Node.js, Java lan Python: kerentanan lan pandhuan remediasi anyar

Sumber dicenthang wiwit 23 Oktober 2026 (UTC) Periode jangkoan: 25 Juli-23 Oktober 2026, fokus ing woro-woro anyar lan patch sakteruse saka September nganti Oktober. Pemirsa A: insinyur lan responder keamanan sing njaga layanan Node.js, Java, Python, kontainer, mbangun pipa lan lingkungan pangembangan.

Artikel iki ngringkes risiko keamanan penting anyar ing Node.js, Java, lan Python runtimes, perpustakaan standar, lan framework lan dependensi server umum, lan menehi orane katrangan impact, versi tetep, langkah mitigasi sauntara, pilihan patch, lan cara verifikasi.

Netepake impact marang versi komponen, fitur aktif lan titik entri diakses. Kasunyatan kerentanan teka saka advisories resmi; tanggal nuduhake pambocoran umum kajaba release tembelan sadurungé dicathet kanthi jelas. Kita ora nyimpulake kahanan eksploitasi sing durung dikonfirmasi, skor CVSS utawa eksploitasi ing alam bébas. Saran penyebaran diidentifikasi minangka pandhuan implementasine.

TL;DR: prioritas remediasi

Nganyari runtime sing bener dadi tuan rumah layanan pisanan. Nganyari sing cocog Node.js cabang kanggo paling 22.23.4 / 24.22.1 / 26.12.1 . Layanan nggunakake Node 24 bisa upgrade kanggo 24.22.1 ing versi utama sing padha utawa versi sing luwih anyar sing ngandhut mbenakake padha. S1 S2
Nganyari Node dependensi aplikasi kanthi kapisah. Kanggo Next.js , nggunakake 15.5.28 / 16.4.1 minangka baseline upgrade; nalika nggunakake React Server Components independen, mriksa diinstal nyata react-server-dom-* paket. Mung nganyari Node binar ora nutupi kerentanan kerangka kasebut. S8 S9 S10 S11 S12
Java : nutupi loro babak nganyari. Instal mbangun vendor sing nutupi 20 Oktober CPU lan 21 Oktober CVE-2026-91403 darurat certificate-kapercayan fix. Waca bagean 2.2 kanggo Oracle JDK 11 -27 versi metu saka band; verifikasi distribusi liyane marang paket keamanan dhewe lan nomer mbangun lengkap. Nganyari sing cocog Tomcat cabang kanggo 9.0.123 / 10.1.61 / 11.0.27 . S16 S17 S18 S20 S21 S22 S23
Python : nganyari interpreter, paket aplikasi lan paket sertifikat kanthi kapisah. Waca bagean 2.3 kanggo garis dasar juru; certifi nyaranake ≥ 2026.10.19 , pip ≥ 26.2.2 , nalika nggunakake uv ≥ 0.13.4 . Saben venv sing ana kudu dipriksa. Kanggo wrap_bio() kode related, bener lan non-kosong server_hostname uga kudu mlebu. S29 S30 S31 S33 S35 S36 S37
Yen upgrade langsung ora bisa, nyuda cahya ing titik entri sing cocog. Prioritas mungkasi dekoding Brotli sing ora dipercaya, pangolahan gambar / paging / arsip sing kena pengaruh, lan ngisolasi LDAP utawa entri otentikasi; tetep sertifikat TLS lan jeneng host diverifikasi. WAF mlebu ora bisa nutupi dalan metu kayata aplikasi sing narik respon kompres sing ala. S3 S11 S25 S27 S30 S32
Rebuild, ngganti pangolahan lawas, lan verifikasi liwat paths layanan nyata. Simpen file kunci lan gambar Digest, mbangun maneh aplikasi lan gambar, muter metu panggantos kanggo kabeh buruh / JVM / kontaner; mriksa proses nyata, wit dependensi, toko kapercayan lan tes kemunduran bisnis. Versi baris perintah sing luwih anyar mung ora nemtokake manawa remediasi wis rampung.
Yen LiteLLM 1.107.0 diinstal utawa mbukak, tindakake prosedur nanggepi kedadean. Proyek kasebut dikonfirmasi kompromi rilis tanggal 21 Oktober. Aja miwiti Python/pip ing lingkungan sing curiga kanggo mriksa dhisik. Waca Bagean 9 kanggo rincian. S41

1. Ringkesan Kerentanan lan penilaian risiko

1.1 Prioritas remediasi kanthi cahya nyata

Prioritas panyebaran ing ngisor iki minangka pandhuan implementasine. Label keruwetan ngetutake saben vendor, kalebu Apache’s Important rating. CVSS 3.1 lan 4.0 minangka sistem pemarkahan sing beda; aja menehi peringkat masalah kanthi skor dhewe.

Ekosistem/lapisan	Masalah utama	Nilai resmi utawa skor sing diverifikasi	Penyebaran prioritas
Node.js ketergantungan asli	CVE-2026-111497: Brotli ditulis metu saka wates, lan ana risiko RCE	Node：High	Decode data Brotli S1 S3 ing awak panjalukan eksternal utawa respon eksternal
Node.js TLS / DNS	CVE-2026-105482, 105483, 106069: Parsing lan verifikasi identitas ora konsisten	High	URL crawl, proxy, Webhook, alamat target dinamis S1 S5 S6
Node.js HTTP/2	CVE-2026-56846, 56848: Memori entek lan UAF	High	Node langsung nangani lalu lintas HTTP/2 sing ora dipercaya S7
React / Next.js	RSC / `use cache` typed arrays RCE	Critical；CVSS 4.0 9.5	Server RSC, komponen cache sing gegandhengan lan jalur data S9 S10
Next.js Optimization gambar	CVE-2026-96889: SVG Pangolahan gambar RCE	Critical；CVSS 4.0 9.5	Instance ing glibc Linux sing bisa nangani gambar sing ora dipercaya S11
Next.js Server Actions	Panjaluk sing digawe khusus nyebabake CPU kesel	High；CVSS 4.0 8.2	App Router lan paling ora siji Server Action S12
Java TLS Trust	CVE-2026-91403: Terus percaya karo perantara sing kena pengaruh CA	CVSS 3.1 9.1	Skenario TLS/API S17 nggunakake rantai kepercayaan sing kena pengaruh
Tomcat	JNDIRealm bypass otentikasi, HTTP/2 cross-request mix-ups, AJP kebocoran respon	Important	Cocog karo jalur Realm / Connector / async Servlet S21 S22 S23
Spring for GraphQL	CVE-2026-59285: Paging deserialisasi RCE	High	Jackson 2 + Connection Paging + Exploitable Classpath S25
Spring Security	CVE-2026-59270: Embedded LDAP identitas manajemen dikenal kapapar	Critical	LDAP sing disematake diaktifake lan port ngrungokake bisa diakses dening panyerang S27
CPython `ssl`	CVE-2026-19445: SNI asil konteks ngoper ing UAF	Critical	Python mungkasi TLS dhewe, lan cocog karo kahanan siklus urip konteks S29
CPython `ssl`	CVE-2026-19553: Lewati verifikasi nalika jeneng host ora ana	High	`wrap_bio()` / Telpon asyncio sing gegandhengan ora ana jeneng host sing dikarepake S30
CPython `tarfile`	CVE-2026-82049: Link hard lan kombinasi link simbolis bypass	High	Ekstrak arsip tar sing ora dipercaya S32 kanthi otomatis
Django / GeoDjango	CVE-2026-15307: File tulis query spasial, SSRF, ing kondisi RCE	High	Pitakonan spasial utawa antarmuka administrasi sing gegandhengan nampa input sing ora dipercaya S38
Python ketergantungan sertifikat	certifi: emSign ora percaya sertifikat sing gegandhengan	Critical; GHSA, ora ana sing dikenal CVE	TLS alat manajemen klien lan paket S36 S37 isih nggunakake CA bundle sing kena pengaruh

Singkatan: RCE singkatan saka eksekusi kode remot, UAF singkatan saka use-after-free, lan SSRF tegese pemalsuan panjalukan sisih server. Ijin langsung saka RCE biasane ijin saka proses hosting aplikasi lan ora bisa kanthi otomatis padha karo ijin ROOT.

Urutan sing disaranake: pisanan nangani RCE, sing bisa diakses sacara eksternal lan nyukupi syarat, lulus otentikasi, kebocoran data lintas pangguna lan masalah otentikasi sertifikat; ing wektu sing padha, jadwal nganyari kanggo titik entri DoS madhep umum. Ora perlu mbukak payloads serangan ing produksi kanggo mbuktekaken exploitability. Ketergantungan ana, jalur kode bisa digayuh, lan kondisi serangan wis ketemu. Iki minangka telung masalah sing kudu dipriksa kanthi kapisah.

1.2 Telung wates gampang bingung

Nganyarke runtime lan dependensi kanthi kapisah. Nganyari keamanan kanggo Node , JDK , CPython ora kanthi otomatis ndandani instalasi dewekan saka Next.js , Spring , Django , certifi utawa ekstensi native.
Ambang remediation kapisah saka baseline penyebaran saiki. Tembelan pisanan kanggo kerentanan ing Agustus ora dijamin kanggo nutupi masalah anyar saka September nganti Oktober; Bagean 2 nggunakake nganyari sakteruse sing diverifikasi minangka target implementasine.
Mbedakake kerentanan saka kompromi rantai pasokan sing nyata. Kanggo kerentanan umum, patch ngilangi jalur serangan ing mangsa ngarep; nalika paket angkoro wis mbukak, impact saka kapercayan lan terus-terusan perlu diselidiki. Bagean 9 LiteLLM minangka acara resmi sing dikonfirmasi. S41

Apa ana eksploitasi sing dikonfirmasi ing alam bébas kudu adhedhasar pambocoran resmi. Vendor ora nyebutake kegiatan eksploitasi lan ora bisa mbuktekake manawa ora ana serangan; remediasi kudu dileksanakake adhedhasar lumahing serangan nyata.

2. Priksa cepet versi tetep lan garis dasar penyebaran

Rujukan: 2.1 Node.js、React、Next.js

komponen/cabang	Rekomendasi versi dhasar	Pandhuan kanggo nggunakake
Node.js 22.x	22.23.4	Rilis keamanan S1 S2 tanggal 21 Oktober
Node.js 24.x	24.22.1	Ditrapake kanggo cabang 24.x; 24.22.0 ora ngemot patch keamanan 21 Oktober S1 S2
Node.js 26.x	26.12.1	Rilis keamanan ing kumpulan sing padha S1 S2
Node.js 20 lan cabang hulu sadurungé	Pindhah menyang cabang sing didhukung	Node 20 ora nampa fix hulu iki; support lengkap vendor kudu diverifikasi kapisah S3
Next.js 15.x	15.5.28	Dianyari ing Oktober 14 S8
Next.js 16.x	16.4.1	Padha ing ndhuwur S8
Cabang RSC 19.0 / 19.1 / 19.2 / 19.3 mandiri	19.0.9 / 19.1.10 / 19.2.9 / 19.3.1	Priksa telung paket `react-server-dom-*` kanthi kapisah; ora mung katon ing lapisan ndhuwur `react` S10
Next bener dimuat `sharp`	≥0.35.5	Kondisi fix sementara resmi kanggo kerentanan SVG; ora ngganti patch Next.js liyane S11

Node resmi dhaptar cabang pangopènan kena pengaruh kanggo kerentanan Oktober, nanging ora nyedhiyani pisanan ngenalaken versi patch item dening item, supaya versi wiwitan pas saben kerentanan ora bisa ditemtokake adhedhasar sawetara cabang pangopènan piyambak. Nalika nyebarke, menehi prioritas kanggo nggunakake versi ndhuwur cabang padha utawa versi sakteruse dikonfirmasi ngemot mbecike padha.

2.2 Java: Oktober CPU plus nganyari sertifikat out-of-band

Tabel iki ditrapake kanggo Oracle JDK. Kolom kapindho mung isine 20 Oktober CPU; katelu kalebu 21 Oktober release metu-saka-band. Versi CPU mung ora nutupi kabeh risiko Java sing dibahas ing kene. S16 S17 S18

cabang	20 Oktober CPU	Oracle dirilis saka band tanggal 21 Oktober
11	11.0.33	11.0.33.0.2
17	17.0.21	17.0.21.0.2
21	21.0.13	21.0.13.0.2
25	25.0.5	25.0.5.0.2
27	27.0.1	27.0.1.0.2
8	8u511	Tabel rilis umum isih nuduhake 8u511; mbangun keamanan tartamtu lan ndandani chain dipercaya kudu dicenthang, lan ora bisa ditemtokake adhedhasar nomer versi singkat piyambak

**Java 8 kudu dipriksa karo informasi lengkap babagan mbangun:**Oracle Tandha kasebut nyathet 8u511 minangka versi sing kena pengaruh, lan dhaptar rilis nampilake nganyari sabanjure kanthi jeneng cekak sing padha. Status tembelan ora bisa dibedakake adhedhasar nomer versi singkat “8u511”. Sampeyan kudu ngonfirmasi mbangun keamanan khusus lan ndandani rantai kepercayaan. S17 S18

Temurin , Corretto , Zulu , Microsoft Build of OpenJDK , versi release OpenJDK , etc., mriksa miturut woro-woro lan nomer paket lengkap / mbangun. Contone, rekaman release resmi saka Adoptium nyatakake yen mbangun cocog repackaged kanggo nambah eMudhra ndandani; jeneng padha versi hulu ora ateges sing isi paket padha. Ing .0.2 aturan sufiks kanggo Oracle ora bisa ditrapake sacara mekanis kanggo penerbit liyane. S20

Java komponen aplikasi	Rekomendasi versi dhasar	pangandikan
Tomcat 9 / 10.1 / 11	9.0.123 / 10.1.61 / 11.0.27	Priksa cabang dening cabang; Tomcat 10.0 wis mandheg pangopènan S21 S22 S23
Spring for GraphQL 2.0.x	2.0.5（OSS）	Dhukungan komersial uga 2.0.4.1 S25
Spring Security 7.1 / 7.0	7.1.1 / 7.0.7（OSS）	Cocog karo versi fix minimal sing diumumake ing wulan Agustus; sampeyan kudu mriksa buletin keamanan sakteruse S27 S28 sadurunge penyebaran
Spring Security 6.5 / 6.4 / 5.8 / 5.7	6.5.12 / 6.4.19 / 5.8.28 / 5.7.26	Pengumuman kasebut kadhaptar minangka fix support komersial; migrasi dievaluasi nalika ora ana dhukungan sing cocog, lan ora bisa dianggep yen Maven Central kasedhiya gratis S27

Nganyarke Spring kudu ngormati Spring Boot BOM proyek, Java versi minimal lan garis kompatibilitas. Aja langsung meksa kabeh modul Spring menyang nomer sing padha mung kanggo njaluk tembelan.

2.3 CPython, Django lan dependensi sertifikat

Kolom kapindho tabel ing ngisor iki fokus ing masalah TLS sing dibeberke ing September; beda cabang kanggo tarfile ditampilake ing bagean 5.3. Rilis 21 Oktober uga dianyari piranti sertifikat bundled, supaya kolom pungkasan kalebu garis dasar penyebaran. S29 S30 S33 S35

Cabang CPython	September batch keamanan versi minimal	Dianjurake panyebaran baseline
3.10	3.10.22	Rilis pungkasan saka hulu, EOL; atur migrasi utawa verifikasi dhukungan ekstensi rilis S34
3.11	3.11.17	3.11.17, lan nganyari pip/certifi ing saben lingkungan
3.12	3.12.15	3.12.15, lan nganyari pip/certifi ing saben lingkungan
3.13	3.13.16	3.13.17
3.14	3.14.8	3.14.9
3.15	Rilis 3.15.0 pungkasan kalebu loro TLS mbenakake S31 S47	3.15.1

Versi keamanan hulu 3.11 lan 3.12 mung bisa dirilis ing kode sumber; nalika nggunakake paket sistem operasi, mriksa Advisory backport vendor lan versi paket lengkap, lan ora ana syarat kanggo meksa ngganti sistem Python karo versi poto-disusun. S33 S34

ketergantungan independen	Rekomendasi versi dhasar	Katrangan
Django 5.2 / 6.0 / 6.1	5.2.18 / 6.0.9 / 6.1.2	Gabung koreksi sakteruse S38 S39 ing 6 Oktober
certifi	≥2026.10.19	GHSA patch dhisikan punika .18; PSF nyaranake .19 kanggo njaga kompatibilitas kanggo sertifikat sing ora kena pengaruh S36 S37
pip	≥26.2.2	Salinan certifi sing dibangun kudu dianyari kanthi kapisah S35 S37
uv (yen digunakake)	≥0.13.4	Nganyari S37 miturut cara instalasi nyata

Dasar iki nyakup perbaikan sing wis kadhaptar. Masalah keruwetan medium liyane ing tar_filter dibeberke tanggal 22 Oktober. Ing tanggal 23 Oktober 2026, versi pangopènan resmi sing ngemot fix iki durung dikonfirmasi; mulane, 3.13.17 / 3.14.9 / 3.15.1 ora bisa dianggep wis dijamin kabeh masalah tarfile. Waca Bagean 5.4. S40

2.4 Verifikasi backports distribusi

Prinsip implementasine sing ditrapake kanggo Ubuntu, Debian, RHEL lan paket piranti lunak liyane:

Rekam versi sistem operasi, sumber repositori, versi paket lengkap, lan nomer buletin keamanan vendor.
Konfirmasi yen advisory nyakup CVE tartamtu lan ngenali paket tetep kanggo release distribusi sing cocog.
Bandhingake binari / perpustakaan sing dimuat dening proses mlaku sing nyata, ora mung versi cendhak hulu.
Nalika ora ana bukti tembelan vendor, ninggalake “kanggo dikonfirmasi” lan ora njupuk iku mung kesimpulan sing nomer versi katon lawas utawa anyar.

Ana beda ing versi paket apt/RPM lan strategi backport distribusi beda. Buletin keamanan lan versi paket lengkap saben distribusi kudu menang.

3. Ekosistem Node.js / JavaScript: Analisis Penyebab lan Remediasi

3.1 CVE-2026-111497: Brotli nulis dekoder asli sing metu saka wates

Pambocoran: 2026-10-21; Node kelas resmi: High. Bangunan sing kena pengaruh Node 22.x, 24.x, 26.x mbutuhake bagean patch 2.1 diinstal. Node Pengumuman ora nyathet skor CVSS numerik. S1

Masalah kasebut dumadi ing logika dekoding asli nalika nangani stream kompres Brotli sing salah, sing bisa nyebabake tulisan sing ora ana watese. Katrangan resmi Vercel nandheske manawa demonstrasi riset kalebu bocor memori proses lan eksekusi perintah. Apa panyerang bisa tekan dekoder gumantung apa aplikasi utawa katergantungan bener-bener decode data sing dikontrol. S3

Loro arah kudu dipriksa bebarengan:

inbound: The framework utawa middleware kanthi otomatis decompress awak panjalukan Brotli sing dikirim dening pangguna.
**outbound:**HTTP Klien, tukang ngrebut gambar, lsp. ngakses sumber sing bisa dikontrol penyerang lan kanthi otomatis dekompresi konten sing bali.

Mateni kompresi Brotli saka respon sing dikirim menyang browser ora mbusak titik entri dekoding. Perlindhungan WAF mlebu uga ora nutupi aplikasi njupuk lan dekoding respon eksternal. S3

Arah **Patch:**Node Pindhah perbaikan hulu Brotli menyang ketergantungan asli, lan tambahan mriksa status dekoding ilegal lan panyebaran kesalahan. Nalika njaga versi sing disusun dhewe, sampeyan kudu nggunakake rilis keamanan resmi utawa tembelan lengkap cabang sing cocog. Sampeyan ora bisa mung ngganti statement versi paket JavaScript. S4

Saran implementasine interim: mungkasi dekoding Brotli sing ora perlu; mriksa prilaku decompression otomatis saka middleware lan klien HTTP; yen bisnis kudu nampa format iki, ngrampungake Processing ing lingkungan patched sanalika bisa. Nyetel Accept-Encoding mung minangka tumindak negosiasi lan ora kudu mandheg minangka bukti yen respon ala wis diblokir.

3.2 TLS / DNS telung High: Objek verifikasi ora konsisten karo target nyata

Katelu kasebut diumumake tanggal 21 Oktober, kanthi ambang upgrade resmi sing ditemtokake ing Bagean 2.1. S1

logo	Masalah dikonfirmasi	Cabang sing kena pengaruh
CVE-2026-105482	`dns.resolve` Pemotongan jeneng sing ngemot NUL	22.x / 24.x / 26.x
CVE-2026-105483	IP ing wangun numerik lengkap nyebabake verifikasi jeneng host sertifikat dilewati	24.x / 26.x
CVE-2026-106069	Jeneng host sing bisa diinterpretasikake kanthi bebas minangka IP asil ing verifikasi verifikasi TLS.	22.x / 24.x / 26.x

DNS Inti masalah yaiku senar sing dicenthang dening lapisan ndhuwur beda karo jeneng sing diurai dening lapisan ngisor. Patch resmi nolak NUL ing entri parsing lan nambah jangkoan regresi. S6

TLS Loro item kalebu normalisasi jeneng, konsistensi interpretasi IP lan cocog sertifikat. Patch supaya input IP non-standar ditolak utawa ditangani kanthi bener supaya ora mbingungake titik pungkasan IP sing asli karo identitas domain sertifikat. S5

Saran ngatasi masalah nyata kanggo : menehi prioritas kanggo mriksa kode pangguna sing nampa URL, target proxy dinamis utawa alamat Webhook; standarisasi manunggal lan ngidini paukuman dhaftar, nolak NUL / karakter kontrol, nandheske legal IPv4, IPv6 lan jeneng domain internasional isih bisa digunakake. Apa SSRF bisa luwih kawangun mbutuhake aplikasi link bukti, kang ora bisa langsung deduced saka jeneng CVE.

Aja nggunakake NODE_TLS_REJECT_UNAUTHORIZED=0 utawa rejectUnauthorized: false kanggo ngilangi kesalahan checksum post-upgrade. Alamat, sertifikat lan konfigurasi bisnis kudu didandani.

3.3 Juli HTTP/2 High-risiko lan masalah model ijin

Masalah ing ngisor iki sing diungkapake ing wulan Juli isih kudu dilebokake ing penyelidikan. Disaranake langsung nggunakake garis dasar versi keamanan Oktober ing Bagean 2.1 nalika nyebarke. S7

CVE	Panyebab lan akibat	Versi tetep pisanan
CVE-2026-56846	Blok HTTP/2 header sing ditahan ora kalebu ing anggaran `maxSessionMemory` lan bisa ngrusak memori; Dampak 22.x / 24.x	22.23.2 / 24.18.1
CVE-2026-56848	HTTP/2 mlebu maneh ing jalur kirim sajrone koleksi paket, nyebabake tumpukan UAF; impact 22.x / 24.x / 26.x	22.23.2 / 24.18.1 / 26.5.1
CVE-2026-58043	`--permission` Pertandhingan wates awalan path amba banget, lan file ing njaba dhaptar sing diidini bisa diakses.	Padha karo telung garis pangopènan ing ndhuwur

Telu kasebut resmi High. Loro item pisanan menehi prioritas kanggo mriksa apa HTTP/2 diproses dening Node dhewe; item katelu mung nduweni makna sing cocog nalika nggunakake model ijin lan gumantung ing wates iki. Item model ijin ora kabeh bisa diterangake minangka jaringan RCE sing ora mbutuhake otentikasi. S7

Mungkasi sementara HTTP/2 ing proxy sing kapisah, dianyari lan mbatesi sumber backend minangka pilihan penyebaran kanggo nyuda cahya; kuota sumber daya mung bisa ngontrol jalaran saka kekeselen sumber lan ora bisa patch UAF.

3.4 Oktober React / Next.js: rong item RCE lan siji item DoS

A. RCE ing RSC / `use cache` fungsi ngasilake array sing diketik

Tanggal umum: 2026-10-14; Critical, CVSS 4.0 9.5. Pengenal saran resmi:

React：GHSA-xqc2-xf4c-x3h3。
Next.js：GHSA-673q-mjm6-r5xr。S9 S10

Ing React Jeksa Agung bisa ngetokake hulu melu macem-macem array diketik digabungake karo nilai sing bisa dikontrol penyerang ing RSC wangsulan. Telu kena pengaruh react-server-dom-* versi paket punika 19.0.0 — 19.0.8 , 19.1.0 — 19.1.9 , 19.2.0 — 19.2.8 , 19.3.0 ; ndeleng bab Section 2.1. Sisih browser murni React , utawa aplikasi sing ora nggunakake frameworks/plug-in sing ndhukung RSC ing kabeh, ora tiba ing orane katrangan saka item iki. S10

Next.js daftar pengumuman hilir 16.0.0 — 16.4.0 , direvisi ing 16.4.1 ; skenario punika App Router , Cache Components , lan use cache fungsi sing ngasilake pirang-pirang array sing diketik. Ora ana solusi umum sing dipercaya resmi, lan pangguna versi sing kena pengaruh kudu nganyarke kanthi tepat. Ora cocog kanggo mung ngandelake telusuran manual kanggo “fungsi iki ora ana” kanggo mungkasi pangolahan. S9

Rujukan: B. SVG Image Optimization RCE

CVE-2026-96889/GHSA-2464-fhr4-w9xw, 2026-10-14, Critical, CVSS 4.0 9.5. Masalah ana ing perpustakaan asli hulu sing digunakake kanggo optimasi gambar. Pejabat nyatakake yen risiko RCE ana ing skenario glibc Linux. S11

Bidang versi resmi yaiku:

>=10.0.0 <=15.5.27；
>16.0.0 <=16.4.0。

Resmi nggunakake wates ngisor ketat >16.0.0 kanggo cabang 16.x, nanging statement sawetara iki ora cukup kanggo mbuktekaken sing 16.0.0 aman. Target upgrade sing bener yaiku 15.5.28 / 16.4.1. S11

Solusi sauntara resmi yaiku kanggo mesthekake yen Next bener-bener ngemot ≥0.35.5. File kunci, dependensi bersarang, lan gambar panyebaran bisa uga isih ana kasus lawas, dadi mung nambahake versi anyar saka dependensi sharp ing tingkat paling dhuwur ora cukup, wit dependensi pungkasan kudu dicenthang lan dibangun maneh. S11

C. Server Actions CPU kesel

GHSA-p3m5-59mp-jv5r , 2026-10-14, High , CVSS 4.0 8.2 . Next mengaruhi 13.0.0 — 15.5.27 , 16.0.0 — 16.4.0 , ndandani 15.5.28 / 16.4.1 . Syarate yaiku App Router lan paling ora siji Server Action ; panjalukan angkoro bisa tetep CPU dikuwasani kanggo dangu, Watesan panjalukan sakteruse ing proses padha. Aplikasi karo Pages Router utawa tanpa Server Actions ora kena pengaruh iki. S12

Ora ana solusi resmi sing bisa ngganti upgrade. Watesan tarif, watesan concurrency lan kuota sumber bisa nyuda karusakan, nanging ora bisa digunakake minangka kesimpulan kanggo verifikasi patch.

3.5 Sadurunge Next.js ing jendela sing padha Masalah serius

Item ing ngisor iki dimaksudake supaya ora ana penyebaran sing isih macet ing versi sadurunge Agustus-September; iku ora dianjurake kanggo mung pindhah munggah menyang batesan fix lawas ing meja saiki.

Tanggal	Identifier / skenario	Ndandani pisanan; tumindak saiki
2026-08-25	GHSA-2xp9-vwfh-vxw4: AVIF perpustakaan asli optimasi gambar RCE, Critical	15.5.24 / 16.3.3; saiki 15.5.28 / 16.4.1 S13
2026-08-25	CVE-2026-75604: RCE, Critical nalika Pages Router lan App Router digunakake bebarengan ing Windows, lan Cache Components ora diaktifake; versi `>=13.4.0 <15.5.24`, `>=16.0.0 <16.3.3`	15.5.24 / 16.3.3; Linux/macOS ora kena pengaruh masalah Windows khusus iki S14
2026-09-22	GHSA-vcvr-r3jv-pc5j: jalur generasi gambar Node ing `next/og` ngolah SVG, Critical sing ora dipercaya; 16.2.0—16.3.5	16.3.6; implementasine Edge ing njaba ruang lingkup masalah iki, lan 15.x dudu cabang sing kena pengaruh kanggo RCE S15 iki.

4. Ekosistem Java: Kepercayaan, wadah lan kerangka kerja ditangani kanthi kapisah

4.1 JDK: CPU biasa lan CVE-2026-91403 minangka nganyari rong tingkat

Matriks risiko Java SE kanggo Oracle CPU tanggal 20 Oktober nampilake patch keamanan anyar 55, 49 sing ditandhani minangka eksploitasi liwat jaringan tanpa otentikasi. Iki ora ateges sing ana 55 Critical, utawa iku ora ateges sing ana 49 langsung exploitable RCE path kanggo saben layanan web Java; iku kudu mangertos magepokan karo komponen, API, interaksi pangguna lan kahanan panyebaran ing matriks. S16

Dina sabanjure CVE-2026-91403 (CVSS 3.1 9.1) ngurusi jinis risiko liyane: sakumpulan CA penengah sing ana gandhengane karo acara eMudhra sing ora dipercaya maneh. Iki mengaruhi otentikasi peer TLS lan rahasia / integritas komunikasi lan ora bisa diterangake minangka kerentanan korupsi memori JVM. S17

Advisory Oracle nampilake versi sing dirilis tanggal 20 Oktober sing kena pengaruh, mula nganyari out-of-band tanggal 21 Oktober uga kudu diinstal. Waca bagean 2.2 kanggo versi tartamtu. GraalVM uga duwe produk sing kena pengaruh, lan versi tetep kudu tundhuk marang buletin keamanan eksklusif. S17 S18

Tindakan resmi sauntara: Gawe serep dhisik, banjur copot sertifikat root sing ditemtokake saka saben toko sing bener digunakake:

emSign ECC Root CA - G3, alias ing Oracle emsigneccrootcag3 [jdk].
AAA Certificate Services, alias ing Oracle comodoaaaca [jdk]. S19

JDK 11 lan mengko, conto resmi yaiku:

keytool -delete -cacerts -alias "emsigneccrootcag3 [jdk]"
keytool -delete -cacerts -alias "comodoaaaca [jdk]"

Gunakake keytool saka target JDK kanggo printah kasebut lan konfirmasi manawa lagi digunakake ing toko kapercayan aplikasi kasebut. Java 8 nggunakake path sing cocog karo jre/lib/security/cacerts; ngatur truststore kudu ditangani kanthi kapisah, lan penerbit liyane bisa uga duwe alias beda. Mbusak sertifikat ROOT bakal nggedhekake orane katrangan saka penolakan, lan regression-test sertifikat layanan chain sah. S19

Pejabat kasebut uga menehi pilihan kanggo ngaktifake pamriksa panjabutan, nanging efek kasebut gumantung marang implementasine TLS sing nyata, jangkauan layanan pencabutan lan strategi gagal. Kanggo penyebaran umum, prioritasake nginstal nganyari vendor lengkap supaya ora ngobati rong switch JVM minangka bukti yen kabeh perpustakaan TLS wis didandani.

4.2 Tomcat: Authentication bypass lan cross-user request isolation

Telung item ing ngisor iki diterbitake ing 2026-10-20; entri versi didandani tanggal Oktober 12. Kelas resmi Apache yaiku Important. S21 S22 S23

CVE	Dikonfirmasi versi kena pengaruh	Skenario / asil sing dibutuhake
CVE-2026-101296	9.0.0.M1—9.0.122；10.1.0-M1—10.1.60；11.0.0-M1—11.0.26	JNDIRealm Ngonfigurasi mekanisme otentikasi SASL non-GSSAPI, verifikasi kredensial ilang, lan sandhi sing salah uga bisa lolos
CVE-2026-101356	9.0.118—9.0.122；10.1.55—10.1.60；11.0.22—11.0.26	Penanganan kesalahan Servlet asinkron HTTP/2 salah daur ulang/nganggo maneh obyek, nyebabake panjalukan utawa tanggapan dicampur ing antarane pangguna
CVE-2026-103119	Mung konfirmasi 11.0.0-M25—11.0.26	Tulisan non-blocking AJP gedhe bisa nyebabake buffer kurang diwaca, mbabarake data respon sadurunge ing panjalukan mengko.

Ndandani sing cocog yaiku 9.0.123 / 10.1.61 / 11.0.27; AJP mung kadhaptar minangka Tomcat 11 miturut woro-woro, lan ora bisa ditambahi kanggo telung cabang karo masalah padha. S21 S22 S23

Patch JNDIRealm ndandani celah verifikasi ing proses otentikasi nyata, ing ngendi “antarmuka login aplikasi katon normal” ora bisa digunakake tinimbang verifikasi. Realm, mekanisme SASL kudu dipriksa kanggo konfigurasi nyata layanan kasebut, lan tes kudu gagal kanggo tembung sandhi sing salah. S24

Saran implementasi interim: ngisolasi jalur otentikasi sing kena pengaruh; nundha pangolahan HTTP/2 saka Tomcat nalika ijin bisnis; nutup ora ana guna AJP. Mung matesi akses langsung menyang port AJP ora bisa mbuktekaken yen lalu lintas mlebu liwat proxy ngarep legal ora bakal kena pengaruh. Sawise nganyari resmi, panjalukan bebarengan bedo saka rong pangguna independen kudu dites kanggo konfirmasi manawa ora ana obrolan silang antarane identitas lan tanggapan.

Rujukan: 4.3 Spring for GraphQL：CVE-2026-59285

Tanggal umum: 2026-08-20; High. kena pengaruh 2.0.0—2.0.4, didandani 2.0.5 (OSS) utawa 2.0.4.1 (dhukungan komersial). S25

Iki minangka risiko deseralisasi sing ora aman ing pitakon paging. Syarat resmi yaiku syarat-syarat ing ngisor iki kudu ditindakake bebarengan:

Gunakake Spring for GraphQL.
Deserialize JSON nggunakake Jackson 2.x.
Nyedhiyakake lapangan paging Sambungan menyang jagad njaba.
Classpath ngemot kelas tartamtu sing bisa nindakake logika sing ora dikarepke sajrone instantiasi utawa deserialization.

Panyuwunan GraphQL sing ala bisa nyebabake RCE nalika syarat kasebut ditindakake. Iku ora bisa suda kanggo “kabeh Java program nggunakake Jackson bisa eksploitasi”. S25

Kenapa 2.0.4 ora cukup: Ing wulan Juni, CVE-2026-41699 wis menehi garis dasar patch kayata 2.0.4, lan ing wulan Agustus pengumuman kasebut kanthi jelas kalebu pengaruh 2.0.4 menyang ruang lingkup anyar. Mulane, cathetan ndandani kudu dianyari miturut woro-woro sakteruse, lan versi minimal saka CVE lawas ora bisa digunakake. S26

Nalika upgrade ora kasedhiya kanggo sementara, kolom pagination kena pengaruh sing bisa diakses dening panelpon sing ora dipercaya bisa dilereni; narrowing mudhun jinis deserializable lan path kelas minangka ukuran ing-ambane. Regresi kudu nyakup kursor hukum, asil kaca, lan penolakan input pengecualian, lan mriksa versi komponen sing nyata ing JAR aplikasi pungkasan.

4.4 Spring Security: CVE-2026-59270 lan risiko otentikasi sing gegandhengan

CVE-2026-59270, 2026-08-20, Critical. ditempelake UnboundIdContainer ndhaptar kredensial administrator dikenal minangka standar lan ngrungokake ing kabeh antarmuka jaringan. Nalika komponen diaktifake lan port bisa digayuh, panyerang bisa maca utawa ngowahi data direktori; proyek sing umume ngenalake Spring Security ora bakal mbukak LDAP kanthi otomatis. S27

Wilayah sing kena pengaruh:

cabang	kena pengaruh	Saluran fix / akuisisi pisanan
7.1	7.1.0	7.1.1 OSS; uga komersial 7.1.0.1
7.0	7.0.0—7.0.6	7.0.7 OSS; uga komersial 7.0.6.1
6.5 / 6.4	6.5.0—6.5.11；6.4.0—6.4.18	6.5.12/6.4.19, komersial
5.8 / 5.7	5.8.0—5.8.27；5.7.0—5.7.25	5.8.28/5.7.26, komersial

Sumber: S27. Ngatasi masalah konfigurasi otomatis spring.ldap.embedded.* lan kode instantiation langsung; nutup komponen nalika ora perlu kanggo produksi, lan mriksa alamat ngrungokake nyata. Nalika bisnis pancene mbutuhake, matesi sumber telpon dhisik banjur ngrampungake upgrade komponen.

Masalah otentikasi sing gegandhengan: CVE-2026-47841 ( High ). WebAuthn Otentikasi pangguna disetel kanggo REQUIRED , lan sawise HTTP sesi wis serialized dening panyimpenan mbagekke, salah comparison identitas obyek bisa invalidate syarat otentikasi. Serangan kasebut uga mbutuhake panyerang duwe piranti otentikasi pangguna, dudu login remot tanpa sewenang-wenang tanpa piranti. Kanggo versi kena pengaruh cocog saka 7.1 , 7.0 , 6.5 , lan 6.4 , baseline patch konsisten karo cabang kasebut ing tabel ndhuwur; verifikasi kudu nutupi sesi silang-node lan isih mbutuhake verifikasi PIN/biometrik. S28

5. Ekosistem Python: juru basa, perpustakaan standar, kerangka lan sertifikat

5.1 CVE-2026-19445: SSLContext UAF ing panggilan balik SNI

Tanggal terbit: 30-09-2026; Tingkat PSF: Critical. Ing server Python TLS, sni_callback ngalih sambungan menyang SSLContext liyane, lan nalika konteks asli ora ana referensi liyane, Klien TLS bisa nabrak layanan utawa nelpon pointer ing obyek sing dirilis. S29

Inti yaiku obyek Python ora konsisten karo siklus urip callback TLS sing ndasari. Konteks asli wis dirilis, lan lapisan ndasari isih bisa nahan negara dibutuhake kanggo callback; patch native interpreter kudu digunakake kanggo ndandani siklus urip referensi. S47

Scope: Python kode sing mung tumindak minangka klien TLS ora kena pengaruh item iki; mode normal soket ngrungokake nyekeli konteks asli kanggo dangu ora tiba ing path Gagal tartamtu diterangake ing woro-woro. Sawise Nginx mungkasi TLS, mung nyerahake HTTP lokal menyang Python, lan Python langsung nangani SNI dhewe, yaiku permukaan serangan sing beda. S29

Cocog karo versi tetep 3.10—3.14, deleng bagean 2.3. Versi resmi 3.15 wis didandani, lan 3.15.1 bisa dipilih. Mung nganyari katergantungan pip ora bisa ngganti implementasine _ssl juru basa. S33 S35 S47

Resmi mitigasi sementara: nyimpen referensi sing kuat kanggo kabeh SSLContext sing wis nyetel SNI callback nganti pungkasan siklus urip server. Iki perlu kanggo nutupi nggawe dinamis nyata lan ngoper path; mbangun OpenSSL 1.1.1 adat uga kudu mriksa kahanan renegotiation magepokan karo cathetan masalah resmi lan menehi prioritas kanggo ngrampungake nganyari. S29 S47

5.2 CVE-2026-19553: Gendéra jeneng host diuripake, nanging jeneng host ora ana nalika nelpon

Tanggal umum: 2026-09-30; High. NalikaSSLContext.check_hostname=True, yen wrap_bio() ora liwati ing server_hostname, implementasine asli bisa kanthi meneng ora ngliwati verifikasi jeneng host. Verifikasi rantai sertifikat sing sukses ora ateges jeneng domain target uga wis dicocogake. S30

Remediasi mbutuhake loro langkah:

Instal rilis keamanan juru sing kadhaptar ing bagean 2.3.
Priksa jalur wrap_bio(), asyncio.create_connection() / loop.start_tls() sing gegandhengan, kanthi jelas ngliwati jeneng host sing dikarepake lan ora kosong, lan tetep verifikasi sertifikat diuripake. S30

**Beda kompatibilitas sing ora bisa diilangi:**3.10, 3.11, 3.12 kanggo kompatibilitas, mung DeprecationWarning sing ditanggepi kanggo sawetara kasus sing ora ana jeneng host; 3.13 lan mengko mundhakaken ValueError. 3.12 backport uga cetha mbedakake None saka strings kosong: bebaya anyar ditambahake kanggo None, lan kesalahan isih kacarita kanggo strings kosong. Mulane, pangguna-cabang kurang ora bisa nganggep yen verifikasi jeneng domain sing asline ilang wis dibalèkaké kanthi otomatis mung kanthi nganyarke. S31 S33

Ing lingkungan tes, gunakake sertifikat rantai sing dipercaya kanthi jeneng host sing ora cocog lan konfirmasi manawa klien TLS aplikasi nyata nolak. Mung maca nilai check_hostname Boolean ora dadi acceptance lengkap.

5.3 CVE-2026-82049: Link kombinasi bypass ing filter tarfile

Tanggal umum: 2026-09-14; High. Ing CPython 3.13 lan implementasine sing gegandhengan sadurungé, kombinasi pranala hard lan pranala simbolis ing tar sing ora dipercaya bisa ngliwati panyaring data / tar ing njaba ekstraksi direktori. unpacking wit, utawa ngowahi ijin lan wektu modifikasi. S32

Dampak sing dikonfirmasi saka kerentanan iki kalebu eksposur isi file lan modifikasi metadata; dampak iki mung ora cukup kanggo nduduhake nimpa kasepakatan isi file external utawa implementasine tanpa syarat RCE.

Kanggo garis dasar patch sing cocog saka 3.10 — 3.13 , ndeleng Bagean 2.3. Python 3.14 wis exempted saka masalah khusus iki amarga os.link() owah-owahan prilaku wiwit 3.14.0b1 , supaya orane katrangan kena pengaruh saka 3.10 — 3.13 cabang ndhuwur ora aplikasi. S33

Tindakan sementara lan jero: nundha ekstraksi otomatis arsip sing ora dipercaya; nggunakake proses buruh kurang hak istimewa lan direktori eksklusif anyar nalika bisnis kudu diproses, nolak pranala simbolis, pranala hard lan entri piranti dening bisnis, lan matesi jumlah file lan sumber daya dekompresi. Iki minangka rekomendasi panyebaran.

filter="data" luwih cocok kanggo arsip untrusted umum saka strategi dateng lengkap, nanging Filter dhewe ing versi lawas uga wis kerentanan iki, lan nambah parameter iki piyambak ora bisa ngganti nganyari. Filter kasebut uga dudu kothak wedhi sistem file lengkap. S32 S45

5.4 Risiko tambahan: CVE-2026-114583 (Medium) lan status rilis patch

PSF dibeberke ing 2026-10-22 yen pangolahan tarfile.tar_filter saka jeneng link tartamtu bisa dilewati, ngidini anggota sabanjure nulis ing njaba direktori unpacking, kanthi tingkat Medium. Perbaikan resmi PR digabungake ing dina iku; wiwit 23 Oktober 2026, ora ana rilis pangopènan resmi sing ngemot komitmen iki sing dikonfirmasi. S40

Mulane:

Item iki didhaptar kanthi kapisah minangka Medium.
Versi interpreter sing dirilis tanggal 21 Oktober ora bisa dianggep kalebu fix iki.
Proses sing isih nggunakake filter="tar" kanggo nangani arsip sing ora dipercaya kudu nglacak backport rilis; ngisolasi utawa nundha jalur pangolahan iki kanggo wektu sing cendhak. Nalika ngalih menyang data lan nolak pranala, sampeyan uga kudu konfirmasi sing meets syarat bisnis, lan ngganti Filter ora bisa diterangake minangka kothak wedhi unconditional.

5.5 GeoDjango: CVE-2026-15307 lan perbaikan sabanjure ing Oktober

2026-08-04, Django resmi High. pitakon spasial kanthi implisit ngirim string/kamus tartamtu menyang GDALRaster, lan driver bisa nulis file utawa miwiti jaringan; RCE bisa kawangun nalika ana dalan tartamtu lan kahanan eksekusi sakteruse. Staf sing duwe ijin ndeleng model lapangan spasial uga bisa ngakses dalan iki liwat dhaptar pangowahan admin. S38

Ndandani wiwitan yaiku 5.2.17 / 6.0.8, sing mbatesi jinis input sing ditampa dening panelusur spasial. Owah-owahan iki bisa mengaruhi bisnis asli nggunakake string / kamus kanggo nyebut raster; mung mbungkus input sing ora dipercaya menyang GDALRaster ora ateges verifikasi. S38

Tanggal 6 Oktober, CVE-2026-87890 (Moderat) didandani: VRT sing ditulis ing bita bisa ngrujuk sumber daya eksternal lan isih bisa nyebabake panjaluk jaringan; ing dina sing padha, proteksi geometri DoS saka CVE-2026-15830 uga dikuwatake. Loro sing terakhir ora bisa diupgrade kanggo njlèntrèhaké RCE anyar sing berisiko tinggi, nanging nuduhake yen garis dasar penyebaran kudu 5.2.18 / 6.0.9 / 6.1.2. S39

Implementasine mriksa loro titik entri API lan antarmuka administrasi, mbatesi pencarian spasial sing ora dipercaya, ijin nulis file lan akses metu; sawise nganyari, regresi-test pitakon spasial sing bener lan nolak input sing dilarang. Aplikasi Django biasa sing ora nggunakake GeoDjango ora kudu langsung ngetrapake kesimpulan RCE iki.

5.6 certifi / pip: Kepercayaan sertifikat kudu nutupi saben salinan

GHSA-6q48-6c7w-9gw2 , 2026-10-20, Critical , dikenal CVE ora kadhaptar. Iki minangka nganyari ora percaya sertifikat sing disebabake dening eMudhra penengah CA kedadeyan. Ora bisa diringkes minangka mekanisme kriptografi HTTPS utawa kabeh sertifikat root wis retak. S36

Advisory certifi asline kadhaptar 2026.10.18 minangka tembelan; PSF mengko kanthi tegas menehi saran 2026.10.19 kanggo njaga kompatibilitas karo sertifikat root sing ora kena pengaruh. Baseline operasi yaiku .19. S36 S37

Perlu mbedakake:

Lokasi materi dipercaya	Apa sampeyan kudu mriksa kanthi kapisah
Paket sistem operasi CA	Materi kepercayaan sistem kanggo gambar utawa host
certifi ing venv	CA bundle bener digunakake dening aplikasi utawa Panjaluk etc.
pip dibangun ing certifi	Iku salinan beda saka externally diinstal certifi
uv / Piranti kemasan liyane	Tindakake nganyari alat lan sumber sing dipercaya
File CA sing disesuaikan, jepretan sing dirangkep	Bisa uga terus ngganti sumber dipercaya standar kanggo sistem utawa paket

Ing ndhuwur minangka dhaptar mriksa adhedhasar lokasi kemasan sing beda. PSF mbutuhake nganyari piranti sing gegandhengan, lingkungan virtual sing ana lan mbangun maneh gambar; mung nganyari host CA utawa nginstal maneh interpreter ora bisa mbuktekaken sing kabeh salinan wis dianyari. S35 S37

Nalika nganyarke saka pip bootstrap aman lawas, menehi PSF printah kanggo fixed wheel lan SHA-256, ndeleng lampiran S37. Aja mateni verifikasi TLS utawa tambahake --trusted-host kanggo ngatasi masalah sertifikat.

6. Proses remediasi formal

Printah ing ngisor iki kanggo lingkungan dipercaya sing dikonfirmasi. Nalika nglakokake, manajer paket sing ana, file kunci lan proses penyebaran proyek kudu digabungake supaya ora nyampur npm / pnpm / benang utawa pip / uv / Puisi kanggo ngasilake file kunci sing bertentangan.

Ngalahake pangecualian dhisik: Yen sampeyan ngira yen lingkungan wis mbukak paket kompromi ing Bagean 9, isolasi dhisik lan priksa disk, kunci file lan rekaman gambar saka lingkungan sing resik; aja mbukak printah Python/pip ing ngisor iki dhisik. S41

6.1 Nggawe ledger sing bisa cocog karo lalu lintas nyata

Saben layanan nyathet paling ora:

Titik entri eksternal, proxy reverse, jalur sambungan langsung menyang situs asal, lan antrian latar mburi / tugas sing dijadwalake.
Printah wiwitan nyata, akun mlaku, path binar, proses utawa identitas wadhah.
Runtime versi lengkap, penerbit/repositori, paket versi lengkap, utawa gambar digest.
Kerangka kerja lan dependensi transitif, file kunci, perpustakaan asli, lan jalur toko kepercayaan.
Cocog karo kahanan kerentanan, target tembelan, ruang lingkup maneh, wong sing tanggung jawab lan asil verifikasi.

Mesin pangembangan, pelari CI, mbangun wadhah, lan tugas latar mburi uga kudu dicenthang miturut dalan menyang konten sing ora dipercaya; aja mung nganyari wadhah web sing diadhepi umum.

6.2 Node.js: Nemtokake runtime dhisik, banjur nganyari dependensi aplikasi

Priksa ing lingkungan layanan nyata:

node -p 'JSON.stringify({execPath:process.execPath,node:process.version,openssl:process.versions.openssl,brotli:process.versions.brotli},null,2)'
npm ls next react react-dom react-server-dom-webpack react-server-dom-parcel react-server-dom-turbopack sharp --all
npm audit --omit=dev

node -p kudu dileksanakake nggunakake eksekusi nyata layanan utawa ing wadhah nyata; iku mriksa pangolahan mentas dibukak lan ora dhewe mbuktekaken sing buruh lawas wis diganti. Node bisa nambah tembelan kanggo dibangun ing Brotli nalika nahan string versi perpustakaan asli. Mulane, aja ngandelake process.versions.brotli mung kanggo nemtokake manawa wis didandani. Sampeyan kudu gabungke karo versi keamanan Node utawa bukti backport vendor. S2 S4

npm ls digunakake kanggo ndeleng wit dependensi sing nyata; paket ilang utawa konflik peer uga bisa gawé non-nol kode metu, supaya sampeyan kudu maca output tartamtu. npm audit digunakake minangka bantuan mriksa dependensi lan ora bisa ngganti Node mriksa perpustakaan binar lan native.

Gunakake mise kanggo ngatur lingkungan Node 24, sing bisa dianyari kaya ing ngisor iki:

mise use -g [email protected]
mise exec [email protected] -- node -p 'process.version + " " + process.execPath'

mise use -g ngatur versi global; konfigurasi lokal project isih kudu dicenthang dhewe. Yen layanan wis mbenerake path absolut lawas, gambar dhasar wadah, utawa lingkungan akun liyane, konfigurasi sing cocog kudu dianyari lan layanan kudu diwiwiti maneh. Printah dhewe ora ngganti proses mlaku lawas. S43

Ing proyek Next, nglakokake printah sing cocog miturut cabang sing dipilih. Kanggo Next 15:

# Next 15 分支
npm install --save-exact [email protected]

Kanggo Next 16:

# Next 16 分支
npm install --save-exact [email protected]

Priksa dependensi kompatibel React/RSC, file kunci lan conto cetha pungkasan, banjur mbangun miturut proses project. Gunakake file kunci dianyari ing CI kanggo instalasi reproducible, lan mriksa versi ing gambar mlaku sawise bangunan. Aja nggunakake ndandani otomatis sing ora bisa dikontrol ing versi utama minangka solusi gawan kanggo darurat iki.

6.3 Java: Verifikasi penerbit, JVM aktual lan komponen sing dipasang

Persediaan awal:

java -XshowSettings:properties -version

java.home, java.runtime.version lan penerbit ing output kudu didadekake siji karo JVM sing bener digunakake dening layanan kasebut. Kanggo JVM kanthi ijin lampiran, jcmd saka JDK bisa digunakake kanggo mriksa proses target, ora mung cangkang login.

Priksa dependensi ing proyek sing dipercaya lan pilih adhedhasar alat mbangun sing nyata:

./mvnw dependency:tree '-Dincludes=org.apache.tomcat.embed:*,org.springframework.security:*,org.springframework.graphql:*'

./gradlew dependencyInsight --dependency tomcat-embed-core --configuration runtimeClasspath
./gradlew dependencyInsight --dependency spring-security-core --configuration runtimeClasspath
./gradlew dependencyInsight --dependency spring-graphql --configuration runtimeClasspath

Prentah mbangun iki bisa nglakokake plug-in lan mutusake masalah dependensi kanthi online, lan mung mlaku ing proyek sing dipercaya. Priksa JAR final / WAR utawa JAR nyata ing gambar lan aja ngganti deklarasi file mbangun kanggo artefak final. Spring Boot ditempelake Tomcat mbutuhake mbangun maneh aplikasi; nganyari instalasi Tomcat kapisah ing sistem ora bakal ngowahi salinan ing paket aplikasi.

Sawise runtime dianyari, mriksa selaras javax.net.ssl.trustStore, aplikasi-dimuat dhewe KeyStore, jlink runtime, GraalVM / gambar native lan kiriman liyane wangun item dening item. Aplikasi sing wis duwe bahan kapercayan khusus ora bisa mungkasi mriksa mung amarga direktori JDK dadi anyar.

6.4 Python: Interpreter-by-interpreter lan pangolahan lingkungan virtual

Ing venv / wadhah nyata sing dikonfirmasi bisa dipercaya:

python - <<'PY'
import sys
import ssl
import importlib.metadata as metadata

print("executable:", sys.executable)
print("version:", sys.version)
print("openssl:", ssl.OPENSSL_VERSION)
print("verify_paths:", ssl.get_default_verify_paths())
for name in ("pip", "certifi", "Django", "urllib3", "Brotli", "litellm"):
    try:
        print(name + ":", metadata.version(name))
    except metadata.PackageNotFoundError:
        print(name + ": not installed")
PY

python -m pip --version
python -m pip check

Skrip iki mung ngumpulake informasi lan ora nindakake penentuan kualifikasi versi. ssl.get_default_verify_paths() minangka informasi path standar lan ora bisa mbuktekake manawa kabeh klien pihak katelu nggunakake toko kepercayaan sing padha; kudu dikonfirmasi adhedhasar konfigurasi aplikasi.

Sawise ngrampungake upgrade boot pip sing dipercaya saka lampiran S37, nganyari dependensi sertifikat miturut watesan proyek, contone:

python -m pip install --upgrade 'certifi>=2026.10.19'

# 仅适用于当前就选择 Django 5.2 的项目
python -m pip install --upgrade 'Django>=5.2.18,<5.3'

python -m pip check

Persyaratan proyek/file kunci kudu dianyari bebarengan, yen ora, penyebaran sabanjure bisa bali menyang versi lawas. Nalika nggunakake uv, Puisi, utawa gudang paket perusahaan, gunakake proses ngunci lan nerbitake sing wis ana; aja ngowahi paket kanthi manual mung ing wadhah produksi.

Alur kerja pip-audit proyek sing wis ana bisa digunakake kanggo mriksa kerentanan ketergantungan sing dikenal ing lingkungan sing dipercaya; iku ora scanner kode angkoro lan ora nutupi kabeh interpreter, perpustakaan sistem lan resiko nyimpen dateng. S44

Ora dianjurake kanggo meksa sistem kasebut /usr/bin/python3 kanggo nuduhake versi kompilasi anyar. Gunakake nganyari keamanan rilis utawa wektu isolasi proyek supaya ora rusak alat manajemen sing gumantung ing sistem Python . Iki minangka pilihan implementasine lan dudu syarat perbaikan tambahan kanggo kerentanan iki.

6.5 Mbangun maneh lan ngganti conto mlaku

Disaranake supaya langkah-langkah ing ngisor iki ditindakake minangka owah-owahan lengkap:

Entuk tembelan saka sumber asli sing dipercaya lan simpen versi / hash lan kunci dependensi.
Wangsulake fungsi tombol ing lingkungan sing cedhak karo produksi lan konfirmasi manawa ekstensi asli kompatibel karo JVM/framework.
Nganyari runtime, dependensi aplikasi lan toko kapercayan sing nyata; refresh gambar dhasar lan sistem CA kanggo wadhah, ora mung nganggo maneh lapisan lawas.
Mbangun maneh aplikasi lan gambar, lan ngganti layanan, buruh, konsumen antrian, lan kedadean tugas dijadwal ing basis Rolling.
Priksa maneh versi lan konfigurasi ing conto mlaku anyar lan konfirmasi yen kabeh salinan lawas wis metu.
Mirsani tingkat kesalahan, latensi, CPU/memori, gagal jabat tangan TLS, lan proses kacilakan.

Rollback kudu menehi prioritas kanggo njaga runtime aman lan dependensi patch, lan muter maneh konfigurasi aplikasi utawa owah-owahan bisnis. Yen sampeyan kudu bali menyang produk lawas kanthi kerentanan, watesan entri sing cocog kudu dibalekake bebarengan, lan wong sing tanggung jawab lan wektu pemulihan minimal kudu ditetepake kanthi jelas.

7. Mitigasi sementara lan Pamilihan Patch

7.1 Watesan jangkoan langkah-langkah sementara

Ing ngisor iki minangka saran implementasine adhedhasar kahanan panggunaan sing diumumake. Kajaba rencana resmi kacathet, vendor ora njamin yen kabeh varian bisa diblokir kanthi lengkap.

resiko	Langkah-langkah sementara sing bisa ditindakake	Bagian sing ora bisa dianggep rampung adhedhasar iki
Brotli dekoding	Mungkasi dekoding input sing ora dipercaya; mriksa dekompresi otomatis mlebu lan metu	WAF mlebu utawa mateni kompresi respon ora nutupi kabeh entri dekoding S3
Next.js typed arrays RCE	Nganyarke langsung; sementara ngisolasi layanan sing kena pengaruh yen perlu	Ora ana solusi universal sing dipercaya resmi S9
Next.js SVG RCE	Rencana resmi: Priksa manawa cetha ≥0.35.5; nundha titik entri optimasi sing cocog nalika ijin bisnis	Ora nutupi masalah Next/RSC liyane S11
Tomcat Realm / HTTP/2 / AJP	Isolasi dalan sing cocog lan nutup konektor sing ora perlu	Isih butuh paket perbaikan cabang sing cocog S21 S22 S23
GraphQL Deserialisasi	Nundha kolom Sambungan sing kena pengaruh; matesi telpon sing ora dipercaya	Mung panjalukan watesan dawa ora bisa ndandani jinis / masalah deserialization S25
Spring embedded LDAP	Pateni nalika ora perlu; matesi tekan port ngrungokake nyata	Identitas administratif standar lan integritas direktori isih kudu dicenthang S27
CPython SNI UAF	Rencana resmi: Tansah referensi SSLContext sing relevan nganti pungkasan layanan	Kabeh nggawe / ngalih path kudu dijamin S29
Python jeneng host skip	Solusi resmi: Pass server_hostname sing dikarepake kanthi bener	Ora bisa mung mriksa check_hostname flag utawa nglirwakake bebaya S30 S31
Tar sing ora bisa dipercaya	Pateni ekstraksi/karantina, nolak tautan sing ora penting lan entri piranti	Filter utawa kuota sumber daya dudu kothak wedhi universal S32 S40 S45
Acara amanah sertifikat	Nganyari materi CA sing bener; Kepercayaan Java bisa diwatesi miturut mitigasi resmi	Mateni verifikasi TLS nambah risiko S19 S37

7.2 Pilih tembelan adhedhasar cara pangiriman

Cara pangiriman	Prioritasake cara ndandani	Bukti sing kudu disimpen
Distribusi-ngatur runtime	Nganyari keamanan sing cocog karo Produsen	Versi paket lengkap, pengumuman, sumber repositori
Manajer Binary / Runtime Resmi	Rilis keamanan resmi saka cabang sing padha	Versi, sumber lan digest, path eksekusi nyata
Disusun dhewe Node / CPython	Rilis sumber resmi cabang sing cocog utawa set tembelan lengkap vendor	Nggawe set, mbangun paramèter, perpustakaan gumantung lan asil regresi
Spring / Next / Django	Kompatibel karo nganyari ing-cabang, mbangun maneh kunci dependensi lan aplikasi pungkasan	Wit dependensi pungkasan, versi nyata ing JAR/package/image
Toko kapercayan khusus	Rencana mundur resmi utawa nganyari vendor sing konfirmasi mundur	Path panggunaan nyata, owah-owahan materi, sukses TLS lan tes penolakan
A lingkungan kompromi	Mbangun maneh saka produk sing resik lan bisa dipercaya lan nindakake investigasi kedadeyan sing kapisah	Paket historis/gambar cerna, rekaman instalasi, rekaman rotasi kredensial

7.3 Mekanisme patch tombol lan fokus review

Brotli: nggatekake manawa mriksa wates lan kesalahan bali status dekoding asli wis rampung sadurunge mlebu bangunan; mung ngganti paket JavaScript ora bisa ngganti kode statis kompilasi menyang Node. S4
Node DNS / TLS : fokus ing penolakan input, normalisasi alamat, bedane antarane IP SAN lan DNS identitas, lan DNS callback / Janji path parsing lan TLS test cocog jeneng host. S5 S6
Tomcat JNDIRealm: fokus ing apa proses otentikasi bener verifikasi kredensial, tinimbang mung njupuk konteks direktori; prioritizing versi resmi lan ora nambani panggantos file sumber siji minangka tembelan binar lengkap. S24
CPython ssl: fokus ing kepemilikan referensi Python lan siklus urip saka SSLContext; wrap_bio() backports nalika duwe beda kompatibilitas cabang, lan sampeyan kudu maca implementasine nyata saka cabang digunakake. S31 S47
Sertifikat ora percaya: Nganyari kasebut bisa uga katon minangka materi sing dipercaya utawa nolak owah-owahan dhaptar tinimbang owah-owahan API sing jelas. Kumpulan Node sing padha uga kalebu mekanisme penolakan saka CA perantara sing kena pengaruh; sumber kapercayan Java lan Python isih kudu diverifikasi kanthi kapisah. S19 S37 S46

Mandhiri Brotli naleni uga kudu dipriksa. Google upstream dirilis 1.0.10 / 1.1.1 / 1.2.1 ing dina sing padha kanggo ndandani CVE-2026-111497 . Python ekstensi asli utawa artefak JNI sing ngemot implementasi C sing padha kena pengaruh kudu dianyari / dibangun maneh kanthi mandiri; ora bisa disimpulake yen kabeh murni Java decoder kena pengaruh, utawa ora bisa dianggep sing nganyarke Node otomatis ngganti salinan ing basa liyane. S42

8. Verifikasi lan mriksa tindak lanjut

8.1 Daftar mriksa verifikasi minimal

Priksa item	Bukti dibutuhake
runtime	Versi lengkap utawa vendor backport bukti bener ing proses nyata / wadhah
dependensi aplikasi	Next/RSC/sharp, Tomcat/Spring, lan Django/certifi ing produk panyebaran pungkasan wis tekan ambang sing cocog
Range panggantos	Kabeh buruh / JVM / salinan wadhah lan tugas latar mburi wis diganti karo anyar, lan kedadean lawas wis metu.
TLS	Sertifikat domain sing sah sukses; jeneng host sing ora cocog lan ranté sing ora sah gagal miturut kabijakan; toko dateng adat kalebu
eMudhra ora percaya	Rantai sertifikat sing dibangun dening CA penengah sing kena pengaruh ditolak sajrone runtime nyata, utawa ana bukti manawa keamanan vendor tartamtu / dhaptar larangan sing cocog wis disebarake; cilik ora bisa ditutup adhedhasar test TLS umum utawa nomer versi singkat Java 8.
Node dekoding lan gambar	Tanggepan kompres normal, unggahan, optimasi gambar lan fungsi RSC kasedhiya; kabijakan sumber sing ora dipercaya ditrapake
Java Authentication lan Isolasi	Sandi salah ditolak; panjalukan bedo bebarengan pangguna independen tanpa campuran identitas / respon; LDAP ngrungokake kaya samesthine
Python SNI / Arsip	Bisnis multi-domain normal TLS stabil; arsip nolak path traversal lan ora diijini pranala, lan file njaba direktori ora diowahi
Regresi data lan fungsional	Paging, pitakon spasial, mriksa ijin lan tugas latar mburi lulus tes proyek sing wis ana
Sumber Daya lan Observasi	Ora ana paningkatan ora normal ing CPU, memori, tingkat kesalahan, latensi lan kesalahan TLS.
Ketertelusuran	Ngirit wektu upgrade, cerna paket/gambar, owah-owahan konfigurasi, asil verifikasi lan item sing durung rampung

Iki minangka rekomendasi panriman implementasine lan ora mbutuhake skrip serangan kanggo saben CVE. Verifikasi sing nglibatake kacilakan, kekeselen sumber daya, lan arsip sing metu saka wates kudu nggunakake tes regresi hulu utawa data tes sing dikontrol proyek ing lingkungan sing terisolasi.

8.2 Patching lan investigasi intrusi minangka tugas sing beda

Priksa log sing ana kanggo kesalahan dekoding sing ora biasa, kacilakan pekerja / JVM, panulisan file sing curiga, owah-owahan data direktori, pangecualian otentikasi, panjalukan metu, lan cathetan panggunaan kredensial. Tandha-tandha iki kudu diadili miturut konteks: kacilakan utawa OOM dudu bukti eksploitasi sing sukses; anané tandha ora mbuktekaken sing sistem iki ora kena pengaruh.

Nalika modifikasi sing ora sah, kredensial sing dikompromi, utawa dependensi ala sing dikonfirmasi ditemokake, bukti kudu dilestarekake, kedadeyan sing relevan diisolasi, kredensial sing kena pengaruh diputer saka lingkungan sing dipercaya, lan sistem dibangun maneh. Patch ora bakal mbatalake token sing wis dipikolehi dening panyerang utawa mulihake data sing wis diowahi.

9. kedadean keamanan chain sumber: LiteLLM 1.107.0 kompromi

**Tanggal konfirmasi resmi: 2026-10-21.**LiteLLM nglaporake manawa pipa rilis kasebut dikompromi. litellm PyPI == 1.107.0 lan sawetara produk Docker / GHCR ing wektu sing padha ngemot kode nyolong rahasia lan remot kontrol, lan produk sing gegandhengan wis ditarik. S41

Kanggo nemtokake impact, sampeyan kudu mriksa cathetan instalasi sajarah lan gambar Digest; label kayata latest, main-latest, lan main-stable saiki nuduhake gambar sing resik, sing ora mbuktekake manawa produk sing ditarik nalika kedadeyan kasebut resik. Rekomendasi resmi ing wektu iku kanggo sementara pin 1.106.2; rekomendasi iki adhedhasar kedadean iki, lan woro-woro keamanan liyane isih kudu dicenthang sak penyebaran prajurit. S41

Kanggo lingkungan sing produk sing gegandhengan wis diinstal utawa mbukak:

Isolasi lan simpen cathetan instalasi, gambar, lan log, lan priksa saka lingkungan sing resik.
Aja miwiti Python/pip ing lingkungan sing curiga dhisik; .pth / sitecustomize.py angkoro bisa dileksanakake maneh sawise wiwitan.
Mbangun maneh host, venvs / wadhah saka sumber dipercaya; ora bisa mung instal utawa downgrade paket.
Cabut/puterake kredensial maya, kunci panyedhiya LLM, kunci LiteLLM lan kredensial basis data adhedhasar aksesibilitas nyata lan mriksa panggunaan ora normal. S41

Iki minangka kedadeyan rantai pasokan sing dikonfirmasi lan mbutuhake nimbang eksekusi kode ala, kebocoran kredensial, lan risiko terus-terusan nalika ngatasi. Ing tanggal 23 Oktober 2026, pejabat isih nyelidiki intrusi awal.

Lampiran: Sumber lan pranala sing dikutip

Tanggal verifikasi sumber ing ngisor iki yaiku 2026-10-23, kalebu pengumuman keamanan resmi proyek, gudang kode resmi lan instruksi vendor. Teks utama [Sx] cocog karo lampiran iki; nalika nindakake nganyari, sampeyan kudu mriksa apa supplier wis dirilis revisi sakteruse.

S1 — Node.js: 2026-10-21 Kabar Keamanan

Tujuan: Four runtimes High, mengaruhi cabang, release keamanan Oktober.
Rujukan: Official Security Bulletin

S2 — Node.js: Pandhuan rilis resmi kanggo telung garis pangopènan

Tujuan: Priksa 22.23.4, 24.22.1, 26.12.1 lan patch gabungan sing nyata.
Rujukan: Node.js 22.23.4
Rujukan: Node.js 24.22.1
Rujukan: Node.js 26.12.1

S3 — Vercel: Node.js Brotli RCE pitutur keamanan

Tujuan: Kondisi dekoding mlebu / metu, wates jangkoan WAF, status Node 20.
Rujukan: Node.js security advisory: Brotli decoder RCE

S4 — Node.js: Brotli kiriman patch resmi

Tujuan: Dasar implementasine kanggo mriksa dekoding asli lan panyebaran kesalahan.
Rujukan: Brotli Patch commit 49dff6f57a

S5 — Node.js: TLS patch normalisasi alamat

Tujuan: Verifikasi identitas sertifikat saka nomer jembar lengkap lan IP non-standar.
Rujukan: IP normalization regression Patch
Rujukan: rejects the patching of non-standard IP address

S6 — Node.js: patch verifikasi DNS NUL

Tujuan: Penolakan input lan jangkoan regresi.
Rujukan: dns.resolve Input verification patch

S7 — Node.js: 2026-07-29 Kabar Keamanan

Tujuan: HTTP/2 kesel memori, UAF lan kerentanan model ijin.
Rujukan: July 2026 Security Releases

S8 — Next.js: 2026-10-14 nganyari keamanan

Tujuan: Nyawiji garis dasar upgrade lan telung risiko utama.
Rujukan: Next.js Security Update for Upstream Vulnerabilities

Rujukan: S9 — Next.js：typed arrays / use cache RCE

Tujuan: GHSA-673q-mjm6-r5xr; mengaruhi interval, kondisi, skor lan status workaround.
Rujukan: Next.js Official Security Bulletin

Rujukan: S10 — React：React Server Components RCE

Tujuan: GHSA-xqc2-xf4c-x3h3; versi kena pengaruh lan tetep saka telung paket RSC.
Rujukan: React Official Security Bulletin

Rujukan: S11 — Next.js：SVG Image Optimization RCE

Tujuan: CVE-2026-96889 / GHSA-2464-fhr4-w9xw; glibc, wates versi cetha lan asli.
Rujukan: SVG Image Optimization Official Security Bulletin

Rujukan: S12 — Next.js：Server Actions DoS

Tujuan: GHSA-p3m5-59mp-jv5r; mengaruhi kahanan, versi lan ratings.
Rujukan: Server Actions DoS Official Security Bulletin

S13 — Next.js: AVIF Optimization gambar RCE

Tujuan: 2026-08-25, GHSA-2xp9-vwfh-vxw4.
Rujukan: AVIF Official Security Bulletin

Rujukan: S14 — Next.js：Windows RCE

Tujuan: 2026-08-25, CVE-2026-75604 / GHSA-p293-qw3h-jr36.
Rujukan: Windows RCE Official Security Bulletin

Rujukan: S15 — Next.js：next/og ImageResponse RCE

Tujuan: 2026-09-22, GHSA-vcvr-r3jv-pc5j; Bedane antarane Node lan Edge.
Rujukan: ImageResponse Official Security Bulletin
Rujukan: September 22 release notes

Rujukan: S16 — Oracle: October 2026 CPU

Tujuan: Java SE matriks risiko, jumlah tembelan lan kahanan sing ditrapake.
Rujukan: Oracle Critical Patch Update – October 2026
Rujukan: Oracle Java SE CPU Version list

S17 — Oracle: CVE-2026-91403 weker out-of-band

Tujuan: 2026-10-21, risiko kapercayan sertifikat JSSE, produk sing kena pengaruh lan CVSS 3.1 9.1.
Rujukan: Oracle Security Alert

S18 — Oracle: JDK versi resmi lan download

Tujuan: Mbedakake antarane CPU tanggal 20 Oktober lan versi out-of-band tanggal 21 Oktober; mbedakake watesan saka versi singkat Java 8.
Rujukan: JDK release list
Rujukan: Oracle Java Download page

S19 — Oracle: eMudhra rencana penarikan sementara

Tujuan: Dianyari 2026-10-22; rong sertifikat root, keytool, truststore khusus, lan mriksa panjabutan.
Rujukan: Distrusting eMudhra Intermediate Certificates in Oracle JDK

S20 — Eclipse Adoptium: Rilis rekaman mbangun

Tujuan: Temurin dikemas ulang amarga kedadeyan sertifikat; sufiks versi Oracle ora bisa ditrapake sacara mekanis.
Rujukan: Adoptium Release Scorecards

S21 — Apache Tomcat 9 Kabar Keamanan

Tujuan: 9-cabang interval kena pengaruh pas karo 9.0.123 fix.
Rujukan: Tomcat 9 vulnerabilities

S22 — Apache Tomcat 10 Kabar Keamanan

Tujuan: interval presisi cabang 10.1 lan ndandani 10.1.61; 10.0 EOL.
Rujukan: Tomcat 10 vulnerabilities

S23 — Apache Tomcat 11 Kabar Keamanan

Tujuan: Telung item Important, 11.0.27, AJP orane katrangan sing ditrapake lan pambocoran / tanggal rilis.
Rujukan: Tomcat 11 vulnerabilities

S24 — Apache Tomcat: JNDIRealm komitmen patch

Tujuan: Dasar formal kanggo ndandani celah verifikasi sertifikasi.
Rujukan: JNDIRealm Patch commit

Rujukan: S25 — Spring：GraphQL CVE-2026-59285

Tujuan: 2026-08-20, Dibutuhake, 2.0.5 OSS / 2.0.4.1 Diposaken Komersial.
Rujukan: Spring for GraphQL Unsafe Deserialization

Rujukan: S26 — Spring：GraphQL CVE-2026-41699

Tujuan: Ambang sing luwih awal, mung kanggo nerangake kenapa sampeyan ora bisa tetep ing garis dasar lawas.
Rujukan: 6 Month GraphQL Security Bulletin

Rujukan: S27 — Spring Security：CVE-2026-59270

Tujuan: Embed UnboundID LDAP, dikenal identitas manajemen lan mbedakake OSS / versi komersial.
Rujukan: Spring embedded LDAP Security Bulletin

Rujukan: S28 — Spring Security：CVE-2026-47841

Tujuan: WebAuthn otentikasi pangguna, serialisasi sesi lan premis serangan.
Rujukan: WebAuthn Security Bulletin

S29 — PSF: CVE-2026-19445 Penasihat Keamanan Independen

Tujuan: 2026-09-30, Critical, SNI Kahanan lan langkah-langkah sementara sing dikutip dening SSLContext.
Rujukan: SSLContext UAF Official announcement

S30 — PSF: CVE-2026-19553 Penasihat Keamanan Independen

Tujuan: 2026-09-30, High, jeneng host sing ilang lan mitigasi parameter sing jelas.
Rujukan: wrap_bio Official announcement of hostname verification

S31 — CPython: wrap_bio patch resmi lan backport 3.12

Tujuan: 3.10—3.12 kabijakan kompatibilitas bebaya, prabédan antarane None lan senar kosong.
Rujukan: Main Patch PR #158503
Rujukan: 3.12 Backfill PR #158513
Rujukan: 3.15 Backfill PR #158511

S32 — PSF: CVE-2026-82049 Penasihat Keamanan Independen

Tujuan: 2026-09-14, High, kombinasi link, modifikasi metadata lan paparan konten.
Rujukan: tarfile link bypasses the official announcement

S33 — CPython: Rilis keamanan resmi ing pungkasan September/awal Oktober

Tujuan: Versi fix minimal, metode distribusi kode sumber lan pengecualian 3.14 kanggo masalah khusus tarfile.
Rujukan: Python Cross-branch security release instructions
Rujukan: Python 3.11.17
Rujukan: Python 3.12.15
Rujukan: Python 3.13.16
Rujukan: Python 3.14.8

S34 — CPython: 3.10 rilis aman pungkasan

Tujuan: 3.10.22 lan pungkasan siklus urip hulu.
Rujukan: Python 3.10.22

S35 — CPython: 2026-10-21 versi pangopènan darurat

Tujuan: 3.13.17 / 3.14.9 / 3.15.1, dibangun ing pip lan certifi nganyari, ana syarat venv.
Rujukan: Python 3.13.17
Rujukan: Python 3.14.9
Rujukan: Python 3.15.1

S36 — certifi: Pengumuman ora percaya sertifikat emSign

Tujuan: 2026-10-20, GHSA-6q48-6c7w-9gw2, Critical, ora dikenal CVE.
Rujukan: certifi Official Security Bulletin

S37 — PSF: Dampak eMudhra / emSign marang pangguna Python

Tujuan: Rekomendasi certifi .19, garis dasar pip/uv, printah upgrade boot dipercaya karo SHA-256.
Rujukan: PSF Official event and upgrade instructions

Printah upgrade boot pip diwenehake dening instruksi resmi sing dikutip dening S37 kaya ing ngisor iki. Mung digunakake ing lingkungan Python sing wis dikonfirmasi bisa dipercaya; yen ana anggepan keracunan ing Bagean 9, isolasi dhisik lan mbangun maneh miturut proses kedadeyan. Ndandani hash isi rodha lan banjur nganyari dependensi liyane miturut proses proyek.

python -m pip install "pip @ https://files.pythonhosted.org/packages/3f/06/3e4420302363fbb71be3c7f35ce042f54bfca330e3e66b3a2e3c4cca579f/pip-26.2.2-py3-none-any.whl#sha256=fd7f4dfa8190e014013b9f08f3e973f4e4c26ffd179a204895533a7254813a70"

S38 — Django: 2026-08-04 release aman

Panggunaan: CVE-2026-15307, GeoDjango Kahanan eksploitasi, koreksi awal lan owah-owahan kompatibilitas.
Rujukan: Django 6.0.8 / 5.2.17

S39 — Django: 2026-10-06 release aman

Tujuan: CVE-2026-87890, geometri DoS penguatan sakteruse karo garis dasar sing dipilih saiki.
Rujukan: Django 6.1.2 / 6.0.9 / 5.2.18

S40 — PSF / CPython: Cathetan sisih tar_filter paling anyar

Tujuan: 2026-10-22, CVE-2026-114583 (Medium); Panggabungan PR ora ateges versi pangopènan resmi wis dirilis.
Rujukan: PSF Independent Announcement
Rujukan: CPython Patch PR #160098

S41 — LiteLLM: Laporan Insiden Rantai Pasokan Resmi, 21 Oktober

Tujuan: 1.107.0 produk sing kontaminasi, pencernaan historis, rekonstruksi isolasi lan pembuangan kredensial.
Rujukan: Contained: LiteLLM v1.107.0 Compromised

S42 — Google Brotli: versi aman resmi

Tujuan: Brotli 1.0.10 / 1.1.1 / 1.2.1 independen lan basis verifikasi salinan sing dipasang ing lintas-basa.
Rujukan: Brotli releases

S43 — mise: nggunakake printah dokumentasi resmi

Tujuan: Nemtokake versi alat lan semantik perintah konfigurasi global.
Rujukan: mise use

S44 — PyPA: pip-proyek resmi audit

Tujuan: Python Tujuan lan wates kemampuan audit kerentanan dependensi.
Rujukan: pip-audit

S45 — Python: dokumen filter ekstraksi tarfile

Tujuan: strategi data, owah-owahan prilaku standar, lan watesan sing ora bisa ngganti kothak wedhi.
Rujukan: tarfile extraction filters

S46 — Node.js: Mekanisme penolakan CA penengah

Tujuan: Proses rantai kepercayaan sing gegandhengan karo eMudhra iki ora padha karo ora validasi kriptografi kabeh sertifikat root.
Rujukan: Node.js PR #66871

S47 — CPython: SNI UAF cathetan teknis lan ndandani

Tujuan: siklus urip referensi, kahanan mbangun khusus lan backtracking cabang.
Rujukan: official issue #156293
Rujukan: official patch PR #158504
Rujukan: 3.15 Backfill PR #158514