untuk menjaga kompatibilitas untuk sertifikat yang tidak terpengaruh [S36](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-36)[S37](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-37) | | pip | **≥26.2.2** | Salinan bawaan certifi perlu diperbarui secara terpisah [S35](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-35)[S37](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-37) | | uv (jika digunakan) | **≥0.13.4** | Perbarui [S37](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-37) sesuai dengan metode instalasi sebenarnya | **Garis dasar ini mencakup perbaikan yang tercantum.** Masalah tingkat keparahan sedang lainnya di `tar_filter` diungkapkan pada tanggal 22 Oktober. Pada tanggal 23 Oktober 2026, versi pemeliharaan resmi yang berisi perbaikan ini belum dikonfirmasi; oleh karena itu, 3.13.17 / 3.14.9 / 3.15.1 tidak dapat dianggap mencakup semua masalah tarfile. Lihat Bagian 5.4. [S40](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-40) ### 2.4 Memverifikasi backport distribusi Prinsip implementasi yang berlaku untuk Ubuntu, Debian, RHEL dan paket perangkat lunak lainnya: 1. Catat versi sistem operasi, sumber repositori, versi paket lengkap, dan nomor buletin keamanan vendor. 2. Konfirmasikan bahwa saran tersebut mencakup CVE tertentu dan mengidentifikasi paket tetap untuk rilis distribusi yang relevan. 3. Bandingkan binari/perpustakaan yang dimuat oleh proses yang sedang berjalan, bukan hanya versi pendek upstream. 4. Jika tidak ada bukti adanya patch vendor, biarkan saja "untuk dikonfirmasi" dan jangan menganggapnya sebagai satu-satunya kesimpulan bahwa nomor versi terlihat lama atau baru. Terdapat perbedaan dalam versi paket apt/RPM dan strategi backport dari distribusi yang berbeda. Buletin keamanan dan versi paket lengkap dari setiap distribusi harus berlaku. ## 3. Ekosistem Node.js / JavaScript: Analisis Penyebab dan Remediasi ### 3.1 CVE-2026-111497: Brotli dekoder asli di luar batas penulisan **Pengungkapan: 21-10-2026; Node kelas resmi: High. Versi** Node 22.x, 24.x, 26.x yang terpengaruh memerlukan bagian patch 2.1 untuk diinstal. Node Pengumuman tidak mencantumkan skor numerik CVSS. [S1](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-1) Masalah terjadi pada logika decoding asli saat menangani aliran terkompresi Brotli yang formatnya salah, yang dapat menyebabkan penulisan di luar batas. Deskripsi resmi Vercel menegaskan bahwa demonstrasi penelitian melibatkan kebocoran memori proses dan eksekusi perintah. Apakah penyerang dapat mencapai dekoder bergantung pada apakah aplikasi atau ketergantungan benar-benar mendekode data yang dikontrolnya. [S3](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-3) Kedua arah perlu diperiksa secara bersamaan: - **inbound: Kerangka kerja atau middleware** secara otomatis mendekompresi isi permintaan Brotli yang dikirimkan oleh pengguna. - \*\*outbound:\*\*HTTP Klien, pengambil gambar, dll. mengakses sumber yang dapat dikontrol penyerang dan secara otomatis mendekompresi konten yang dikembalikan. Menonaktifkan kompresi Brotli dari respons yang dikirim ke browser tidak menghapus titik masuk decoding. Perlindungan WAF masuk juga tidak mencakup aplikasi yang mengambil dan mendekode respons eksternal. [S3](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-3) \*\*Arah patch:\*\*Node Pindahkan perbaikan hulu Brotli ke ketergantungan asli, dan tambahkan pemeriksaan status decoding ilegal dan penyebaran kesalahan. Saat mempertahankan versi yang dikompilasi sendiri, Anda harus menggunakan rilis keamanan resmi atau patch lengkap dari cabang yang cocok. Anda tidak bisa begitu saja mengubah pernyataan versi paket JavaScript. [S4](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-4) **Saran implementasi sementara:** menghentikan decoding Brotli yang tidak tepercaya dan tidak perlu; periksa perilaku dekompresi otomatis middleware dan klien HTTP; jika bisnis harus menerima format ini, selesaikan pemrosesan di lingkungan yang ditambal sesegera mungkin. Penyesuaian `Accept-Encoding` hanyalah tindakan negosiasi dan tidak boleh berdiri sendiri sebagai bukti bahwa respons jahat telah diblokir. ### 3.2 TLS / DNS tiga High: Objek verifikasi tidak sesuai dengan target sebenarnya Ketiganya diungkapkan pada tanggal 21 Oktober, dengan ambang batas peningkatan resmi ditetapkan di Bagian 2.1. [S1](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-1) | Pengidentifikasi | Masalah dikonfirmasi | Cabang yang terkena dampak | | ---------------- | ------------------------------------------------------------------------------------------- | -------------------------- | | CVE-2026-105482 | `dns.resolve` Pemotongan nama yang mengandung NUL | 22.x / 24.x / 26.x | | CVE-2026-105483 | IP dalam bentuk numerik lebar penuh menyebabkan verifikasi nama host sertifikat dilewati | 24.x / 26.x | | CVE-2026-106069 | Nama host yang dapat diartikan secara longgar sebagai IP menghasilkan bypass verifikasi TLS | 22.x / 24.x / 26.x | DNS Inti masalahnya adalah string yang diperiksa oleh lapisan atas berbeda dengan nama sebenarnya yang diurai oleh lapisan bawah. Patch resmi menolak NUL pada entri penguraian dan menambahkan cakupan regresi. [S6](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-6) TLS Dua item melibatkan normalisasi nama, konsistensi interpretasi IP dan pencocokan sertifikat. Patch sehingga input IP non-standar ditolak atau ditangani dengan benar untuk menghindari kebingungan antara titik akhir IP yang sebenarnya dengan identitas domain sertifikat. [S5](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-5) Saran pemecahan masalah aktual untuk **:** memberikan prioritas untuk memeriksa kode pengguna penerima URL, target proxy dinamis, atau alamat Webhook; standardisasi terpadu dan mengizinkan penilaian daftar, menolak karakter NUL/kontrol, mengonfirmasi IPv4, IPv6, dan nama domain internasional masih berfungsi. Apakah SSRF dapat dibentuk lebih lanjut memerlukan penerapan bukti tautan, yang tidak dapat disimpulkan secara langsung dari nama CVE. Jangan gunakan `NODE_TLS_REJECT_UNAUTHORIZED=0` atau `rejectUnauthorized: false` untuk menghilangkan kesalahan checksum pasca-peningkatan. Alamat, sertifikat, dan konfigurasi bisnis harus diperbaiki. ### 3.3 Juli HTTP/2 High-masalah model risiko dan izin Masalah-masalah berikut yang diungkapkan pada bulan Juli masih perlu dimasukkan dalam penyelidikan. Disarankan untuk langsung menggunakan garis dasar versi keamanan Oktober di Bagian 2.1 saat penerapan. [S7](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-7) | CVE | Penyebab dan akibat | Versi tetap pertama | | -------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------- | ------------------------------------------- | | CVE-2026-56846 | Blok HTTP/2 header yang dipertahankan tidak disertakan dengan benar dalam anggaran `maxSessionMemory` dan dapat menghabiskan memori; Dampak 22.x / 24.x | 22.23.2 / 24.18.1 | | CVE-2026-56848 | HTTP/2 memasuki kembali jalur pengiriman selama pengumpulan paket, menyebabkan tumpukan UAF; dampak 22.x / 24.x / 26.x | 22.23.2 / 24.18.1 / 26.5.1 | | CVE-2026-58043 | `--permission` Kecocokan batas awalan jalur terlalu lebar, dan file di luar daftar yang diizinkan dapat diakses. | Sama seperti ketiga jalur perawatan di atas | Ketiganya secara resmi adalah High. Dua item pertama memberikan prioritas untuk memeriksa apakah HTTP/2 diproses oleh Node itu sendiri; item ketiga hanya memiliki arti yang sesuai ketika menggunakan model izin dan mengandalkan batasan ini. Item model izin tidak dapat semuanya digambarkan sebagai jaringan RCE yang tidak memerlukan otentikasi. [S7](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-7) Menghentikan sementara HTTP/2 pada proxy terpisah yang diperbarui dan membatasi sumber backend adalah opsi penerapan untuk mengurangi paparan; kuota sumber daya hanya dapat mengontrol konsekuensi dari habisnya sumber daya dan tidak dapat menambal UAF. ### 3.4 Oktober React / Next.js: dua item RCE dan satu item DoS #### A. RCE di RSC / `use cache` berfungsi mengembalikan array yang diketik **Tanggal publik: 14-10-2026; Critical, CVSS 4.0 9.5.** Pengidentifikasi resmi: - React：**GHSA-xqc2-xf4c-x3h3**。 - Next.js：**GHSA-673q-mjm6-r5xr**。[S9](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-9)[S10](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-10) Masalah hulu React melibatkan beberapa jenis array yang dikombinasikan dengan nilai yang dapat dikontrol penyerang dalam respons RSC. Tiga versi paket `react-server-dom-*` yang terpengaruh adalah **19.0.0—19.0.8, 19.1.0—19.1.9, 19.2.0—19.2.8, 19.3.0**; lihat bab Bagian 2.1. React sisi browser murni, atau aplikasi yang tidak menggunakan kerangka kerja/plug-in yang mendukung RSC sama sekali, tidak termasuk dalam cakupan item ini. [S10](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-10) Next.js daftar pengumuman hilir **16.0.0—16.4.0**, direvisi dalam **16.4.1**; skenarionya adalah fungsi App Router, Cache Components, dan `use cache` yang mengembalikan beberapa array yang diketik. Tidak ada solusi umum resmi yang dapat diandalkan, dan pengguna versi yang terpengaruh harus melakukan upgrade tepat waktu. Tidaklah tepat jika hanya mengandalkan pencarian manual untuk "fungsi ini sepertinya tidak ada" untuk mengakhiri pemrosesan. [S9](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-9) #### Referensi: B. SVG Image Optimization RCE **CVE-2026-96889/GHSA-2464-fhr4-w9xw, 14-10-2026, Critical, CVSS 4.0 9.5. Masalah** terjadi di perpustakaan asli hulu yang digunakan untuk pengoptimalan gambar. Para pejabat menunjukkan bahwa risiko RCE ada dalam skenario **glibc Linux**. [S11](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-11) Bidang versi resmi adalah: - `>=10.0.0 <=15.5.27`； - `>16.0.0 <=16.4.0`。 Pejabat tersebut menggunakan batas bawah `>16.0.0` yang ketat untuk cabang 16.x, tetapi pernyataan rentang ini tidak cukup untuk membuktikan bahwa 16.0.0 aman. Target peningkatan sebenarnya adalah **15.5.28 / 16.4.1** secara seragam. [S11](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-11) Solusi sementara resmi adalah memastikan bahwa **Next benar-benar memuat ≥0.35.5** yang tajam. File kunci, dependensi bersarang, dan gambar penerapan mungkin masih menyimpan instance lama, jadi menambahkan versi baru dependensi `sharp` di tingkat atas tidaklah cukup, pohon dependensi akhir harus diperiksa dan dibangun kembali. [S11](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-11) #### C. Server Actions CPU habis \*\*GHSA-p3m5-59mp-jv5r, 14-10-2026, High, CVSS 4.0 8.2.\*\*Next memengaruhi **13.0.0—15.5.27, 16.0.0—16.4.0**, memperbaiki **15.5.28 /16.4.1**. Ketentuannya adalah App Router dan setidaknya satu Server Action; permintaan jahat dapat membuat CPU sibuk untuk waktu yang lama, memblokir permintaan berikutnya dalam proses yang sama. Aplikasi dengan Pages Router atau tanpa Server Actions tidak terpengaruh oleh hal ini. [S12](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-12) Tidak ada solusi resmi yang dapat menggantikan pemutakhiran. Batasan laju, batas konkurensi, dan kuota sumber daya dapat mengurangi kerusakan, namun tidak dapat digunakan sebagai kesimpulan untuk verifikasi patch. ### 3.5 Sebelumnya Next.js di jendela yang sama Masalah serius Item berikut ini dimaksudkan untuk menghindari penerapan yang hilang yang masih terhenti pada versi sebelum Agustus-September; tidak disarankan untuk hanya menaikkan ambang batas perbaikan lama di tabel sekarang. | Tanggal | Pengidentifikasi / skenario | Perbaikan pertama; tindakan saat ini | | ---------- | ---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | ----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | 2026-08-25 | GHSA-2xp9-vwfh-vxw4: AVIF pustaka asli pengoptimalan gambar RCE, Critical | 15.5.24 / 16.3.3; sekarang 15.5.28 / 16.4.1 [S13](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-13) | | 2026-08-25 | CVE-2026-75604: RCE, Critical ketika Pages Router dan App Router digunakan secara bersamaan pada Windows, dan Cache Components tidak diaktifkan; versi `>=13.4.0 <15.5.24`, `>=16.0.0 <16.3.3` | 15.5.24 / 16.3.3; Linux/macOS tidak terpengaruh oleh masalah Windows khusus ini [S14](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-14) | | 2026-09-22 | GHSA-vcvr-r3jv-pc5j: jalur pembuatan gambar Node di `next/og` memproses SVG, Critical yang tidak tepercaya; 16.2.0—16.3.5 | 16.3.6; implementasi Edge berada di luar cakupan masalah ini, dan 15.x bukan cabang yang terpengaruh untuk RCE [S15](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-15) ini | ## 4. Ekosistem Java: Kepercayaan runtime, container, dan kerangka kerja ditangani secara terpisah ### 4.1 JDK: CPU Reguler dan CVE-2026-91403 adalah pembaruan dua tingkat Matriks risiko Java SE untuk Oracle CPU pada tanggal 20 Oktober mencantumkan **55 patch keamanan baru, 49 di antaranya ditandai sebagai dapat dieksploitasi melalui jaringan tanpa autentikasi**. Ini tidak berarti bahwa terdapat 55 Critical, juga tidak berarti bahwa terdapat 49 jalur RCE yang dapat dieksploitasi secara langsung untuk setiap layanan web Java; hal ini harus dipahami bersama dengan komponen, API, interaksi pengguna, dan kondisi penerapan dalam matriks. [S16](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-16) **CVE-2026-91403 (CVSS 3.1 9.1)** hari berikutnya menangani jenis risiko lain: sekumpulan CA perantara yang terkait dengan peristiwa eMudhra yang tidak lagi dipercaya. Ini mempengaruhi otentikasi rekan TLS dan kerahasiaan/integritas komunikasi dan tidak dapat digambarkan sebagai kerentanan kerusakan memori JVM. [S17](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-17) Penasihat Oracle mencantumkan versi yang dirilis pada tanggal 20 Oktober sebagai terpengaruh, sehingga pembaruan out-of-band pada tanggal 21 Oktober juga perlu diinstal. Lihat bagian 2.2 untuk versi spesifik. GraalVM juga memiliki produk terkait yang terpengaruh, dan versi yang diperbaiki harus tunduk pada buletin keamanan eksklusifnya. [S17](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-17)[S18](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-18) **Tindakan resmi sementara:** Cadangkan terlebih dahulu, lalu hapus sertifikat akar yang ditentukan dari setiap truststore yang sebenarnya digunakan: - `emSign ECC Root CA - G3`, alias di Oracle `emsigneccrootcag3 [jdk]`. - `AAA Certificate Services`, alias di Oracle `comodoaaaca [jdk]`. [S19](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-19) JDK 11 dan yang lebih baru, contoh resminya adalah: ```bash keytool -delete -cacerts -alias "emsigneccrootcag3 [jdk]" keytool -delete -cacerts -alias "comodoaaaca [jdk]" ``` Gunakan **keytool dari target JDK** untuk perintah ini dan konfirmasikan bahwa perintah tersebut beroperasi pada penyimpanan kepercayaan aplikasi yang sebenarnya. Java 8 menggunakan jalur yang sesuai dengan `jre/lib/security/cacerts`; penyesuaian toko kepercayaan harus ditangani secara terpisah, dan penerbit lain mungkin memiliki alias yang berbeda. Menghapus sertifikat akar akan memperluas cakupan penolakan, dan menguji regresi rantai sertifikat layanan yang sah. [S19](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-19) Pejabat tersebut juga memberikan opsi untuk mengaktifkan pemeriksaan pencabutan, namun efeknya bergantung pada implementasi TLS yang sebenarnya, keterjangkauan layanan pencabutan, dan strategi kegagalan. Untuk penerapan umum, prioritaskan penginstalan pembaruan vendor lengkap untuk menghindari memperlakukan dua sakelar JVM sebagai bukti bahwa semua pustaka TLS telah diperbaiki. ### 4.2 Tomcat: Bypass autentikasi dan isolasi permintaan lintas pengguna Tiga item berikut diterbitkan pada **2026-10-20**; entri versi yang diperbaiki bertanggal **Oktober 12**. Nilai resmi Apache adalah **Important**. [S21](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-21)[S22](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-22)[S23](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-23) | CVE | Versi yang terpengaruh telah dikonfirmasi | Skenario/hasil yang diperlukan | | --------------- | ---------------------------------------------------- | -------------------------------------------------------------------------------------------------------------------------------------------------------------- | | CVE-2026-101296 | 9.0.0.M1—9.0.122；10.1.0-M1—10.1.60；11.0.0-M1—11.0.26 | JNDIRealm Mengonfigurasi mekanisme autentikasi SASL non-GSSAPI, verifikasi kredensial tidak ada, dan kata sandi yang salah juga mungkin lolos | | CVE-2026-101356 | 9.0.118—9.0.122；10.1.55—10.1.60；11.0.22—11.0.26 | Kesalahan Servlet asinkron HTTP/2 menangani daur ulang/penggunaan kembali objek yang salah, menyebabkan permintaan atau respons tercampur antar pengguna | | CVE-2026-103119 | Hanya konfirmasikan **11.0.0-M25—11.0.26** | Penulisan non-pemblokiran AJP yang besar dapat menyebabkan buffer kurang terbaca, sehingga memperlihatkan data respons sebelumnya pada permintaan selanjutnya. | Perbaikan yang sesuai adalah **9.0.123 / 10.1.61 / 11.0.27**; AJP hanya terdaftar sebagai Tomcat 11 menurut pengumuman, dan tidak dapat diperluas ke tiga cabang dengan masalah yang sama. [S21](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-21)[S22](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-22)[S23](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-23) Patch JNDIRealm memperbaiki celah verifikasi dalam proses otentikasi sebenarnya, di mana "antarmuka login aplikasi terlihat normal" tidak dapat digunakan sebagai pengganti verifikasi. Realm, mekanisme SASL harus diperiksa untuk konfigurasi layanan yang sebenarnya, dan pengujian harus gagal untuk kata sandi yang salah. [S24](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-24) **Saran penerapan sementara:** mengisolasi jalur autentikasi yang terpengaruh; menangguhkan pemrosesan HTTP/2 atas Tomcat bila izin usaha; tutup AJP yang tidak berguna. Hanya membatasi akses langsung ke port AJP tidak dapat membuktikan bahwa lalu lintas yang masuk melalui proxy depan yang sah tidak akan terpengaruh. Setelah pembaruan resmi, permintaan bersamaan yang tidak sinkron dari dua pengguna independen harus diuji untuk mengonfirmasi bahwa tidak ada perbincangan silang antara identitas dan respons. ### Referensi: 4.3 Spring for GraphQL：CVE-2026-59285 **Tanggal publik: 20-08-2026; High.** terpengaruh **2.0.0—2.0.4**, diperbaiki **2.0.5 (OSS)** atau **2.0.4.1 (dukungan komersial)**. [S25](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-25) Ini adalah risiko deserialisasi yang tidak aman dalam kueri paging. Persyaratan resminya adalah kondisi berikut harus dipenuhi secara bersamaan: 1. Gunakan Spring for GraphQL. 2. Deserialisasi JSON menggunakan Jackson 2.x. 3. Menyediakan bidang paging Koneksi ke dunia luar. 4. Classpath berisi kelas-kelas tertentu yang dapat melakukan logika tak terduga selama instantiasi atau deserialisasi. Permintaan GraphQL yang berbahaya dapat menyebabkan RCE ketika ketentuan terpenuhi. Ini tidak dapat direduksi menjadi "semua program Java yang menggunakan Jackson dapat dieksploitasi". [S25](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-25) **Mengapa 2.0.4 tidak mencukupi:** Pada bulan Juni, CVE-2026-41699 telah memberikan dasar patch seperti 2.0.4, dan pada bulan Agustus pengumuman tersebut dengan jelas memasukkan 2.0.4 ke dalam cakupan pengaruh baru. Oleh karena itu, catatan perbaikan harus diperbarui sesuai dengan pengumuman selanjutnya, dan versi minimum CVE yang lama tidak dapat digunakan. [S26](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-26) Ketika pemutakhiran untuk sementara tidak tersedia, bidang penomoran halaman yang terpengaruh dan dapat diakses oleh penelepon yang tidak tepercaya dapat ditangguhkan; mempersempit tipe dan jalur kelas yang dapat dideserialisasi adalah tindakan yang mendalam. Regresi harus mencakup kursor legal, hasil paginasi, dan penolakan input pengecualian, dan memeriksa versi komponen sebenarnya dalam aplikasi akhir JAR. ### 4.4 Spring Security: CVE-2026-59270 dan risiko autentikasi terkait **CVE-2026-59270, 20-08-2026, Critical.** tertanam `UnboundIdContainer` mendaftarkan kredensial administrator yang dikenal secara default dan mendengarkan di semua antarmuka jaringan. Ketika komponen diaktifkan dan port dapat dijangkau, penyerang dapat membaca atau mengubah data direktori; proyek yang umumnya memperkenalkan Spring Security tidak akan secara otomatis mengekspos LDAP. [S27](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-27) Daerah yang terkena dampak: | cabang | terpengaruh | Saluran perbaikan/akuisisi pertama | | --------- | ------------------------- | ---------------------------------- | | 7.1 | 7.1.0 | 7.1.1 OSS; juga 7.1.0.1 komersial | | 7.0 | 7.0.0—7.0.6 | 7.0.7 OSS; juga 7.0.6.1 komersial | | 6.5 / 6.4 | 6.5.0—6.5.11；6.4.0—6.4.18 | 6.5.12/6.4.19, komersial | | 5.8 / 5.7 | 5.8.0—5.8.27；5.7.0—5.7.25 | 5.8.28/5.7.26, komersial | Sumber: [S27](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-27). Memecahkan masalah konfigurasi otomatis `spring.ldap.embedded.*` dan kode instantiasi langsung; tutup komponen jika tidak diperlukan untuk produksi, dan periksa alamat pendengaran sebenarnya. Ketika bisnis benar-benar membutuhkannya, batasi dulu sumber panggilan, lalu selesaikan peningkatan komponen. \*\*Masalah otentikasi terkait: CVE-2026-47841 (High).\*\*WebAuthn Otentikasi pengguna diatur ke `REQUIRED`, dan setelah sesi HTTP diserialkan oleh penyimpanan terdistribusi, perbandingan identitas objek yang salah dapat membuat persyaratan otentikasi tidak valid. Serangan ini juga mengharuskan penyerang memiliki perangkat pengautentikasi pengguna, bukan login jarak jauh tanpa perangkat. Untuk versi 7.1, 7.0, 6.5, dan 6.4 yang terkena dampak, garis dasar patch konsisten dengan cabang-cabang ini pada tabel di atas; verifikasi harus mencakup sesi lintas node dan masih memerlukan verifikasi PIN/biometrik. [S28](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-28) ## 5. Ekosistem Python: juru bahasa, perpustakaan standar, kerangka kerja, dan sertifikat ### 5.1 CVE-2026-19445: SSLContext UAF dalam panggilan balik SNI **Tanggal publikasi: 30-09-2026; PSF Level: Critical.** Di server Python TLS, `sni_callback` mengalihkan koneksi ke `SSLContext` lain, dan ketika konteks asli tidak memiliki referensi lain yang masih ada, yang tidak diautentikasi Klien TLS mungkin membuat layanan crash atau memanggil pointer di objek yang dirilis. [S29](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-29) Intinya adalah objek Python tidak konsisten dengan siklus hidup panggilan balik TLS yang mendasarinya. Konteks asli telah dirilis, dan lapisan yang mendasarinya mungkin masih menyimpan status yang diperlukan untuk panggilan balik; patch asli penerjemah perlu digunakan untuk memperbaiki siklus hidup referensi. [S47](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-47) **Scope:** Python kode yang hanya bertindak sebagai klien TLS tidak terpengaruh oleh item ini; mode normal dari soket pendengaran yang menahan konteks asli untuk waktu yang lama tidak termasuk dalam jalur kegagalan spesifik yang dijelaskan dalam pengumuman. Setelah Nginx menghentikan TLS, Nginx hanya menyerahkan HTTP lokal ke Python, dan Python langsung menangani SNI dengan sendirinya, yang merupakan permukaan serangan yang berbeda. [S29](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-29) Sesuai dengan versi tetap 3.10—3.14, lihat bagian 2.3. Versi resmi 3.15 telah diperbaiki, dan 3.15.1 sebenarnya dapat dipilih. Hanya memperbarui ketergantungan pip yang tidak dapat menggantikan implementasi `_ssl` penerjemah. [S33](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-33)[S35](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-35)[S47](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-47) **Mitigasi sementara resmi:** menyimpan referensi kuat ke semua SSLContext yang telah menyetel panggilan balik SNI hingga akhir siklus hidup server. Hal ini perlu mencakup jalur penciptaan dan peralihan dinamis yang sebenarnya; build OpenSSL 1.1.1 kustom juga harus memeriksa ketentuan negosiasi ulang sehubungan dengan catatan masalah resmi dan memberikan prioritas untuk menyelesaikan pembaruan. [S29](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-29)[S47](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-47) ### 5.2 CVE-2026-19553: Bendera nama host diaktifkan, tetapi nama host hilang saat menelepon **Tanggal publik: 30-09-2026; High. Ketika**`SSLContext.check_hostname=True`, jika `wrap_bio()` tidak diteruskan di `server_hostname`, implementasi asli mungkin secara diam-diam melewati verifikasi nama host. Verifikasi rantai sertifikat yang berhasil tidak berarti nama domain target juga telah cocok. [S30](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-30) Remediasi memerlukan kedua langkah: - Instal rilis keamanan juru bahasa yang tercantum di bagian 2.3. - Periksa `wrap_bio()`, jalur `asyncio.create_connection()` / `loop.start_tls()` terkait, teruskan secara eksplisit nama host yang diharapkan dan tidak kosong, dan tetap aktifkan verifikasi sertifikat. [S30](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-30) \*\*Perbedaan kompatibilitas yang tidak dapat dihilangkan:\*\*3.10, 3.11, 3.12 ditujukan untuk kompatibilitas, hanya `DeprecationWarning` yang dikeluarkan untuk beberapa kasus di mana nama host tidak ada; 3.13 dan kemudian naikkan `ValueError`. Backport 3.12 juga dengan jelas membedakan `None` dari string kosong: peringatan baru ditambahkan untuk `None`, dan kesalahan masih dilaporkan untuk string kosong. Oleh karena itu, pengguna cabang rendah tidak dapat berasumsi bahwa verifikasi nama domain yang awalnya hilang telah dipulihkan secara otomatis hanya dengan memutakhirkan. [S31](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-31)[S33](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-33) Dalam lingkungan pengujian, gunakan sertifikat rantai tepercaya dengan nama host yang tidak cocok dan konfirmasikan bahwa klien aplikasi TLS yang sebenarnya menolaknya. Hanya membaca nilai Boolean `check_hostname` tidak berarti menerima sepenuhnya. ### 5.3 CVE-2026-82049: Bypass kombinasi tautan dalam filter tarfile **Tanggal publik: 14-09-2026; High.** Di CPython 3.13 dan implementasi terkait sebelumnya, kombinasi tautan keras dan tautan simbolis dalam tar yang tidak tepercaya dapat melewati filter ekstraksi `data` / `tar`, mengekspos konten file di luar direktori pembongkaran di pohon pembongkaran, atau memodifikasinya izin dan waktu modifikasi. [S32](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-32) Dampak yang dipastikan dari kerentanan ini mencakup paparan konten file dan modifikasi metadata; dampak ini saja tidak cukup untuk menunjukkan penimpaan konten file eksternal secara sewenang-wenang atau penerapan RCE tanpa syarat. Untuk dasar patch yang sesuai dari 3.10—3.13, lihat Bagian 2.3. **Python 3.14 telah dikecualikan dari masalah khusus ini karena perubahan perilaku `os.link()` sejak itu 3.14.0b1**, sehingga cakupan cabang 3.10—3.13 yang terpengaruh di atas tidak berlaku. [S33](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-33) **Tindakan sementara dan mendalam:** menangguhkan ekstraksi otomatis arsip yang tidak tepercaya; menggunakan proses pekerja dengan hak istimewa rendah yang terisolasi dan direktori eksklusif baru ketika bisnis harus diproses, menolak tautan simbolik, tautan keras, dan entri perangkat berdasarkan bisnis, dan membatasi jumlah file dan sumber daya dekompresi. Ini adalah rekomendasi penerapan. `filter="data"` lebih cocok untuk arsip umum yang tidak tepercaya daripada strategi kepercayaan penuh, tetapi filter itu sendiri pada versi lama juga memiliki kerentanan ini, dan menambahkan parameter ini saja tidak dapat menggantikan pembaruan. Filternya juga bukan kotak pasir sistem file lengkap. [S32](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-32)[S45](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-45) ### 5.4 Risiko tambahan: CVE-2026-114583 (Medium) dan status rilis patch PSF diungkapkan dalam **2026-10-22** bahwa pemrosesan nama tautan tertentu oleh `tarfile.tar_filter` dapat dilewati, memungkinkan anggota berikutnya untuk menulis di luar direktori pembongkaran, dengan tingkat **Medium**. Perbaikan resmi PR digabungkan hari itu; pada tanggal 23 Oktober 2026, belum ada rilis pemeliharaan resmi yang berisi komitmen ini yang dikonfirmasi. [S40](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-40) Oleh karena itu: - Item ini terdaftar secara terpisah sebagai Medium. - Versi juru bahasa yang dirilis pada tanggal 21 Oktober tidak dapat dianggap menyertakan perbaikan ini. - Proses yang masih menggunakan `filter="tar"` untuk menangani arsip yang tidak tepercaya harus melacak backport rilis; mengisolasi atau menangguhkan jalur pemrosesan ini untuk jangka waktu singkat. Saat beralih ke `data` dan menolak tautan, Anda juga harus mengonfirmasi bahwa tautan tersebut memenuhi persyaratan bisnis, dan mengubah filter tidak dapat digambarkan sebagai kotak pasir tanpa syarat. ### 5.5 GeoDjango: CVE-2026-15307 dan perbaikan selanjutnya di bulan Oktober **2026-08-04, Django resmi High.** kueri spasial secara implisit meneruskan string/kamus tertentu ke `GDALRaster`, dan pengemudi dapat menulis file atau memulai permintaan jaringan; RCE dapat dibentuk ketika ada jalur tertentu dan kondisi eksekusi berikutnya. Staf dengan izin melihat model bidang spasial juga dapat mengakses jalur ini melalui daftar perubahan admin. [S38](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-38) Perbaikan awal adalah **5.2.17 / 6.0.8**, yang membatasi jenis masukan yang diterima oleh pencarian spasial. Perubahan ini dapat mempengaruhi bisnis awal penggunaan string/kamus untuk mengekspresikan raster; hanya dengan memasukkan masukan yang tidak tepercaya ke dalam GDALRaster tidak berarti memverifikasinya. [S38](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-38) Pada tanggal 6 Oktober, **CVE-2026-87890 (Sedang)** telah diperbaiki: VRT yang dinyatakan dalam byte dapat mereferensikan sumber daya eksternal dan masih memicu permintaan jaringan; pada hari yang sama, perlindungan geometri DoS bersarang dari CVE-2026-15830 juga diperkuat. Dua yang terakhir tidak dapat ditingkatkan untuk menggambarkan RCE baru yang berisiko tinggi, tetapi menunjukkan bahwa dasar penerapan harus **5.2.18 / 6.0.9 / 6.1.2**. [S39](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-39) Implementasinya memeriksa dua titik masuk API dan antarmuka administrasi, membatasi pencarian spasial yang tidak tepercaya, izin menulis file, dan akses keluar; setelah memperbarui, uji regresi kueri spasial yang valid dan penolakan masukan yang dilarang. Aplikasi Django biasa yang tidak menggunakan GeoDjango sebaiknya tidak langsung menerapkan kesimpulan RCE ini. ### 5.6 certifi / pip: Kepercayaan sertifikat harus mencakup setiap salinan **GHSA-6q48-6c7w-9gw2, 20-10-2026, Critical, dikenal CVE tidak terdaftar.** Ini adalah pembaruan ketidakpercayaan sertifikat yang disebabkan oleh insiden CA perantara eMudhra. Ini tidak dapat diringkas sebagai mekanisme kriptografi HTTPS atau bahwa semua sertifikat root telah di-crack. [S36](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-36) Penasihat certifi awalnya mencantumkan **2026.10.18** sebagai patch; PSF kemudian secara eksplisit merekomendasikan **2026.10.19** untuk menjaga kompatibilitas dengan sertifikat akar yang tidak terpengaruh. Garis dasar pengoperasiannya adalah 0,19. [S36](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-36)[S37](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-37) Perlu dibedakan: | Percayai lokasi material | Mengapa Anda perlu memeriksanya secara terpisah | | ----------------------------------------------- | ------------------------------------------------------------------------------- | | Paket sistem operasi CA | Materi kepercayaan sistem untuk gambar atau host | | certifi di venv | CA bundle sebenarnya digunakan oleh aplikasi atau Permintaan dll. | | pip bawaan certifi | Merupakan salinan yang berbeda dari certifi yang diinstal secara eksternal | | uv / Alat pengemas lainnya | Ikuti pembaruan alat itu sendiri dan sumber tepercaya | | File CA yang disesuaikan, snapshot yang dikemas | Mungkin terus mengesampingkan sumber terpercaya default untuk sistem atau paket | Di atas adalah daftar periksa berdasarkan lokasi pengemasan yang berbeda. PSF memerlukan pembaruan alat terkait, lingkungan virtual yang ada, dan pembangunan kembali gambar; hanya memperbarui host CA atau menginstal ulang penerjemah tidak dapat membuktikan bahwa semua salinan telah disegarkan. [S35](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-35)[S37](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-37) Saat memutakhirkan dari bootstrap aman pip yang lama, PSF menyediakan perintah untuk roda tetap **dan SHA-256**, lihat lampiran S37. Jangan nonaktifkan verifikasi TLS atau tambahkan `--trusted-host` untuk melewati masalah sertifikat. ## 6. Proses remediasi formal Perintah berikut ditujukan untuk lingkungan tepercaya yang dikonfirmasi. Saat menjalankan, manajer paket yang ada, file kunci, dan proses penerapan proyek harus digabungkan untuk menghindari pencampuran npm/pnpm/yarn atau pip/uv/Poetry untuk menghasilkan file kunci yang bertentangan. **Tangani pengecualian terlebih dahulu:** Jika Anda mencurigai bahwa lingkungan telah menjalankan paket yang disusupi di Bagian 9, isolasi terlebih dahulu dan periksa disk, kunci file dan rekaman gambar dari lingkungan yang bersih; jangan jalankan perintah Python/pip berikut terlebih dahulu. [S41](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-41) ### 6.1 Buat buku besar yang sesuai dengan lalu lintas sebenarnya Setiap layanan mencatat setidaknya: - Titik masuk eksternal, proksi terbalik, jalur koneksi langsung ke situs asal, dan antrian latar belakang/tugas terjadwal. - Perintah startup sebenarnya, akun yang berjalan, jalur biner, proses atau identitas kontainer. - Versi lengkap runtime, penerbit/repositori, versi lengkap paket, atau intisari gambar. - Kerangka kerja dan ketergantungan transitif, file kunci, perpustakaan asli, dan jalur penyimpanan kepercayaan. - Sesuai dengan apakah kondisi kerentanan ada, target patch, cakupan restart, penanggung jawab dan hasil verifikasi. Mesin pengembangan, runner CI, container build, dan tugas latar belakang juga harus diperiksa sesuai dengan jalurnya menuju konten yang tidak tepercaya; jangan hanya memperbarui wadah web yang dapat dilihat publik. ### 6.2 Node.js: Tentukan runtime terlebih dahulu, lalu perbarui dependensi aplikasi Periksa di lingkungan layanan aktual: ```bash node -p 'JSON.stringify({execPath:process.execPath,node:process.version,openssl:process.versions.openssl,brotli:process.versions.brotli},null,2)' npm ls next react react-dom react-server-dom-webpack react-server-dom-parcel react-server-dom-turbopack sharp --all npm audit --omit=dev ``` `node -p` harus dieksekusi menggunakan layanan yang sebenarnya dapat dieksekusi atau dalam wadah sebenarnya; ia memeriksa proses yang baru diluncurkan dan tidak membuktikan bahwa pekerja lama telah diganti. Node dapat menambahkan patch ke Brotli bawaan sambil mempertahankan string versi perpustakaan asli. Oleh karena itu, jangan hanya mengandalkan `process.versions.brotli` untuk menentukan apakah sudah diperbaiki. Anda harus menggabungkannya dengan versi keamanan Node atau bukti backport vendor. [S2](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-2)[S4](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-4) `npm ls` digunakan untuk melihat pohon ketergantungan sebenarnya; paket yang hilang atau konflik rekan juga dapat menghasilkan kode keluar yang tidak nol, jadi Anda harus membaca keluaran spesifiknya. `npm audit` digunakan sebagai bantuan pemeriksaan ketergantungan dan tidak dapat menggantikan pemeriksaan pustaka biner dan asli Node. Gunakan **mise untuk mengelola lingkungan Node 24**, yang dapat diperbarui sebagai berikut: ```bash mise use -g node@24.22.1 mise exec node@24.22.1 -- node -p 'process.version + " " + process.execPath' ``` `mise use -g` mengkonfigurasi versi global; konfigurasi lokal proyek masih perlu diperiksa secara terpisah. Jika layanan telah memperbaiki jalur absolut lama, gambar dasar kontainer, atau lingkungan akun yang berbeda, konfigurasi yang sesuai harus diperbarui dan layanan harus dimulai ulang. Perintah itu sendiri tidak menggantikan proses lama yang sedang berjalan. [S43](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-43) Dalam proyek Next, jalankan perintah yang sesuai sesuai dengan cabang yang dipilih. Untuk Next 15: ```bash # Next 15 分支 npm install --save-exact next@15.5.28 ``` Untuk Next 16: ```bash # Next 16 分支 npm install --save-exact next@16.4.1 ``` Periksa dependensi yang kompatibel dengan React/RSC, kunci file dan instance sharp akhir, lalu buat sesuai dengan proses proyek. Gunakan file kunci yang diperbarui di CI untuk instalasi yang dapat direproduksi, dan periksa versi pada image yang berjalan setelah pembuatan. Jangan gunakan perbaikan otomatis yang tidak terkontrol pada versi utama sebagai solusi default untuk keadaan darurat ini. ### 6.3 Java: Verifikasi penerbit, JVM aktual, dan komponen yang disematkan Inventarisasi awal: ```bash java -XshowSettings:properties -version ``` `java.home`, `java.runtime.version` dan penerbit dalam output harus selaras dengan JVM yang sebenarnya digunakan oleh layanan. Untuk JVM dengan izin melampirkan, `jcmd` dari JDK dapat digunakan untuk memeriksa proses target, bukan hanya shell login. Periksa dependensi dalam proyek tepercaya dan pilih berdasarkan alat pembangunan aktual: ```bash ./mvnw dependency:tree '-Dincludes=org.apache.tomcat.embed:*,org.springframework.security:*,org.springframework.graphql:*' ./gradlew dependencyInsight --dependency tomcat-embed-core --configuration runtimeClasspath ./gradlew dependencyInsight --dependency spring-security-core --configuration runtimeClasspath ./gradlew dependencyInsight --dependency spring-graphql --configuration runtimeClasspath ``` Perintah build ini dapat mengeksekusi plug-in dan menyelesaikan dependensi secara online, dan hanya dijalankan pada proyek tepercaya. Periksa JAR/WAR terakhir atau JAR sebenarnya pada gambar dan jangan gantikan artefak akhir dengan deklarasi file build. Spring Boot tertanam Tomcat memerlukan pembangunan kembali aplikasi; memperbarui instalasi Tomcat terpisah di sistem tidak akan mengubah salinan dalam paket aplikasi. Setelah runtime diperbarui, periksa `javax.net.ssl.trustStore` yang disesuaikan, KeyStore yang dimuat sendiri oleh aplikasi, runtime jlink, GraalVM/gambar asli, dan formulir pengiriman lainnya item demi item. Aplikasi yang sudah memiliki materi kepercayaan yang disesuaikan tidak dapat mengakhiri pemeriksaan hanya karena direktori JDK menjadi baru. ### 6.4 Python: Interpreter-by-interpreter dan pemrosesan lingkungan virtual Dalam venv/kontainer sebenarnya yang dikonfirmasi dapat dipercaya: ```bash python - <<'PY' import sys import ssl import importlib.metadata as metadata print("executable:", sys.executable) print("version:", sys.version) print("openssl:", ssl.OPENSSL_VERSION) print("verify_paths:", ssl.get_default_verify_paths()) for name in ("pip", "certifi", "Django", "urllib3", "Brotli", "litellm"): try: print(name + ":", metadata.version(name)) except metadata.PackageNotFoundError: print(name + ": not installed") PY python -m pip --version python -m pip check ``` Skrip ini hanya mengumpulkan informasi dan tidak melakukan penentuan kualifikasi versi. `ssl.get_default_verify_paths()` adalah informasi jalur default dan tidak dapat membuktikan bahwa semua klien pihak ketiga menggunakan penyimpanan kepercayaan yang sama; itu harus dikonfirmasi berdasarkan konfigurasi aplikasi. Setelah menyelesaikan pemutakhiran boot pip tepercaya dari lampiran S37, perbarui dependensi sertifikat sesuai dengan batasan proyek, misalnya: ```bash python -m pip install --upgrade 'certifi>=2026.10.19' # 仅适用于当前就选择 Django 5.2 的项目 python -m pip install --upgrade 'Django>=5.2.18,<5.3' python -m pip check ``` File persyaratan/kunci proyek perlu diperbarui pada saat yang sama, jika tidak, penerapan berikutnya mungkin akan kembali ke versi lama. Saat menggunakan uv, Puisi, atau repositori paket perusahaan, gunakan proses penguncian dan penerbitan yang ada; jangan mengubah paket secara manual hanya di dalam wadah produksi. Alur kerja `pip-audit` proyek yang ada dapat digunakan untuk memeriksa kerentanan ketergantungan yang diketahui di lingkungan tepercaya; ini bukan pemindai kode berbahaya dan tidak mencakup semua risiko penerjemah, pustaka sistem, dan penyimpanan kepercayaan. [S44](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-44) **Tidak disarankan untuk memaksa sistem `/usr/bin/python3` untuk menunjuk ke versi kompilasi baru.** Gunakan pembaruan keamanan rilis atau runtime isolasi proyek untuk menghindari kerusakan alat manajemen yang mengandalkan sistem Python. Ini adalah pilihan implementasi dan bukan merupakan persyaratan perbaikan tambahan untuk kerentanan ini. ### 6.5 Bangun kembali dan ganti instance yang sedang berjalan Disarankan agar langkah-langkah berikut diambil sebagai perubahan total: 1. Dapatkan patch dari sumber tepercaya asli dan simpan versi/hash dan kunci ketergantungan. 2. Kembalikan fungsi utama di lingkungan dekat produksi dan konfirmasikan bahwa ekstensi asli kompatibel dengan JVM/framework. 3. Perbarui runtime, dependensi aplikasi, dan penyimpanan kepercayaan aktual; segarkan gambar dasar dan sistem CA untuk penampung, jangan hanya menggunakan kembali lapisan lama. 4. Bangun kembali aplikasi dan gambar, serta ganti layanan, pekerja, konsumen antrean, dan instans tugas terjadwal secara bergilir. 5. Periksa kembali versi dan konfigurasi pada instance baru yang sedang berjalan dan konfirmasikan bahwa semua salinan lama telah keluar. 6. Amati tingkat kesalahan, latensi, CPU/memori, kegagalan jabat tangan TLS, dan proses terhenti. Rollback harus memberikan prioritas untuk mempertahankan runtime yang aman dan ketergantungan patch, serta mengembalikan konfigurasi aplikasi atau perubahan bisnis. Jika Anda harus kembali ke produk lama yang memiliki kerentanan, pembatasan masuk yang sesuai harus dipulihkan secara bersamaan, dan orang yang bertanggung jawab serta periode pemulihan minimum harus ditentukan dengan jelas. ## 7. Mitigasi Sementara dan Pemilihan Patch ### 7.1 Batas cakupan tindakan sementara Berikut ini adalah saran implementasi berdasarkan kondisi pemanfaatan yang diumumkan. Kecuali rencana resminya disebutkan, vendor tidak menjamin bahwa semua varian dapat diblokir sepenuhnya. | risiko | Tindakan sementara yang dapat diambil | Bagian yang tidak dapat dianggap selesai berdasarkan ini | | ------------------------------ | --------------------------------------------------------------------------------------------------------------- | -------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | Penguraian kode Brotli | Hentikan decoding masukan yang tidak tepercaya; periksa dekompresi otomatis masuk dan keluar | WAF masuk atau mematikan kompresi respons tidak mencakup semua entri decoding [S3](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-3) | | Next.js typed arrays RCE | Tingkatkan segera; mengisolasi sementara layanan yang terkena dampak jika perlu | Tidak ada solusi universal resmi yang dapat diandalkan [S9](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-9) | | Next.js SVG RCE | Rencana resmi: Pastikan ≥0.35.5 yang tajam; menangguhkan titik masuk pengoptimalan yang relevan jika izin usaha | Tidak mencakup masalah Next/RSC lainnya [S11](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-11) | | Alam Tomcat / HTTP/2 / AJP | Pisahkan jalur yang sesuai dan tutup konektor yang tidak perlu | Masih memerlukan paket perbaikan cabang yang sesuai [S21](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-21)[S22](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-22)[S23](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-23) | | Deserialisasi GraphQL | Tangguhkan bidang Koneksi yang terpengaruh; membatasi penelepon yang tidak tepercaya | Hanya batas panjang permintaan yang tidak dapat memperbaiki masalah tipe/deserialisasi [S25](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-25) | | Spring embedded LDAP | Nonaktifkan bila tidak diperlukan; membatasi jangkauan port pendengaran yang sebenarnya | Identitas administratif default dan integritas direktori masih perlu diperiksa [S27](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-27) | | CPython SNI UAF | Rencana resmi: Pertahankan referensi kuat SSLContext yang relevan hingga akhir layanan | Semua jalur pembuatan/pengalihan harus tercakup dalam [S29](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-29) | | Lewati nama host Python | Solusi resmi: Berikan server\_hostname yang diharapkan dengan benar | Tidak bisa begitu saja memeriksa tanda check\_hostname atau mengabaikan peringatan [S30](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-30)[S31](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-31) | | Tar yang tidak dapat dipercaya | Nonaktifkan/karantina ekstraksi, tolak tautan dan entri perangkat yang tidak penting | Baik filter maupun kuota sumber daya bukanlah kotak pasir universal [S32](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-32)[S40](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-40)[S45](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-45) | | Acara kepercayaan sertifikat | Perbarui materi CA yang benar; Kepercayaan Java dapat dibatasi sesuai dengan mitigasi resmi | Menonaktifkan verifikasi TLS meningkatkan risiko [S19](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-19)[S37](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-37) | ### 7.2 Pilih patch berdasarkan metode pengiriman | Metode pengiriman | Prioritaskan metode perbaikan | Bukti yang harus disimpan | | --------------------------------------- | --------------------------------------------------------------------------------------------------- | ------------------------------------------------------------------------------- | | Runtime yang dikelola distribusi | Pembaruan keamanan terkait dari pabrikan | Versi paket lengkap, pengumuman, sumber repositori | | Manajer Biner/Runtime Resmi | Rilis keamanan resmi dari cabang yang sama | Versi, sumber dan intisari, jalur eksekusi aktual | | Node / CPython yang dikompilasi sendiri | Rilis sumber resmi cabang yang cocok atau set patch lengkap vendor | Set komit, parameter build, pustaka dependen, dan hasil regresi | | Spring / Next / Django | Kompatibel dengan pembaruan di cabang, membangun kembali kunci ketergantungan, dan aplikasi akhir | Pohon ketergantungan terakhir, versi aktual dalam JAR/paket/gambar | | Toko kepercayaan khusus | Rencana penarikan resmi atau pembaruan vendor yang mengonfirmasi penarikan | Jalur penggunaan aktual, perubahan material, uji keberhasilan dan penolakan TLS | | Lingkungan yang dikompromikan | Bangun kembali dari produk yang bersih dan dapat dipercaya dan lakukan investigasi insiden terpisah | Paket historis/intisari gambar, catatan instalasi, catatan rotasi kredensial | ### 7.3 Mekanisme patch kunci dan fokus tinjauan - **Brotli:** memperhatikan apakah pemeriksaan batas dan pengembalian kesalahan status decoding asli telah selesai sebelum memasuki build; hanya mengganti paket JavaScript tidak dapat mengubah kode yang dikompilasi secara statis menjadi Node. [S4](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-4) - **Node DNS/TLS:** berfokus pada penolakan masukan, normalisasi alamat, pembedaan antara identitas IP SAN dan DNS, dan panggilan balik/Janji DNS jalur penguraian dan uji kecocokan nama host TLS. [S5](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-5)[S6](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-6) - **Tomcat JNDIRealm:** berfokus pada apakah proses otentikasi benar-benar memverifikasi kredensial, bukan hanya mendapatkan konteks direktori; memprioritaskan versi resmi dan tidak memperlakukan penggantian file sumber tunggal sebagai patch biner lengkap. [S24](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-24) - **CPython ssl:** berfokus pada kepemilikan referensi Python dan siklus hidup SSLContext yang mendasarinya; Backport `wrap_bio()` memiliki perbedaan kompatibilitas cabang, dan Anda harus membaca implementasi sebenarnya dari cabang yang digunakan. [S31](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-31)[S47](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-47) - **Ketidakpercayaan sertifikat:** Pembaruan tersebut mungkin tampak sebagai materi tepercaya atau perubahan daftar tolak, bukan perubahan API yang jelas. Batch Node yang sama juga mencakup mekanisme penolakan CA perantara yang terkena dampak; sumber kepercayaan masing-masing Java dan Python masih perlu diverifikasi secara terpisah. [S19](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-19)[S37](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-37)[S46](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-46) \*\*Pengikatan Brotli independen juga harus diperiksa.\*\*Upstream Google merilis **1.0.10 / 1.1.1 / 1.2.1** pada hari yang sama untuk diperbaiki CVE-2026-111497. Ekstensi asli Python atau artefak JNI yang menyematkan implementasi C yang terpengaruh perlu diperbarui/dibangun kembali secara independen; tidak dapat disimpulkan bahwa semua decoder Java murni terpengaruh, juga tidak dapat diasumsikan bahwa peningkatan Node secara otomatis menggantikan salinan dalam bahasa lain. [S42](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-42) ## 8. Verifikasi dan pemeriksaan lanjutan ### 8.1 Daftar periksa verifikasi minimum | Periksa item | Diperlukan bukti | | --------------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------ | | waktu proses | Versi lengkap atau bukti backport vendor benar dalam proses/wadah nyata | | ketergantungan aplikasi | Next/RSC/sharp, Tomcat/Spring, dan Django/certifi dalam produk penerapan akhir telah mencapai ambang batas yang sesuai | | Kisaran penggantian | Semua salinan pekerja/JVM/kontainer dan tugas latar belakang telah diganti dengan yang baru, dan instance lama telah keluar. | | TLS | Sertifikat domain yang valid berhasil; nama host yang tidak cocok dan rantai yang tidak valid gagal sesuai kebijakan; toko kepercayaan khusus disertakan | | eMudhra ketidakpercayaan | Rantai sertifikat yang dibuat oleh perantara CA yang terpengaruh ditolak selama runtime aktual, atau terdapat bukti bahwa build keamanan vendor tertentu/daftar penolakan terkait telah diterapkan; kasus ini tidak dapat ditutup berdasarkan pengujian umum TLS atau nomor versi pendek Java 8. | | Decoding dan gambar Node | Respon terkompresi normal, unggahan, pengoptimalan gambar, dan fungsi RSC tersedia; kebijakan sumber tidak tepercaya berlaku | | Otentikasi dan Isolasi Java | Kata sandi yang salah ditolak; permintaan asinkron bersamaan dari pengguna independen tanpa pencampuran identitas/respons; LDAP mendengarkan seperti yang diharapkan | | Python SNI / Arsip | Bisnis nama multi-domain normal TLS stabil; pengarsipan menolak traversal jalur dan tautan yang tidak diizinkan, dan file di luar direktori tidak diubah | | Data dan regresi fungsional | Paging, kueri spasial, pemeriksaan izin, dan tugas latar belakang lulus pengujian proyek yang ada | | Sumber Daya dan Pengamatan | Tidak ada peningkatan abnormal pada CPU, memori, tingkat kesalahan, latensi, dan kesalahan TLS. | | Ketertelusuran | Menghemat waktu pemutakhiran, intisari paket/gambar, perubahan konfigurasi, hasil verifikasi, dan item yang belum terselesaikan | Ini adalah rekomendasi penerimaan implementasi dan tidak memerlukan pembuatan skrip serangan untuk setiap CVE. Verifikasi yang melibatkan error, kehabisan sumber daya, dan arsip di luar batas harus menggunakan pengujian regresi upstream atau data pengujian yang dikendalikan proyek di lingkungan yang terisolasi. ### 8.2 Patching dan investigasi intrusi adalah tugas yang berbeda Periksa log yang ada untuk menemukan kesalahan pengodean yang tidak biasa, pekerja/JVM mogok, penulisan file yang mencurigakan, perubahan data direktori, pengecualian autentikasi, permintaan keluar, dan catatan penggunaan kredensial. Tanda-tanda ini perlu dinilai berdasarkan konteksnya: crash atau OOM bukanlah bukti keberhasilan eksploitasi; tidak adanya peringatan tidak membuktikan bahwa sistem tidak terpengaruh. Ketika modifikasi yang tidak sah, kredensial yang disusupi, atau dependensi berbahaya yang terkonfirmasi ditemukan, bukti harus disimpan, instance yang relevan diisolasi, kredensial yang terpengaruh dirotasi dari lingkungan tepercaya, dan sistem dibangun kembali. Patch tersebut tidak akan mencabut token yang telah diperoleh penyerang atau memulihkan data yang telah dimodifikasi. ## 9. Insiden keamanan rantai pasokan: kompromi LiteLLM 1.107.0 \*\*Tanggal konfirmasi resmi: 21-10-2026.\*\*LiteLLM melaporkan bahwa jalur rilisnya telah disusupi. **litellm==1.107.0** PyPI dan beberapa produk Docker/GHCR pada periode yang sama berisi pencurian rahasia dan kode berbahaya kendali jarak jauh, dan produk terkait telah ditarik. [S41](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-41) Untuk menentukan dampaknya, Anda harus memeriksa catatan riwayat instalasi dan intisari gambar; label seperti `latest`, `main-latest`, dan `main-stable` sekarang menunjuk pada gambar bersih, yang tidak membuktikan bahwa produk yang ditarik pada saat kejadian adalah bersih. Rekomendasi resmi saat itu adalah menyematkan sementara **1.106.2**; rekomendasi ini didasarkan pada insiden ini, dan pengumuman keamanan lainnya masih perlu diperiksa selama penerapan. [S41](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-41) Untuk lingkungan tempat produk terkait telah diinstal atau dijalankan: 1. Pisahkan dan simpan catatan, gambar, dan log instalasi, serta periksa dari lingkungan yang bersih. 2. **Jangan memulai Python/pip** terlebih dahulu di lingkungan yang mencurigakan; `.pth` / `sitecustomize.py` yang berbahaya dapat dijalankan lagi setelah startup. 3. Membangun kembali host, venvs/container dari sumber terpercaya; tidak bisa begitu saja menghapus atau menurunkan versi paket. 4. Cabut/putar kredensial cloud, kunci penyedia LLM, kunci LiteLLM, dan kredensial basis data berdasarkan aksesibilitas aktual dan tinjau penggunaan abnormal. [S41](https://keendigit.com/id/insights/node-java-python-security-remediation-guide#source-41) Ini adalah insiden rantai pasokan yang telah dikonfirmasi dan memerlukan pertimbangan terhadap eksekusi kode berbahaya, kebocoran kredensial, dan risiko persistensi saat menanganinya. Hingga 23 Oktober 2026, petugas masih menyelidiki penyusupan awal. ## Lampiran: Sumber dan tautan yang dikutip Tanggal verifikasi sumber berikut adalah **2026-10-23**, termasuk pengumuman keamanan resmi proyek, penyimpanan kode resmi, dan instruksi vendor. Teks utama \[Sx] sesuai dengan lampiran ini; saat melakukan pembaruan, Anda harus memeriksa apakah pemasok telah merilis revisi berikutnya. ### S1 — Node.js: Pemberitahuan Keamanan 21-10-2026 - Tujuan: Empat runtime High, memengaruhi cabang, rilis keamanan Oktober. - Referensi: [Official Security Bulletin](https://nodejs.org/en/blog/vulnerability/october-2026-security-releases) ### S2 — Node.js: Petunjuk rilis resmi untuk tiga jalur pemeliharaan - Tujuan: Periksa 22.23.4, 24.22.1, 26.12.1 dan patch gabungan yang sebenarnya. - Referensi: [Node.js 22.23.4](https://nodejs.org/en/blog/release/v22.23.4/) - Referensi: [Node.js 24.22.1](https://nodejs.org/en/blog/release/v24.22.1/) - Referensi: [Node.js 26.12.1](https://nodejs.org/en/blog/release/v26.12.1/) ### S3 — Vercel: Node.js Brotli RCE penasihat keamanan - Tujuan: Kondisi decoding masuk/keluar, batas cakupan WAF, status Node 20. - Referensi: [Node.js security advisory: Brotli decoder RCE](https://vercel.com/kb/bulletin/node-js-security-advisory) ### S4 — Node.js: Brotli pengiriman patch resmi - Tujuan: Dasar implementasi untuk pemeriksaan decoding asli dan propagasi kesalahan. - Referensi: [Brotli Patch commit 49dff6f57a](https://github.com/nodejs/node/commit/49dff6f57a) ### S5 — Node.js: TLS patch normalisasi alamat - Tujuan: Verifikasi identitas sertifikat nomor lebar penuh dan IP non-standar. - Referensi: [IP normalization regression Patch](https://github.com/nodejs/node/commit/935918e342) - Referensi: [rejects the patching of non-standard IP address](https://github.com/nodejs/node/commit/de49c913f2) ### S6 — Node.js: patch verifikasi DNS NUL - Tujuan: Penolakan masukan dan cakupan regresi. - Referensi: [dns.resolve Input verification patch](https://github.com/nodejs/node/commit/843a1627dc) ### S7 — Node.js: Pemberitahuan Keamanan 29-07-2026 - Tujuan: kehabisan memori HTTP/2, UAF dan kerentanan model izin. - Referensi: [July 2026 Security Releases](https://nodejs.org/en/blog/vulnerability/july-2026-security-releases) ### S8 — Next.js: pembaruan keamanan 14-10-2026 - Tujuan: Menyatukan dasar pemutakhiran dan tiga risiko utama. - Referensi: [Next.js Security Update for Upstream Vulnerabilities](https://nextjs.org/blog/nextjs-security-update-october-14-2026) ### Referensi: S9 — Next.js：typed arrays / use cache RCE - Tujuan: GHSA-673q-mjm6-r5xr; mempengaruhi interval, kondisi, skor dan status solusi. - Referensi: [Next.js Official Security Bulletin](https://github.com/vercel/next.js/security/advisories/GHSA-673q-mjm6-r5xr) ### Referensi: S10 — React：React Server Components RCE - Tujuan: GHSA-xqc2-xf4c-x3h3; versi yang terpengaruh dan diperbaiki dari tiga paket RSC. - Referensi: [React Official Security Bulletin](https://github.com/react/react/security/advisories/GHSA-xqc2-xf4c-x3h3) ### Referensi: S11 — Next.js：SVG Image Optimization RCE - Tujuan: CVE-2026-96889 / GHSA-2464-fhr4-w9xw; glibc, batas versi yang tajam dan asli. - Referensi: [SVG Image Optimization Official Security Bulletin](https://github.com/vercel/next.js/security/advisories/GHSA-2464-fhr4-w9xw) ### Referensi: S12 — Next.js：Server Actions DoS - Tujuan: GHSA-p3m5-59mp-jv5r; mempengaruhi kondisi, versi, dan peringkat. - Referensi: [Server Actions DoS Official Security Bulletin](https://github.com/vercel/next.js/security/advisories/GHSA-p3m5-59mp-jv5r) ### S13 — Next.js: AVIF Pengoptimalan gambar RCE - Tujuan: 25-08-2026, GHSA-2xp9-vwfh-vxw4. - Referensi: [AVIF Official Security Bulletin](https://github.com/vercel/next.js/security/advisories/GHSA-2xp9-vwfh-vxw4) ### Referensi: S14 — Next.js：Windows RCE - Tujuan: 25-08-2026, CVE-2026-75604/GHSA-p293-qw3h-jr36. - Referensi: [Windows RCE Official Security Bulletin](https://github.com/vercel/next.js/security/advisories/GHSA-p293-qw3h-jr36) ### Referensi: S15 — Next.js：next/og ImageResponse RCE - Tujuan: 22-09-2026, GHSA-vcvr-r3jv-pc5j; Perbedaan antara Node dan Edge. - Referensi: [ImageResponse Official Security Bulletin](https://github.com/vercel/next.js/security/advisories/GHSA-vcvr-r3jv-pc5j) - Referensi: [September 22 release notes](https://nextjs.org/blog/nextjs-security-update-september-22-2026) ### Referensi: S16 — Oracle: October 2026 CPU - Tujuan: Matriks risiko Java SE, kuantitas patch, dan ketentuan yang berlaku. - Referensi: [Oracle Critical Patch Update – October 2026](https://www.oracle.com/security-alerts/cpuoct2026.html) - Referensi: [Oracle Java SE CPU Version list](https://docs.oracle.com/en-us/iaas/releasenotes/java-management/jdk-cpu-october-2026.htm) ### S17 — Oracle: CVE-2026-91403 alarm di luar pita - Tujuan: 21-10-2026, risiko kepercayaan sertifikat JSSE, produk yang terpengaruh, dan CVSS 3.1 9.1. - Referensi: [Oracle Security Alert](https://www.oracle.com/security-alerts/alert-cve-2026-91403.html) ### S18 — Oracle: JDK versi resmi dan unduh - Tujuan: Membedakan antara CPU pada tanggal 20 Oktober dan versi out-of-band pada tanggal 21 Oktober; membedakan keterbatasan versi pendek Java 8. - Referensi: [JDK release list](https://ops.java/releases/) - Referensi: [Oracle Java Download page](https://www.oracle.com/java/technologies/downloads/) ### S19 — Oracle: eMudhra rencana penarikan sementara - Tujuan: Diperbarui 22-10-2026; dua sertifikat root, keytool, truststore khusus, dan pemeriksaan pencabutan. - Referensi: [Distrusting eMudhra Intermediate Certificates in Oracle JDK](https://ops.java/emudhra) ### S20 — Eclipse Adoptium: Rilis rekaman build - Tujuan: Temurin dikemas ulang karena insiden sertifikat; akhiran versi Oracle tidak dapat diterapkan secara mekanis. - Referensi: [Adoptium Release Scorecards](https://github.com/adoptium/adoptium/wiki/Adoptium-Release-Scorecards) ### S21 — Apache Tomcat 9 Pemberitahuan Keamanan - Tujuan: Interval pengaruh tepat 9 cabang dengan perbaikan 9.0.123. - Referensi: [Tomcat 9 vulnerabilities](https://tomcat.apache.org/security-9.html) ### S22 — Apache Tomcat 10 Pemberitahuan Keamanan - Tujuan: interval tepat cabang 10.1 dan perbaikan 10.1.61; 10.0 EOL. - Referensi: [Tomcat 10 vulnerabilities](https://tomcat.apache.org/security-10.html) ### S23 — Apache Tomcat 11 Pemberitahuan Keamanan - Tujuan: Tiga item Important, 11.0.27, AJP cakupan yang berlaku dan tanggal pengungkapan/rilis. - Referensi: [Tomcat 11 vulnerabilities](https://tomcat.apache.org/security-11.html) ### S24 — Apache Tomcat: JNDIRealm melakukan patch - Tujuan: Dasar formal untuk memperbaiki kesenjangan verifikasi sertifikasi. - Referensi: [JNDIRealm Patch commit](https://github.com/apache/tomcat/commit/e43453fc04abb44f64faf571ca98af71aa3c20a1) ### Referensi: S25 — Spring：GraphQL CVE-2026-59285 - Tujuan: 20-08-2026, Wajib, Perbaikan Komersial 2.0.5 OSS / 2.0.4.1. - Referensi: [Spring for GraphQL Unsafe Deserialization](https://spring.io/security/cve-2026-59285/) ### Referensi: S26 — Spring：GraphQL CVE-2026-41699 - Tujuan: Ambang batas perbaikan sebelumnya, hanya untuk menjelaskan mengapa Anda tidak bisa tetap berada pada garis dasar yang lama. - Referensi: [6 Month GraphQL Security Bulletin](https://spring.io/security/cve-2026-41699/) ### Referensi: S27 — Spring Security：CVE-2026-59270 - Tujuan: Menyematkan UnboundID LDAP, identitas manajemen yang diketahui dan membedakan OSS/versi komersial. - Referensi: [Spring embedded LDAP Security Bulletin](https://spring.io/security/cve-2026-59270/) ### Referensi: S28 — Spring Security：CVE-2026-47841 - Tujuan: Otentikasi pengguna WebAuthn, serialisasi sesi, dan premis serangan. - Referensi: [WebAuthn Security Bulletin](https://spring.io/security/cve-2026-47841/) ### S29 — PSF: CVE-2026-19445 Penasihat Keamanan Independen - Tujuan: 30-09-2026, Critical, SNI Ketentuan dan tindakan sementara yang dikutip oleh SSLContext. - Referensi: [SSLContext UAF Official announcement](https://mail.python.org/archives/list/security-announce@python.org/thread/QMQIUQB6WGGC3MI7I3WKQXOYOBDSPPS3/) ### S30 — PSF: CVE-2026-19553 Penasihat Keamanan Independen - Tujuan: 30-09-2026, High, nama host tidak ada dan mitigasi parameter eksplisit. - Referensi: [wrap\_bio Official announcement of hostname verification](https://mail.python.org/archives/list/security-announce@python.org/thread/QNZRG3YOAMTHDCMVCICXGY6YEFPY2VDL/) ### S31 — CPython: patch resmi wrap\_bio dan backport 3.12 - Tujuan: 3.10—kebijakan kompatibilitas peringatan 3.12, perbedaan antara None dan string kosong. - Referensi: [Main Patch PR #158503](https://github.com/python/cpython/pull/158503) - Referensi: [3.12 Backfill PR #158513](https://github.com/python/cpython/pull/158513) - Referensi: [3.15 Backfill PR #158511](https://github.com/python/cpython/pull/158511) ### S32 — PSF: CVE-2026-82049 Penasihat Keamanan Independen - Tujuan: 14-09-2026, High, kombinasi tautan, modifikasi metadata, dan paparan konten. - Referensi: [tarfile link bypasses the official announcement](https://mail.python.org/archives/list/security-announce@python.org/thread/EFJWGAZJA56AKSBR2WHMHQZO7RRLZPRH/) ### S33 — CPython: Rilis keamanan resmi pada akhir September/awal Oktober - Tujuan: Versi perbaikan minimum, metode distribusi kode sumber, dan pengecualian 3.14 untuk masalah khusus tarfile. - Referensi: [Python Cross-branch security release instructions](https://blog.python.org/2026/10/python-31022-31117/) - Referensi: [Python 3.11.17](https://www.python.org/downloads/release/python-31117/) - Referensi: [Python 3.12.15](https://www.python.org/downloads/release/python-31215/) - Referensi: [Python 3.13.16](https://www.python.org/downloads/release/python-31316/) - Referensi: [Python 3.14.8](https://www.python.org/downloads/release/python-3148/) ### S34 — CPython: 3.10 rilis aman terakhir - Tujuan: 3.10.22 dan akhir siklus hidup hulu. - Referensi: [Python 3.10.22](https://www.python.org/downloads/release/python-31022/) ### S35 — CPython: versi pemeliharaan darurat 21-10-2026 - Tujuan: 3.13.17 / 3.14.9 / 3.15.1, pembaruan pip dan certifi bawaan, persyaratan venv yang ada. - Referensi: [Python 3.13.17](https://www.python.org/downloads/release/python-31317/) - Referensi: [Python 3.14.9](https://www.python.org/downloads/release/python-3149/) - Referensi: [Python 3.15.1](https://www.python.org/downloads/release/python-3151/) ### S36 — certifi: pengumuman ketidakpercayaan sertifikat emSign - Tujuan: 20-10-2026, GHSA-6q48-6c7w-9gw2, Critical, tidak diketahui CVE. - Referensi: [certifi Official Security Bulletin](https://github.com/certifi/python-certifi/security/advisories/GHSA-6q48-6c7w-9gw2) ### S37 — PSF: Dampak eMudhra / emSign pada pengguna Python - Tujuan: Rekomendasi certifi .19, garis dasar pip/uv, perintah peningkatan boot tepercaya dengan SHA-256. - Referensi: [PSF Official event and upgrade instructions](https://discuss.python.org/t/information-for-python-users-regarding-emudhra-emsign-ca-certificate-security-incident/109576) Perintah peningkatan boot pip yang disediakan oleh instruksi resmi yang dikutip oleh S37 adalah sebagai berikut. Hanya digunakan di lingkungan Python yang telah dipastikan dapat dipercaya; jika ada dugaan keracunan di Bagian 9, isolasi terlebih dahulu dan bangun kembali sesuai proses kejadian. Ini memperbaiki hash konten roda dan kemudian memperbarui dependensi lain sesuai dengan proses proyek. ```bash python -m pip install "pip @ https://files.pythonhosted.org/packages/3f/06/3e4420302363fbb71be3c7f35ce042f54bfca330e3e66b3a2e3c4cca579f/pip-26.2.2-py3-none-any.whl#sha256=fd7f4dfa8190e014013b9f08f3e973f4e4c26ffd179a204895533a7254813a70" ``` ### S38 — Django: rilis aman 04-08-2026 - Penggunaan: CVE-2026-15307, GeoDjango Kondisi eksploitasi, perbaikan awal dan perubahan kompatibilitas. - Referensi: [Django 6.0.8 / 5.2.17](https://www.djangoproject.com/weblog/2026/aug/04/security-releases/) ### S39 — Django: rilis aman 06-10-2026 - Tujuan: CVE-2026-87890, geometri DoS perkuatan selanjutnya dengan garis dasar yang dipilih saat ini. - Referensi: [Django 6.1.2 / 6.0.9 / 5.2.18](https://www.djangoproject.com/weblog/2026/oct/06/security-releases/) ### S40 — PSF / CPython: Catatan tambahan tar\_filter terbaru - Tujuan: 22-10-2026, CVE-2026-114583 (Medium); Penggabungan PR tidak berarti bahwa versi pemeliharaan resmi telah dirilis. - Referensi: [PSF Independent Announcement](https://mail.python.org/archives/list/security-announce@python.org/thread/43JOWPRAV5DI3VZ4FUEUAZOHCATXXOCK/) - Referensi: [CPython Patch PR #160098](https://github.com/python/cpython/pull/160098) ### S41 — LiteLLM: Laporan Insiden Rantai Pasokan Resmi, 21 Oktober - Tujuan: Produk terkontaminasi 1.107.0, intisari riwayat, rekonstruksi isolasi, dan pembuangan kredensial. - Referensi: [Contained: LiteLLM v1.107.0 Compromised](https://docs.litellm.ai/blog/security-incident-oct-21-2026) ### S42 — Google Brotli: versi aman resmi - Tujuan: Brotli 1.0.10 / 1.1.1 / 1.2.1 independen dan basis verifikasi salinan tertanam lintas bahasa. - Referensi: [Brotli releases](https://github.com/google/brotli/releases) ### S43 — mise: gunakan perintah dokumentasi resmi - Tujuan: Menentukan versi alat dan semantik perintah konfigurasi global. - Referensi: [mise use](https://mise.jdx.dev/cli/use.html) ### S44 — PyPA: pip-audit proyek resmi - Tujuan: Python Tujuan dan batasan kemampuan audit kerentanan ketergantungan. - Referensi: [pip-audit](https://github.com/pypa/pip-audit) ### S45 — Python: dokumen filter ekstraksi tarfile - Tujuan: strategi data, perubahan perilaku default, dan batasan yang tidak dapat menggantikan sandbox. - Referensi: [tarfile extraction filters](https://docs.python.org/3/library/tarfile.html#extraction-filters) ### S46 — Node.js: Mekanisme penolakan CA tingkat menengah - Tujuan: Pemrosesan rantai kepercayaan terkait eMudhra ini tidak setara dengan pembatalan kriptografi semua sertifikat akar. - Referensi: [Node.js PR #66871](https://github.com/nodejs/node/pull/66871) ### S47 — CPython: SNI UAF catatan teknis dan perbaikan - Tujuan: referensi siklus hidup, kondisi pembangunan khusus, dan kemunduran cabang. - Referensi: [official issue #156293](https://github.com/python/cpython/issues/156293) - Referensi: [official patch PR #158504](https://github.com/python/cpython/pull/158504) - Referensi: [3.15 Backfill PR #158514](https://github.com/python/cpython/pull/158514) ## Konsultasi pemeliharaan keamanan Tidak yakin bagaimana perubahan kepercayaan sertifikat memengaruhi sistem Anda? Kami dapat membantu menilai klien yang terkena dampak dan merencanakan pembaruan keamanan. [Diskusikan pembaruan keamanan]() [Halaman asli]() · [Indeks konten]() KeenDigit LLC · ID Pengarsipan Wyoming: 2026-002106155 [Verifikasi dengan Menteri Luar Negeri Wyoming]() © 2026 KeenDigit LLC · Sheridan, Wyoming, AS · Semua hak dilindungi undang-undang.