Node.js, Java និង Python៖ ភាពងាយរងគ្រោះថ្មីៗ និងការណែនាំអំពីដំណោះស្រាយ

Sources បានពិនិត្យគិតត្រឹមថ្ងៃទី 23 ខែតុលា ឆ្នាំ 2026 (UTC) រយៈពេលគ្របដណ្តប់៖ ថ្ងៃទី 25 ខែកក្កដា ដល់ថ្ងៃទី 23 ខែតុលា ឆ្នាំ 2026 ដោយផ្តោតលើការប្រកាសថ្មី និងបំណះជាបន្តបន្ទាប់ចាប់ពីខែកញ្ញាដល់ខែតុលា។ Audience: វិស្វករ និងអ្នកឆ្លើយតបផ្នែកសុវត្ថិភាព ដែលរក្សា Node.js, Java, Python សេវាកម្ម ធុង សាងសង់បំពង់បង្ហូរ និងបរិស្ថានអភិវឌ្ឍន៍។

អត្ថបទនេះសង្ខេបអំពីហានិភ័យសុវត្ថិភាពសំខាន់ៗថ្មីៗនៅក្នុង Node.js, Java, និង Python ពេលវេលាដំណើរការ បណ្ណាល័យស្តង់ដារ និងក្របខ័ណ្ឌម៉ាស៊ីនមេទូទៅ និងភាពអាស្រ័យ ហើយផ្តល់នូវវិសាលភាពផលប៉ះពាល់ កំណែថេរ វិធានការកាត់បន្ថយបណ្តោះអាសន្ន ការជ្រើសរើសបំណះ និងវិធីសាស្ត្រផ្ទៀងផ្ទាត់។

វាយតម្លៃផលប៉ះពាល់ប្រឆាំងនឹងកំណែសមាសភាគ មុខងារដែលបានបើក និងចំណុចចូលប្រើប្រាស់។ ការពិតនៃភាពងាយរងគ្រោះបានមកពីការប្រឹក្សាផ្លូវការ។ កាលបរិច្ឆេទសំដៅលើការបង្ហាញជាសាធារណៈ លុះត្រាតែមានការចេញផ្សាយបំណះមុនត្រូវបានកត់សម្គាល់យ៉ាងច្បាស់។ យើងមិនសន្និដ្ឋានលក្ខខណ្ឌនៃការកេងប្រវ័ញ្ចដែលមិនបានបញ្ជាក់ ពិន្ទុ CVSS ឬការកេងប្រវ័ញ្ចនៅក្នុងព្រៃនោះទេ។ ការណែនាំអំពីការដាក់ពង្រាយត្រូវបានកំណត់ថាជាការណែនាំអំពីការអនុវត្ត។

TL;DR៖ អាទិភាពនៃការដោះស្រាយ

1. ធ្វើបច្ចុប្បន្នភាពរយៈពេលដំណើរការដែលពិតជាបង្ហោះសេវាកម្មជាមុន។ ធ្វើបច្ចុប្បន្នភាពដែលត្រូវគ្នា។ Node.js សាខាយ៉ាងហោចណាស់ 22.23.4 / 24.22.1 / 26.12.1 . សេវាកម្មដោយប្រើ Node 24 អាចធ្វើឱ្យប្រសើរឡើងទៅ 24.22.1 នៅក្នុងកំណែធំដូចគ្នា ឬកំណែក្រោយ ដែលមានការកែតម្រូវដូចគ្នា។ S1 S2
2. ធ្វើបច្ចុប្បន្នភាព Node ភាពអាស្រ័យកម្មវិធីដាច់ដោយឡែក។ សម្រាប់ Next.js , ប្រើ 15.5.28 / 16.4.1 ជាមូលដ្ឋាននៃការធ្វើឱ្យប្រសើរឡើង; នៅពេលប្រើ React Server Components ដោយឯករាជ្យ ពិនិត្យមើលការដំឡើងពិតប្រាកដ react-server-dom-* កញ្ចប់។ មានតែការធ្វើបច្ចុប្បន្នភាព Node binary មិនគ្របដណ្តប់ភាពងាយរងគ្រោះនៃក្របខ័ណ្ឌទាំងនេះទេ។ S8 S9 S10 S11 S12
3. Java ៖ គ្របដណ្តប់ការអាប់ដេតជុំទាំងពីរ។ ដំឡើង​ការ​សាងសង់​អ្នក​លក់​គ្រប​ដ​ណ្ត​ប់​ទាំង​ពីរ​ខែតុលា 20 CPU និងថ្ងៃទី ២១ ខែតុលា CVE-2026-91403 ការជួសជុលវិញ្ញាបនបត្រសង្គ្រោះបន្ទាន់ - ការជឿទុកចិត្ត។ សូមមើលផ្នែក 2.2 សម្រាប់ Oracle JDK 11 -27 កំណែក្រៅក្រុម; ផ្ទៀងផ្ទាត់ការចែកចាយផ្សេងទៀតប្រឆាំងនឹងកញ្ចប់សុវត្ថិភាពផ្ទាល់ខ្លួនរបស់ពួកគេ និងលេខបង្កើតពេញលេញ។ ធ្វើបច្ចុប្បន្នភាពដែលត្រូវគ្នា។ Tomcat សាខាទៅ 9.0.123 / 10.1.61 / 11.0.27 . S16 S17 S18 S20 S21 S22 S23
4. Python ៖ ធ្វើបច្ចុប្បន្នភាពកម្មវិធីបកប្រែ កញ្ចប់កម្មវិធី និងកញ្ចប់វិញ្ញាបនបត្រដាច់ដោយឡែក។ សូមមើលផ្នែក 2.3 សម្រាប់មូលដ្ឋានអ្នកបកប្រែ; certifi ណែនាំ ≥ 2026.10.19 , pip ≥ 26.2.2 , នៅពេលប្រើ uv ≥ 0.13.4 . រាល់ venv ដែលមានស្រាប់ត្រូវតែត្រួតពិនិត្យ។ សម្រាប់ wrap_bio() លេខកូដដែលពាក់ព័ន្ធ ត្រឹមត្រូវ និងមិនទទេ server_hostname ត្រូវតែឆ្លងកាត់ផងដែរ។ S29 S30 S31 S33 S35 S36 S37
5. ប្រសិនបើការអាប់ដេតភ្លាមៗគឺមិនអាចទៅរួចនោះទេ កាត់បន្ថយការបង្ហាញនៅចំនុចចូលដែលពាក់ព័ន្ធ។ ផ្តល់អាទិភាពដល់ការបញ្ឈប់ការមិនទុកចិត្ត Brotli ការឌិកូដ ដំណើរការរូបភាព/ទំព័រ/ការរក្សាទុកដែលរងផលប៉ះពាល់ និងការបំបែកបញ្ហា LDAP ឬធាតុផ្ទៀងផ្ទាត់; ការរក្សា TLS វិញ្ញាបនបត្រ និងឈ្មោះម៉ាស៊ីនត្រូវបានផ្ទៀងផ្ទាត់។ ចូល WAF មិន​អាច​គ្រប​ដណ្តប់​លើ​ផ្លូវ​ចេញ​ក្រៅ​ដូច​ជា​កម្មវិធី​ទាញ​ការ​ឆ្លើយ​តប​ដែល​បាន​បង្ហាប់​ដែល​មាន​គំនិត​អាក្រក់។ S3 S11 S25 S27 S30 S32
6. បង្កើតឡើងវិញ ជំនួសដំណើរការចាស់ និងផ្ទៀងផ្ទាត់តាមរយៈផ្លូវសេវាកម្មពិតប្រាកដ។ រក្សាទុកឯកសារចាក់សោ និងការសង្ខេបរូបភាព បង្កើតកម្មវិធី និងរូបភាពឡើងវិញ ដំណើរការជំនួសសម្រាប់កម្មករទាំងអស់/JVM/containers; ពិនិត្យដំណើរការជាក់ស្តែង មែកធាងអាស្រ័យ ហាងជឿទុកចិត្ត និងការធ្វើតេស្តតំរែតំរង់អាជីវកម្ម។ កំណែ​បន្ទាត់​ពាក្យ​បញ្ជា​ថ្មី​តែ​ឯង​មិន​បាន​កំណត់​ថា​ការ​ដោះស្រាយ​ត្រូវ​បាន​បញ្ចប់​ទេ។
7. ប្រសិនបើ LiteLLM 1.107.0 ត្រូវបានដំឡើង ឬដំណើរការ អនុវត្តតាមនីតិវិធីឆ្លើយតបឧបទ្ទវហេតុ។ គម្រោងបានបញ្ជាក់ពីការសម្របសម្រួលការចេញផ្សាយនៅថ្ងៃទី 21 ខែតុលា។ ញែកបរិស្ថានដែលរងផលប៉ះពាល់ ស៊ើបអង្កេតពីបរិស្ថានស្អាត បង្កើតឡើងវិញ និងបង្វិលព័ត៌មានដែលប៉ះពាល់។ កុំចាប់ផ្តើម Python/pip នៅក្នុងបរិយាកាសគួរឱ្យសង្ស័យសម្រាប់ការត្រួតពិនិត្យជាមុន។ សូមមើលផ្នែកទី 9 សម្រាប់ព័ត៌មានលម្អិត។ S41

1. ទិដ្ឋភាពទូទៅនៃភាពងាយរងគ្រោះ និងការវាយតម្លៃហានិភ័យ

1.1 ផ្តល់អាទិភាពដល់ការដោះស្រាយដោយការប៉ះពាល់ជាក់ស្តែង

អាទិភាពនៃការដាក់ពង្រាយខាងក្រោមគឺជាការណែនាំអំពីការអនុវត្ត។ ស្លាកភាពធ្ងន់ធ្ងរធ្វើតាមអ្នកលក់នីមួយៗ រួមទាំងការវាយតម្លៃ Important របស់ Apache ។ CVSS 3.1 និង 4.0 គឺជាប្រព័ន្ធដាក់ពិន្ទុខុសៗគ្នា។ កុំចាត់ចំណាត់ថ្នាក់បញ្ហានៅទូទាំងពួកគេដោយពិន្ទុតែម្នាក់ឯង។

ប្រព័ន្ធអេកូ / ស្រទាប់	បញ្ហាសំខាន់ៗ	ចំណាត់ថ្នាក់ផ្លូវការ ឬពិន្ទុដែលបានផ្ទៀងផ្ទាត់	ការដាក់ពង្រាយអាទិភាព
ភាពអាស្រ័យដើម Node.js	CVE-2026-111497៖ Brotli ត្រូវបានសរសេរចេញពីព្រំដែន ហើយវាមានហានិភ័យនៃ RCE	Node：High	ឌិកូដទិន្នន័យ Brotli S1S3 នៅក្នុងតួសំណើខាងក្រៅ ឬការឆ្លើយតបខាងក្រៅ
Node.js TLS / DNS	CVE-2026-105482, 105483, 106069៖ ការញែក និងការផ្ទៀងផ្ទាត់អត្តសញ្ញាណគឺមិនស៊ីសង្វាក់គ្នា	High	URL វារ ប្រូកស៊ី Webhook អាសយដ្ឋានគោលដៅថាមវន្ត S1S5S6
Node.js HTTP/2	CVE-2026-56846, 56848៖ អង្គចងចាំអស់ហើយ UAF	High	Node ដោះស្រាយដោយផ្ទាល់ ចរាចរ HTTP/2 ដែលមិនគួរឱ្យទុកចិត្ត S7
React / Next.js	RSC / use cache typed arrays RCE	Critical；CVSS 4.0 9.5	ម៉ាស៊ីនមេ RSC សមាសធាតុឃ្លាំងសម្ងាត់ពាក់ព័ន្ធ និងផ្លូវទិន្នន័យ S9S10
ការបង្កើនប្រសិទ្ធភាពរូបភាព Next.js	CVE-2026-96889៖ SVG ដំណើរការរូបភាព RCE	Critical；CVSS 4.0 9.5	ករណីនៅលើ glibc Linux ដែលអាចគ្រប់គ្រងរូបភាពដែលមិនគួរឱ្យទុកចិត្ត S11
Next.js Server Actions	សំណើដែលបង្កើតជាពិសេសធ្វើឱ្យ CPU អស់កំលាំង	High；CVSS 4.0 8.2	App Router និងយ៉ាងហោចណាស់មួយ Server Action S12
Java TLS ទំនុកចិត្ត	CVE-2026-91403៖ បន្តជឿជាក់លើកម្រិតមធ្យមដែលរងផលប៉ះពាល់ CA	CVSS 3.1 9.1	សេណារីយ៉ូ TLS/API S17 ដោយប្រើខ្សែសង្វាក់ទំនុកចិត្តដែលរងផលប៉ះពាល់
Tomcat	ការឆ្លងកាត់ការផ្ទៀងផ្ទាត់ JNDIRealm, HTTP/2 ការលាយបញ្ចូលគ្នានៃសំណើឆ្លង, ការលេចធ្លាយការឆ្លើយតប AJP	Important	ដែលត្រូវគ្នាទៅនឹងផ្លូវ Realm / Connector / async Servlet S21S22S23
Spring for GraphQL	CVE-2026-59285៖ ការបំភាន់ទំព័រ RCE	High	Jackson 2 + Connection ទំព័រ + ផ្លូវថ្នាក់ដែលអាចកេងប្រវ័ញ្ច S25
Spring Security	CVE-2026-59270៖ បង្កប់ LDAP ស្គាល់អត្តសញ្ញាណគ្រប់គ្រងត្រូវបានលាតត្រដាង	Critical	ដែលបានបង្កប់ LDAP ត្រូវបានបើក ហើយច្រកស្តាប់អាចចូលដំណើរការបានដោយអ្នកវាយប្រហារ S27
CPython ssl	CVE-2026-19445៖ ការប្តូរបរិបទ SNI លទ្ធផលនៅក្នុង UAF	Critical	Python បញ្ចប់ TLS ដោយខ្លួនវា ហើយបំពេញតាមលក្ខខណ្ឌវដ្តជីវិតបរិបទ S29
CPython ssl	CVE-2026-19553៖ រំលងការផ្ទៀងផ្ទាត់ នៅពេលដែលបាត់ឈ្មោះម៉ាស៊ីន	High	wrap_bio() / ការហៅ asyncio ពាក់ព័ន្ធបាត់ឈ្មោះម៉ាស៊ីនដែលរំពឹងទុក S30
CPython tarfile	CVE-2026-82049៖ តំណភ្ជាប់រឹង និងការរួមបញ្ចូលគ្នានៃតំណនិមិត្តសញ្ញាផ្លូវវាង	High	ស្រង់ចេញដោយស្វ័យប្រវត្តិនូវប័ណ្ណសារ tar ដែលមិនគួរឱ្យទុកចិត្ត S32
Django / GeoDjango	CVE-2026-15307៖ ឯកសារសរសេរសំណួរទំហំ SSRF ក្រោមលក្ខខណ្ឌ RCE	High	សំណួរតាមលំហ ឬចំណុចប្រទាក់រដ្ឋបាលដែលពាក់ព័ន្ធទទួលយកការបញ្ចូលដែលមិនគួរឱ្យទុកចិត្ត S38
ភាពអាស្រ័យវិញ្ញាបនបត្រ Python	certifi៖ emSign ទាក់ទងនឹងវិញ្ញាបនបត្រមិនទុកចិត្ត	Critical; GHSA គ្មាននរណាម្នាក់ស្គាល់ CVE ទេ។	ម៉ាស៊ីនភ្ញៀវ TLS និងឧបករណ៍គ្រប់គ្រងកញ្ចប់ S36S37 នៅតែប្រើ CA bundle ដែលរងផលប៉ះពាល់

អក្សរកាត់៖ RCE តំណាងឱ្យការប្រតិបត្តិលេខកូដពីចម្ងាយ UAF តំណាងឱ្យការប្រើប្រាស់បន្ទាប់ពីមិនគិតថ្លៃ និង SSRF តំណាងឱ្យការក្លែងបន្លំសំណើរខាងម៉ាស៊ីនមេ។ ការអនុញ្ញាតដោយផ្ទាល់របស់ RCE ជាធម្មតាជាការអនុញ្ញាតនៃដំណើរការដែលបង្ហោះកម្មវិធី ហើយមិនអាចស្មើនឹងការអនុញ្ញាតជា root ដោយស្វ័យប្រវត្តិទេ។

លំដាប់ដែលបានណែនាំ៖ ដំបូងដោះស្រាយ RCE ដែលអាចទៅដល់ខាងក្រៅ និងបំពេញតាមលក្ខខណ្ឌ ការឆ្លងកាត់ការផ្ទៀងផ្ទាត់ ការលេចធ្លាយទិន្នន័យឆ្លងអ្នកប្រើប្រាស់ និងបញ្ហាការផ្ទៀងផ្ទាត់វិញ្ញាបនបត្រ។ ក្នុងពេលជាមួយគ្នានេះ ការធ្វើបច្ចុប្បន្នភាពកាលវិភាគសម្រាប់ចំណុចចូល DoS ដែលប្រឈមមុខនឹងសាធារណៈ។ មិនចាំបាច់ដំណើរការបន្ទុកវាយប្រហារនៅក្នុងផលិតកម្ម ដើម្បីបញ្ជាក់ពីការកេងប្រវ័ញ្ចនោះទេ។ ភាពអាស្រ័យមាន ផ្លូវកូដអាចទៅដល់បាន ហើយលក្ខខណ្ឌនៃការវាយប្រហារត្រូវបានបំពេញ។ នេះគឺជាបញ្ហាបីដែលត្រូវត្រួតពិនិត្យដោយឡែកពីគ្នា។

1.2 បីយ៉ាងងាយច្រឡំព្រំដែន

• អាប់ដេតម៉ោងរត់ និងភាពអាស្រ័យដោយឡែកពីគ្នា។ បច្ចុប្បន្នភាពសុវត្ថិភាពសម្រាប់ Node , JDK , CPython មិនជួសជុលការដំឡើងឯកតាដោយស្វ័យប្រវត្តិនៃ Next.js , Spring , Django , certifi ឬផ្នែកបន្ថែមដើម។
• នេះ។ កម្រិត​នៃ​ការ​ដោះស្រាយ​គឺ​ដាច់​ដោយឡែក​ពី​បន្ទាត់​មូលដ្ឋាន​នៃ​ការ​ដាក់​ពង្រាយ​បច្ចុប្បន្ន។ បំណះដំបូងសម្រាប់ភាពងាយរងគ្រោះនៅក្នុងខែសីហាមិនត្រូវបានធានាដើម្បីគ្របដណ្តប់បញ្ហាថ្មីពីខែកញ្ញាដល់ខែតុលា។ ផ្នែកទី 2 ប្រើប្រាស់ការអាប់ដេតជាបន្តបន្ទាប់ដែលបានផ្ទៀងផ្ទាត់ជាគោលដៅអនុវត្ត។
• បែងចែកភាពងាយរងគ្រោះពីការសម្របសម្រួលខ្សែសង្វាក់ផ្គត់ផ្គង់ជាក់ស្តែង។ សម្រាប់ភាពងាយរងគ្រោះទូទៅ បំណះបំបាត់ផ្លូវវាយប្រហារនាពេលអនាគត។ នៅពេលដែលកញ្ចប់ព្យាបាទត្រូវបានដំណើរការ ផលប៉ះពាល់នៃលិខិតសម្គាល់ និងការបន្តត្រូវតែស៊ើបអង្កេត។ ផ្នែកទី 9 LiteLLM គឺជាព្រឹត្តិការណ៍ដែលបានបញ្ជាក់ជាផ្លូវការ។ S41

ថាតើមានការបញ្ជាក់អំពីការកេងប្រវ័ញ្ចនៅក្នុងព្រៃ គួរតែផ្អែកលើការបង្ហាញជាផ្លូវការ។ អ្នកលក់មិនបាននិយាយពីសកម្មភាពកេងប្រវ័ញ្ចទេ ហើយមិនអាចបង្ហាញថាគ្មានការវាយប្រហារទេ។ ការជួសជុលគួរតែត្រូវបានអនុវត្តដោយផ្អែកលើផ្ទៃវាយប្រហារជាក់ស្តែង។

2. ពិនិត្យយ៉ាងរហ័សនៃកំណែថេរ និងមូលដ្ឋាននៃការដាក់ពង្រាយ

ឯកសារយោង: 2.1 Node.js、React、Next.js

សមាសភាគ/សាខា	កំណែដែលបានណែនាំជាមូលដ្ឋាន	ការណែនាំសម្រាប់ការប្រើប្រាស់
Node.js 22.x	22.23.4	ការចេញផ្សាយសុវត្ថិភាព S1S2 នៅថ្ងៃទី 21 ខែតុលា
Node.js 24.x	24.22.1	អនុវត្តទៅសាខា 24.x; 24.22.0 មិនមានបំណះសុវត្ថិភាពថ្ងៃទី 21 ខែតុលា S1S2
Node.js 26.x	26.12.1	ការចេញផ្សាយសុវត្ថិភាពនៅក្នុងបាច់ដូចគ្នា S1S2
Node.js 20 និងសាខាខាងលើ	ផ្លាស់ទីទៅសាខាដែលគាំទ្រ	Node 20 មិនទទួលយកការជួសជុលខាងលើនេះទេ។ អ្នកលក់បន្ថែមការគាំទ្រត្រូវតែត្រូវបានផ្ទៀងផ្ទាត់ដាច់ដោយឡែក S3
Next.js 15.x	15.5.28	បានធ្វើបច្ចុប្បន្នភាពនៅថ្ងៃទី 14 ខែតុលា S8
Next.js 16.x	16.4.1	ដូចគ្នានឹង S8 ខាងលើដែរ។
សាខា RSC 19.0 / 19.1 / 19.2 / 19.3 ឯករាជ្យ	19.0.9 / 19.1.10 / 19.2.9 / 19.3.1	ពិនិត្យមើលកញ្ចប់ react-server-dom-* បីដោយឡែកពីគ្នា។ មិនគ្រាន់តែមើលស្រទាប់ខាងលើ react S10
Next ពិតជាបានផ្ទុក sharp	≥0.35.5	លក្ខខណ្ឌជួសជុលបណ្តោះអាសន្នជាផ្លូវការសម្រាប់ភាពងាយរងគ្រោះ SVG; មិនជំនួសបំណះ Next.js ផ្សេងទៀត S11

Node ចុះបញ្ជីជាផ្លូវការនូវសាខាថែទាំដែលរងផលប៉ះពាល់សម្រាប់ភាពងាយរងគ្រោះក្នុងខែតុលា ប៉ុន្តែមិនផ្តល់ធាតុកំណែបំណះដែលបានណែនាំដំបូងដោយធាតុទេ ដូច្នេះកំណែចាប់ផ្តើមច្បាស់លាស់នៃភាពងាយរងគ្រោះនីមួយៗមិនអាចកំណត់បានដោយផ្អែកលើជួរសាខាថែទាំតែមួយមុខនោះទេ។ នៅពេលដាក់ពង្រាយ សូមផ្តល់អាទិភាពដល់ការប្រើប្រាស់កំណែខាងលើនៃសាខាដូចគ្នា ឬកំណែបន្តបន្ទាប់ដែលបញ្ជាក់ថាមានការជួសជុលដូចគ្នា។

2.2 Java៖ ខែតុលា CPU បូករួមទាំងការធ្វើបច្ចុប្បន្នភាពវិញ្ញាបនបត្រក្រៅក្រុម

តារាងនេះអនុវត្តចំពោះ Oracle JDK ។ ជួរទីពីរគ្របដណ្តប់តែខែតុលា 20 CPU; ទីបីរួមបញ្ចូលទាំងការចេញផ្សាយក្រៅក្រុមនៅថ្ងៃទី 21 ខែតុលា។ កំណែ CPU តែម្នាក់ឯងមិនគ្របដណ្តប់ហានិភ័យ Java ទាំងអស់ដែលបានពិភាក្សានៅទីនេះទេ។ S16S17S18

សាខា	ថ្ងៃទី 20 ខែតុលា CPU	Oracle បានចេញក្រៅក្រុមនៅថ្ងៃទី 21 ខែតុលា
11	11.0.33	11.0.33.0.2
17	17.0.21	17.0.21.0.2
21	21.0.13	21.0.13.0.2
25	25.0.5	25.0.5.0.2
27	27.0.1	27.0.1.0.2
8	8u511	តារាងចេញផ្សាយជាសាធារណៈនៅតែបង្ហាញ 8u511; ការស្ថាបនាសុវត្ថិភាពជាក់លាក់ និងការជួសជុលខ្សែសង្វាក់ទុកចិត្តត្រូវតែត្រួតពិនិត្យ ហើយមិនអាចកំណត់បានដោយផ្អែកលើលេខកំណែខ្លីតែម្នាក់ឯងនោះទេ។

**Java 8 ចាំបាច់ត្រូវត្រួតពិនិត្យប្រឆាំងនឹងព័ត៌មានស្ថាបនាពេញលេញ៖**Oracle ការជូនដំណឹងរាយបញ្ជី 8u511 ជាកំណែដែលរងផលប៉ះពាល់ ហើយបញ្ជីចេញផ្សាយរាយបញ្ជីការអាប់ដេតជាបន្តបន្ទាប់ដែលមានឈ្មោះខ្លីដូចគ្នា។ ស្ថានភាពបំណះមិនអាចត្រូវបានសម្គាល់ដោយផ្អែកលើលេខកំណែខ្លី “8u511” តែម្នាក់ឯងទេ។ អ្នក​គួរ​តែ​បញ្ជាក់​ពី​ការ​បង្កើត​សុវត្ថិភាព​ជាក់លាក់ និង​ការ​ជួសជុល​ខ្សែ​សង្វាក់​ទំនុក​ចិត្ត។ S17S18

Temurin , Corretto , Zulu , Microsoft Build of OpenJDK , កំណែចេញផ្សាយ OpenJDK ល។ ពិនិត្យ​តាម​ការ​ប្រកាស​រៀង​ខ្លួន​ និង​លេខ​កញ្ចប់​/បង្កើត​ពេញលេញ។ ឧទាហរណ៍ កំណត់ត្រានៃការចេញផ្សាយជាផ្លូវការ Adoptium ចែងថាការស្ថាបនាដែលពាក់ព័ន្ធត្រូវបានវេចខ្ចប់ឡើងវិញដើម្បីបន្ថែម eMudhra ជួសជុល; ឈ្មោះដូចគ្នានៃកំណែខាងលើមិនមានន័យថាមាតិកាកញ្ចប់គឺដូចគ្នានោះទេ។ នេះ។ .0.2 បច្ច័យច្បាប់សម្រាប់ Oracle មិន​អាច​ត្រូវ​បាន​អនុវត្ត​ដោយ​មេកានិក​ចំពោះ​អ្នក​បោះពុម្ព​ផ្សាយ​ផ្សេង​ទៀត​ទេ។ S20

សមាសធាតុកម្មវិធី Java	កំណែដែលបានណែនាំជាមូលដ្ឋាន	សុន្ទរកថា
Tomcat 9 / 10.1 / 11	9.0.123 / 10.1.61 / 11.0.27	ពិនិត្យសាខាតាមសាខា; Tomcat 10.0 បានបញ្ឈប់ការថែទាំ S21S22S23
Spring for GraphQL 2.0.x	2.0.5（OSS）	ការគាំទ្រផ្នែកពាណិជ្ជកម្មក៏ 2.0.4.1 S25
Spring Security 7.1 / 7.0	7.1.1 / 7.0.7（OSS）	ត្រូវគ្នាទៅនឹងកំណែជួសជុលអប្បបរមាដែលបានប្រកាសនៅក្នុងខែសីហា; អ្នកត្រូវពិនិត្យមើលព្រឹត្តិបត្រសុវត្ថិភាពជាបន្តបន្ទាប់ S27S28 មុនពេលដាក់ឱ្យប្រើប្រាស់
Spring Security 6.5 / 6.4 / 5.8 / 5.7	6.5.12 / 6.4.19 / 5.8.28 / 5.7.26	សេចក្តី​ប្រកាស​ត្រូវ​បាន​រាយ​បញ្ជី​ជា​ការ​ជួសជុល​ជំនួយ​ពាណិជ្ជកម្ម; ការធ្វើចំណាកស្រុកត្រូវបានវាយតម្លៃនៅពេលដែលមិនមានការគាំទ្រដែលត្រូវគ្នា ហើយវាមិនអាចត្រូវបានសន្មត់ថា Maven Central អាចរកបានដោយឥតគិតថ្លៃ S27

ការធ្វើឱ្យប្រសើរឡើង Spring គួរតែគោរព Spring Boot BOM, Java កំណែអប្បបរមា និងបន្ទាត់ដែលត្រូវគ្នារបស់គម្រោង។ កុំបង្ខំម៉ូឌុល Spring ទាំងអស់ដោយផ្ទាល់ទៅលេខដូចគ្នាគ្រាន់តែដើម្បីទទួលបានបំណះ។

2.3 CPython, Django និងភាពអាស្រ័យវិញ្ញាបនបត្រ

ជួរទីពីរនៃតារាងខាងក្រោមផ្តោតលើបញ្ហា TLS ដែលបានបង្ហាញនៅក្នុងខែកញ្ញា។ ភាពខុសគ្នានៃសាខាសម្រាប់ tarfile ត្រូវបានបង្ហាញនៅក្នុងផ្នែក 5.3. ការចេញផ្សាយថ្ងៃទី 21 ខែតុលា ក៏បានធ្វើបច្ចុប្បន្នភាពឧបករណ៍វិញ្ញាបនបត្រជាកញ្ចប់ផងដែរ ដូច្នេះជួរចុងក្រោយរួមមានបន្ទាត់មូលដ្ឋាននៃការដាក់ពង្រាយនៅពេលក្រោយ។ S29S30S33S35

សាខា CPython	កំណែអប្បបរមានៃកញ្ចប់សុវត្ថិភាពខែកញ្ញា	មូលដ្ឋាននៃការដាក់ពង្រាយដែលបានណែនាំ
3.10	3.10.22	ការចេញផ្សាយចុងក្រោយពីចរន្តទឹក EOL; រៀបចំការធ្វើចំណាកស្រុក ឬផ្ទៀងផ្ទាត់ការគាំទ្រផ្នែកបន្ថែមការចេញផ្សាយ S34
3.11	3.11.17	3.11.17 និងធ្វើបច្ចុប្បន្នភាព pip/certifi នៅក្នុងបរិយាកាសនីមួយៗដោយឡែកពីគ្នា។
3.12	3.12.15	3.12.15 និងធ្វើបច្ចុប្បន្នភាព pip/certifi នៅក្នុងបរិយាកាសនីមួយៗដោយឡែកពីគ្នា។
3.13	3.13.16	3.13.17
3.14	3.14.8	3.14.9
3.15	ការចេញផ្សាយ 3.15.0 ចុងក្រោយរួមមាន TLS ជួសជុល S31S47	3.15.1

កំណែសុវត្ថិភាពខាងលើនៃ 3.11 និង 3.12 អាចត្រូវបានចេញផ្សាយនៅក្នុងកូដប្រភពតែប៉ុណ្ណោះ។ នៅពេលប្រើកញ្ចប់ប្រព័ន្ធប្រតិបត្តិការ សូមពិនិត្យមើលការប្រឹក្សា backport របស់អ្នកលក់ និងកំណែកញ្ចប់ពេញលេញ ហើយវាមិនមានតម្រូវការក្នុងការជំនួសប្រព័ន្ធ Python ដោយបង្ខំនូវកំណែដែលបានចងក្រងដោយខ្លួនឯងនោះទេ។ S33S34

ភាពអាស្រ័យឯករាជ្យ	កំណែដែលបានណែនាំជាមូលដ្ឋាន	ការពិពណ៌នា
Django 5.2 / 6.0 / 6.1	5.2.18 / 6.0.9 / 6.1.2	បញ្ចូលការកែតម្រូវជាបន្តបន្ទាប់ S38S39 នៅថ្ងៃទី 6 ខែតុលា
certifi	≥2026.10.19	បំណះដំបូង GHSA គឺ .18; PSF ណែនាំ .19 ដើម្បីរក្សាភាពត្រូវគ្នាសម្រាប់វិញ្ញាបនបត្រដែលមិនប៉ះពាល់ S36S37
pip	≥26.2.2	ច្បាប់ចម្លងដែលភ្ជាប់មកជាមួយនៃ certifi ចាំបាច់ត្រូវធ្វើបច្ចុប្បន្នភាពដាច់ដោយឡែក S35S37
uv (ប្រសិនបើប្រើ)	≥0.13.4	ធ្វើបច្ចុប្បន្នភាព S37 យោងតាមវិធីសាស្ត្រដំឡើងជាក់ស្តែង

បន្ទាត់មូលដ្ឋានទាំងនេះគ្របដណ្តប់លើការជួសជុលដែលបានរាយបញ្ជី។ បញ្ហាកម្រិតមធ្យមមួយផ្សេងទៀតនៅក្នុង tar_filter ត្រូវបានបង្ហាញនៅថ្ងៃទី 22 ខែតុលា។ គិតត្រឹមថ្ងៃទី 23 ខែតុលា ឆ្នាំ 2026 កំណែថែទាំផ្លូវការដែលមានការជួសជុលនេះមិនទាន់ត្រូវបានបញ្ជាក់នៅឡើយទេ។ ដូច្នេះ 3.13.17 / 3.14.9 / 3.15.1 មិនអាចត្រូវបានចាត់ទុកថាបានគ្របដណ្តប់លើបញ្ហា tarfile ទាំងអស់។ សូមមើលផ្នែក 5.4. S40

2.4 ផ្ទៀងផ្ទាត់ backports ការចែកចាយ

គោលការណ៍នៃការអនុវត្តអាចអនុវត្តបានចំពោះ Ubuntu, Debian, RHEL និងកញ្ចប់កម្មវិធីផ្សេងទៀត៖

1. កត់ត្រាកំណែប្រព័ន្ធប្រតិបត្តិការ ប្រភពឃ្លាំង កំណែកញ្ចប់ពេញលេញ និងលេខព្រឹត្តិបត្រសុវត្ថិភាពរបស់អ្នកលក់។
2. បញ្ជាក់ថាការប្រឹក្សាគ្របដណ្តប់ CVE ជាក់លាក់ និងកំណត់កញ្ចប់ថេរសម្រាប់ការចេញផ្សាយការចែកចាយដែលពាក់ព័ន្ធ។
3. ប្រៀបធៀបប្រព័ន្ធគោលពីរ/បណ្ណាល័យដែលផ្ទុកដោយដំណើរការដំណើរការជាក់ស្តែង មិនមែនគ្រាន់តែជាកំណែខ្លីៗនោះទេ។
4. នៅពេលដែលមិនមានភ័ស្តុតាងនៃបំណះអ្នកលក់ សូមទុកវាឱ្យ “បញ្ជាក់” ហើយកុំយកវាជាការសន្និដ្ឋានតែមួយគត់ដែលលេខកំណែមើលទៅចាស់ឬថ្មី។

មានភាពខុសគ្នានៅក្នុងកំណែកញ្ចប់ apt/RPM និងយុទ្ធសាស្រ្ត backport នៃការចែកចាយផ្សេងៗគ្នា។ ព្រឹត្តិបត្រសុវត្ថិភាព និងកំណែកញ្ចប់ពេញលេញនៃការចែកចាយនីមួយៗគួរតែមាន។

3. ប្រព័ន្ធអេកូ Node.js / JavaScript៖ ការវិភាគរកមូលហេតុ និងដំណោះស្រាយ

3.1 CVE-2026-111497: Brotli ឧបករណ៍ឌិកូដដើមកំណើតក្រៅព្រំដែនសរសេរ

Disclosure: 2026-10-21; Node ថ្នាក់ផ្លូវការ៖ High ។ ការស្ថាបនាដែលរងផលប៉ះពាល់នៃ Node 22.x, 24.x, 26.x ទាមទារផ្នែកបំណះ 2.1 ដើម្បីដំឡើង។ Node សេចក្តីប្រកាសមិនរាយបញ្ជីពិន្ទុ CVSS ទេ។ S1

បញ្ហាកើតឡើងនៅក្នុងតក្កវិជ្ជានៃការឌិកូដដើមនៅពេលគ្រប់គ្រងស្ទ្រីមដែលបានបង្ហាប់ Brotli ខុសដែលអាចនាំទៅដល់ការសរសេរក្រៅព្រំដែន។ ការពិពណ៌នាផ្លូវការរបស់ Vercel បញ្ជាក់ថា ការបង្ហាញការស្រាវជ្រាវពាក់ព័ន្ធនឹងការលេចធ្លាយអង្គចងចាំដំណើរការ និងការប្រតិបត្តិពាក្យបញ្ជា។ ថាតើអ្នកវាយប្រហារអាចទៅដល់ឧបករណ៍ឌិកូដ អាស្រ័យលើថាតើកម្មវិធី ឬភាពអាស្រ័យពិតជាឌិកូដទិន្នន័យដែលវាគ្រប់គ្រង។ S3

ទិសដៅទាំងពីរត្រូវតែត្រួតពិនិត្យក្នុងពេលតែមួយ៖

• inbound៖ The framework ឬ middleware decompress the Brotli ដោយស្វ័យប្រវត្តិដែលដាក់ស្នើដោយអ្នកប្រើប្រាស់។
• **outbound:**HTTP អតិថិជន អ្នកចាប់យករូបភាព ល។ ចូលប្រើប្រភពដែលអាចគ្រប់គ្រងបានដោយអ្នកវាយប្រហារ ហើយបង្រួមមាតិកាដែលបានត្រឡប់មកវិញដោយស្វ័យប្រវត្តិ។

ការបិទដំណើរការការបង្ហាប់ Brotli នៃការឆ្លើយតបដែលបានផ្ញើទៅកម្មវិធីរុករកមិនដកចំណុចបញ្ចូលការឌិកូដទេ។ ការការពារ WAF ខាងក្នុងក៏មិនគ្របដណ្តប់កម្មវិធីដែលទៅយក និងការឌិកូដការឆ្លើយតបខាងក្រៅដែរ។ S3

ទិសដៅ **Patch៖**Node ផ្លាស់ទីការជួសជុលខាងលើ Brotli ទៅក្នុងភាពអាស្រ័យដើម ហើយបន្ថែមការត្រួតពិនិត្យស្ថានភាពការឌិកូដខុសច្បាប់ និងការផ្សព្វផ្សាយកំហុស។ នៅពេលរក្សាកំណែដែលបានចងក្រងដោយខ្លួនឯង អ្នកគួរតែប្រើការចេញផ្សាយសុវត្ថិភាពផ្លូវការ ឬបំណះពេញលេញនៃសាខាដែលត្រូវគ្នា។ អ្នកមិនអាចផ្លាស់ប្តូរសេចក្តីថ្លែងការណ៍កំណែនៃកញ្ចប់ JavaScript បានទេ។ S4

ការណែនាំអំពីការអនុវត្តបណ្តោះអាសន្ន៖ បញ្ឈប់ការឌិកូដ Brotli ដែលមិនចាំបាច់ដែលមិនគួរឱ្យទុកចិត្ត។ ពិនិត្យ​មើល​ឥរិយាបថ​បង្រួម​ដោយ​ស្វ័យ​ប្រវត្តិ​របស់​ឧបករណ៍​កណ្តាល និង​ម៉ាស៊ីនភ្ញៀវ HTTP; ប្រសិនបើអាជីវកម្មត្រូវតែទទួលយកទម្រង់នេះ សូមបញ្ចប់ដំណើរការនៅក្នុងបរិយាកាសដែលបានជួសជុលឱ្យបានឆាប់តាមដែលអាចធ្វើទៅបាន។ ការកែតម្រូវ Accept-Encoding គឺគ្រាន់តែជាទង្វើនៃការចរចា ហើយមិនគួរឈរតែម្នាក់ឯងជាភស្តុតាងដែលថាការឆ្លើយតបដែលមានគំនិតអាក្រក់ត្រូវបានរារាំងនោះទេ។

3.2 TLS / DNS បី High៖ វត្ថុផ្ទៀងផ្ទាត់គឺមិនស៊ីគ្នានឹងគោលដៅពិតប្រាកដ

ទាំងបីត្រូវបានបង្ហាញនៅថ្ងៃទី 21 ខែតុលា ជាមួយនឹងកម្រិតនៃការធ្វើឱ្យប្រសើរជាផ្លូវការដែលបានកំណត់នៅក្នុងផ្នែក 2.1. S1

អ្នកកំណត់អត្តសញ្ញាណ	បញ្ជាក់​បញ្ហា	សាខាដែលរងផលប៉ះពាល់
CVE-2026-105482	dns.resolve ការកាត់ឈ្មោះដែលមាន NUL	22.x / 24.x / 26.x
CVE-2026-105483	IP ក្នុងទម្រង់ជាលេខទទឹងពេញធ្វើឱ្យការផ្ទៀងផ្ទាត់ឈ្មោះម៉ាស៊ីនវិញ្ញាបនបត្រត្រូវបានរំលង	24.x / 26.x
CVE-2026-106069	ឈ្មោះម៉ាស៊ីនដែលអាចត្រូវបានបកស្រាយយ៉ាងធូររលុងថាជាលទ្ធផល IP នៅក្នុងការឆ្លងកាត់ការផ្ទៀងផ្ទាត់ TLS	22.x / 24.x / 26.x

DNS ខ្លឹមសារនៃបញ្ហាគឺថាខ្សែអក្សរដែលបានពិនិត្យដោយស្រទាប់ខាងលើគឺខុសពីឈ្មោះដែលបានញែកដោយស្រទាប់ខាងក្រោម។ បំណះផ្លូវការបដិសេធ NUL នៅធាតុវិភាគ និងបន្ថែមការគ្របដណ្តប់ការតំរែតំរង់។ S6

TLS ធាតុពីរពាក់ព័ន្ធនឹងការធ្វើឱ្យឈ្មោះធម្មតា ភាពស៊ីសង្វាក់នៃការបកស្រាយ IP និងការផ្គូផ្គងវិញ្ញាបនបត្រ។ បំណះ ដូច្នេះការបញ្ចូល IP ដែលមិនស្តង់ដារត្រូវបានច្រានចោល ឬដោះស្រាយយ៉ាងត្រឹមត្រូវ ដើម្បីជៀសវាងការភាន់ច្រឡំនូវចំណុចបញ្ចប់ IP ពិតប្រាកដជាមួយនឹងអត្តសញ្ញាណដែនវិញ្ញាបនបត្រ។ S5

ការផ្ដល់យោបល់ដោះស្រាយបញ្ហាជាក់ស្តែងសម្រាប់ : ផ្តល់អាទិភាពក្នុងការត្រួតពិនិត្យលេខកូដរបស់អ្នកប្រើប្រាស់ URL គោលដៅប្រូកស៊ីថាមវន្ត ឬអាសយដ្ឋាន Webhook ។ ស្តង់ដារបង្រួបបង្រួម និងអនុញ្ញាតឱ្យការវិនិច្ឆ័យបញ្ជី បដិសេធ NUL/តួអក្សរគ្រប់គ្រង បញ្ជាក់ IPv4 ស្របច្បាប់ IPv6 និងឈ្មោះដែនអន្តរជាតិនៅតែដំណើរការ។ ថាតើ SSRF អាចត្រូវបានបង្កើតឡើងបន្ថែមទៀត តម្រូវឱ្យមានការអនុវត្តភស្តុតាងតំណ ដែលមិនអាចកាត់ចេញដោយផ្ទាល់ពីឈ្មោះ CVE បានទេ។

កុំប្រើ NODE_TLS_REJECT_UNAUTHORIZED=0 ឬ rejectUnauthorized: false ដើម្បីលុបបំបាត់កំហុស checksum ក្រោយការអាប់ដេត។ អាសយដ្ឋាន វិញ្ញាបនបត្រ និងការកំណត់រចនាសម្ព័ន្ធអាជីវកម្មគួរតែត្រូវបានកែដំរូវ។

3.3 ខែកក្កដា HTTP/2 High- ហានិភ័យ និងការអនុញ្ញាតបញ្ហាគំរូ

បញ្ហាខាងក្រោមដែលត្រូវបានលាតត្រដាងនៅក្នុងខែកក្កដានៅតែត្រូវបញ្ចូលក្នុងការស៊ើបអង្កេត។ វាត្រូវបានផ្ដល់អនុសាសន៍ឱ្យប្រើមូលដ្ឋានកំណែសុវត្ថិភាពខែតុលាដោយផ្ទាល់នៅក្នុងផ្នែក 2.1 នៅពេលដាក់ពង្រាយ។ S7

CVE	មូលហេតុនិងផលប៉ះពាល់	កំណែថេរដំបូង
CVE-2026-56846	ប្លុក HTTP/2 header ដែលរក្សាទុកមិនត្រូវបានរួមបញ្ចូលត្រឹមត្រូវនៅក្នុងថវិកា maxSessionMemory ហើយអាចធ្វើឱ្យអង្គចងចាំអស់។ ផលប៉ះពាល់ 22.x / 24.x	22.23.2 / 24.18.1
CVE-2026-56848	HTTP/2 បញ្ចូលផ្លូវបញ្ជូនសារឡើងវិញកំឡុងពេលប្រមូលកញ្ចប់ព័ត៌មាន ដែលបណ្តាលឱ្យមានគំនរ UAF; ផលប៉ះពាល់ 22.x / 24.x / 26.x	22.23.2 / 24.18.1 / 26.5.1
CVE-2026-58043	--permission ការផ្គូផ្គងព្រំដែននៃបុព្វបទផ្លូវគឺធំទូលាយពេក ហើយឯកសារដែលនៅក្រៅបញ្ជីអនុញ្ញាតអាចចូលប្រើបាន។	ដូចគ្នានឹងខ្សែថែទាំបីខាងលើដែរ។

ទាំងបីគឺ High ជាផ្លូវការ។ ធាតុពីរដំបូងផ្តល់អាទិភាពដល់ការពិនិត្យមើលថាតើ HTTP/2 ត្រូវបានដំណើរការដោយ Node ខ្លួនវាឬអត់។ ធាតុទីបីមានអត្ថន័យដែលត្រូវគ្នាតែនៅពេលប្រើគំរូអនុញ្ញាត និងពឹងផ្អែកលើព្រំដែននេះ។ ធាតុគំរូអនុញ្ញាតមិនអាចពិពណ៌នាទាំងអស់ថាជាបណ្តាញ RCE ដែលមិនតម្រូវឱ្យមានការផ្ទៀងផ្ទាត់។ S7

ការបញ្ចប់ HTTP/2 ជាបណ្ដោះអាសន្ននៅលើប្រូកស៊ីដាច់ដោយឡែក បានធ្វើបច្ចុប្បន្នភាព និងការកំណត់ប្រភព backend គឺជាជម្រើសនៃការដាក់ពង្រាយដើម្បីកាត់បន្ថយការប៉ះពាល់។ កូតាធនធានអាចគ្រប់គ្រងតែផលវិបាកនៃការហត់នឿយធនធាន និងមិនអាចបំប្លែង UAF បានទេ។

3.4 ខែតុលា React / Next.js៖ ធាតុពីរ RCE និងធាតុមួយ DoS

A. RCE ក្នុងអនុគមន៍ RSC / use cache ត្រឡប់អារេដែលបានវាយបញ្ចូល

កាលបរិច្ឆេទសាធារណៈ៖ 2026-10-14; Critical, CVSS 4.0 9.5. ការកំណត់អត្តសញ្ញាណការប្រឹក្សាផ្លូវការ៖

• React：GHSA-xqc2-xf4c-x3h3。
• Next.js：GHSA-673q-mjm6-r5xr。S9S10

នេះ។ React បញ្ហាខាងលើពាក់ព័ន្ធនឹងអារេដែលបានវាយបញ្ចូលច្រើន រួមបញ្ចូលគ្នាជាមួយនឹងតម្លៃដែលអាចគ្រប់គ្រងដោយអ្នកវាយប្រហារនៅក្នុង RSC ការឆ្លើយតប។ អ្នកទាំងបីបានរងផលប៉ះពាល់ react-server-dom-* កំណែកញ្ចប់គឺ 19.0.0 — 19.0.8 , 19.1.0 — 19.1.9 , 19.2.0 — 19.2.8 , 19.3.0 ; សូមមើលជំពូក 2.1. កម្មវិធីរុករកសុទ្ធ React ឬកម្មវិធីដែលមិនប្រើក្របខ័ណ្ឌ/កម្មវិធីជំនួយដែលគាំទ្រ RSC ទាំងអស់ កុំធ្លាក់ក្នុងវិសាលភាពនៃធាតុនេះ។ S10

Next.js បញ្ជីនៃសេចក្តីប្រកាសខាងក្រោម 16.0.0 — 16.4.0 , បាន​កែប្រែ​នៅ​ក្នុង​ 16.4.1 ; សេណារីយ៉ូគឺ App Router , Cache Components , និង use cache មុខងារដែលត្រឡប់អារេដែលបានវាយច្រើន។ មិនមានដំណោះស្រាយទូទៅដែលអាចទុកចិត្តបានជាផ្លូវការទេ ហើយអ្នកប្រើប្រាស់នៃកំណែដែលរងផលប៉ះពាល់ត្រូវបានតម្រូវឱ្យធ្វើបច្ចុប្បន្នភាពទាន់ពេល។ វាមិនសមស្របទេដែលគ្រាន់តែពឹងផ្អែកលើការស្វែងរកដោយដៃសម្រាប់ “មុខងារនេះហាក់ដូចជាមិនមាន” ដើម្បីបញ្ចប់ដំណើរការ។ S9

ឯកសារយោង: B. SVG Image Optimization RCE

CVE-2026-96889/GHSA-2464-fhr4-w9xw, 2026-10-14, Critical, CVSS 4.0 9.5 ។ បញ្ហា កើតឡើងនៅក្នុងបណ្ណាល័យដើមខាងលើ ដែលប្រើសម្រាប់ការបង្កើនប្រសិទ្ធភាពរូបភាព។ មន្ត្រីបានចង្អុលបង្ហាញថាហានិភ័យ RCE មាននៅក្នុងសេណារីយ៉ូ glibc Linux ។ S11

វាលកំណែផ្លូវការគឺ៖

• >=10.0.0 <=15.5.27；
• >16.0.0 <=16.4.0。

មន្ត្រីប្រើប្រាស់ដែនកំណត់ទាបនៃ >16.0.0 សម្រាប់សាខា 16.x ប៉ុន្តែសេចក្តីថ្លែងការណ៍ជួរនេះមិនគ្រប់គ្រាន់ដើម្បីបញ្ជាក់ថា 16.0.0 មានសុវត្ថិភាពនោះទេ។ គោលដៅធ្វើឱ្យប្រសើរឡើងពិតប្រាកដគឺដូចគ្នា 15.5.28 / 16.4.1 ។ S11

ដំណោះស្រាយបណ្តោះអាសន្នផ្លូវការគឺដើម្បីធានាថា Next ពិតជាផ្ទុកយ៉ាងមុតស្រួច ≥0.35.5 ។ ឯកសារចាក់សោ ភាពអាស្រ័យដែលជាប់គាំង និងរូបភាពនៃការដាក់ពង្រាយអាចនៅតែរក្សាទុកឧទាហរណ៍ចាស់ ដូច្នេះគ្រាន់តែបន្ថែមកំណែថ្មីនៃភាពអាស្រ័យ sharp នៅកម្រិតកំពូលគឺមិនគ្រប់គ្រាន់ទេ មែកធាងពឹងផ្អែកចុងក្រោយគួរតែត្រូវបានពិនិត្យ និងបង្កើតឡើងវិញ។ S11

C. Server Actions CPU អស់កំលាំង

GHSA-p3m5-59mp-jv5r , 2026-10-14, High , CVSS 4.0 8.2 . Next ប៉ះពាល់ 13.0.0 — 15.5.27 , 16.0.0 — 16.4.0 , ជួសជុល 15.5.28 / 16.4.1 . លក្ខខណ្ឌគឺ App Router និងយ៉ាងហោចណាស់មួយ។ Server Action ; សំណើព្យាបាទអាចរក្សាបាន។ CPU កាន់កាប់អស់រយៈពេលជាយូរមកហើយរារាំងសំណើជាបន្តបន្ទាប់ក្នុងដំណើរការដូចគ្នា។ កម្មវិធីជាមួយ Pages Router ឬដោយគ្មាន Server Actions មិនរងផលប៉ះពាល់ដោយរឿងនេះទេ។ S12

មិនមានដំណោះស្រាយផ្លូវការដែលអាចជំនួសការធ្វើឱ្យប្រសើរឡើងបានទេ។ ដែនកំណត់អត្រា ដែនកំណត់ស្របគ្នា និងកូតាធនធានអាចកាត់បន្ថយការខូចខាត ប៉ុន្តែមិនអាចប្រើជាការសន្និដ្ឋានសម្រាប់ការផ្ទៀងផ្ទាត់បំណះបានទេ។

3.5 មុន Next.js នៅក្នុងបង្អួចដូចគ្នា បញ្ហាធ្ងន់ធ្ងរ

ធាតុខាងក្រោមមានគោលបំណងដើម្បីជៀសវាងការបាត់ការដាក់ពង្រាយដែលនៅតែជាប់គាំងនៅលើកំណែមុនខែសីហាដល់ខែកញ្ញា។ វាមិនត្រូវបានផ្តល់អនុសាសន៍ឱ្យគ្រាន់តែផ្លាស់ទីឡើងទៅកម្រិតជួសជុលចាស់នៅក្នុងតារាងឥឡូវនេះទេ។

កាលបរិច្ឆេទ	ឧបករណ៍កំណត់អត្តសញ្ញាណ / សេណារីយ៉ូ	ជួសជុលដំបូង; សកម្មភាពបច្ចុប្បន្ន
2026-08-25	GHSA-2xp9-vwfh-vxw4៖ AVIF បណ្ណាល័យដើមកំណើត RCE, Critical	15.5.24 / 16.3.3; ឥឡូវនេះ 15.5.28 / 16.4.1 S13
2026-08-25	CVE-2026-75604៖ RCE, Critical នៅពេល Pages Router និង App Router ត្រូវបានប្រើក្នុងពេលដំណាលគ្នានៅលើ Windows ហើយ Cache Components មិនត្រូវបានបើកទេ។ កំណែ >=13.4.0 <15.5.24, >=16.0.0 <16.3.3	15.5.24 / 16.3.3; Linux/macOS មិនរងផលប៉ះពាល់ដោយបញ្ហា Windows ជាក់លាក់នេះ S14
2026-09-22	GHSA-vcvr-r3jv-pc5j៖ ផ្លូវបង្កើតរូបភាព Node នៅក្នុង next/og ដំណើរការ SVG, Critical ដែលមិនគួរឱ្យទុកចិត្ត។ 16.2.0—16.3.5	16.3.6; ការអនុវត្ត Edge គឺនៅក្រៅវិសាលភាពនៃបញ្ហានេះ ហើយ 15.x មិនមែនជាសាខាដែលរងផលប៉ះពាល់សម្រាប់ RCE S15 នេះទេ។

4. ប្រព័ន្ធអេកូ Java៖ ការទុកចិត្តពេលដំណើរការ ធុង និងក្របខ័ណ្ឌត្រូវបានគ្រប់គ្រងដោយឡែកពីគ្នា

4.1 JDK៖ ធម្មតា CPU និង CVE-2026-91403 គឺជាការអាប់ដេតពីរជាន់

នេះ។ Java SE ម៉ាទ្រីសហានិភ័យសម្រាប់ Oracle CPU បញ្ជីឈ្មោះនៅថ្ងៃទី ២០ ខែតុលា 55 បំណះសុវត្ថិភាពថ្មី 49 ដែលត្រូវបានសម្គាល់ថាអាចកេងប្រវ័ញ្ចលើបណ្តាញដោយគ្មានការផ្ទៀងផ្ទាត់ . នេះមិនមានន័យថាមាន ៥៥ ទេ។ Critical ហើយក៏មិនមានន័យថាមាន 49 ដែលអាចកេងប្រវ័ញ្ចដោយផ្ទាល់នោះទេ។ RCE ផ្លូវសម្រាប់នីមួយៗ Java សេវាបណ្តាញ; វាត្រូវតែត្រូវបានយល់ដោយភ្ជាប់ជាមួយសមាសភាគ APIs អន្តរកម្មអ្នកប្រើប្រាស់ និងលក្ខខណ្ឌនៃការប្រើប្រាស់នៅក្នុងម៉ាទ្រីស។ S16

នៅថ្ងៃបន្ទាប់ CVE-2026-91403 (CVSS 3.1 9.1) ដោះស្រាយជាមួយនឹងប្រភេទនៃហានិភ័យផ្សេងទៀត៖ សំណុំនៃ CA កម្រិតមធ្យមដែលទាក់ទងនឹងព្រឹត្តិការណ៍ eMudhra ដែលមិនគួរឱ្យទុកចិត្តទៀតទេ។ វាប៉ះពាល់ដល់ TLS ការផ្ទៀងផ្ទាត់ភាពត្រឹមត្រូវ និងទំនាក់ទំនងសម្ងាត់/សុចរិតភាព ហើយមិនអាចពិពណ៌នាថាជា JVM ភាពងាយរងគ្រោះនៃអំពើពុករលួយនៃអង្គចងចាំនោះទេ។ S17

ការណែនាំ Oracle រាយបញ្ជីកំណែដែលបានចេញផ្សាយនៅថ្ងៃទី 20 ខែតុលាថារងផលប៉ះពាល់ ដូច្នេះការអាប់ដេតក្រៅក្រុមនៅថ្ងៃទី 21 ខែតុលាក៏ត្រូវដំឡើងផងដែរ។ សូមមើលផ្នែក 2.2 សម្រាប់កំណែជាក់លាក់។ GraalVM ក៏មានផលិតផលដែលរងផលប៉ះពាល់ដែលត្រូវគ្នាដែរ ហើយកំណែថេរគួរតែជាកម្មវត្ថុនៃព្រឹត្តិបត្រសុវត្ថិភាពផ្តាច់មុខរបស់វា។ S17S18

វិធានការផ្លូវការបណ្តោះអាសន្ន៖ បម្រុងទុកជាមុន ហើយបន្ទាប់មកយកវិញ្ញាបនបត្រឫសគល់ដែលបានបញ្ជាក់ចេញពីហាងជឿទុកចិត្តនីមួយៗដែលបានប្រើជាក់ស្តែង៖

• emSign ECC Root CA - G3, Oracle ឈ្មោះក្លែងក្លាយ emsigneccrootcag3 [jdk] ។
• AAA Certificate Services, Oracle ឈ្មោះក្លែងក្លាយ comodoaaaca [jdk] ។ S19

JDK 11 និងក្រោយនេះ ឧទាហរណ៍ផ្លូវការគឺ៖

keytool -delete -cacerts -alias "emsigneccrootcag3 [jdk]"
keytool -delete -cacerts -alias "comodoaaaca [jdk]"

ប្រើ keytool ពីគោលដៅ JDK សម្រាប់ពាក្យបញ្ជាទាំងនេះ ហើយបញ្ជាក់ថាពួកគេកំពុងដំណើរការនៅលើហាងជឿទុកចិត្តពិតប្រាកដនៃកម្មវិធី។ Java 8 ប្រើផ្លូវដែលត្រូវនឹង jre/lib/security/cacerts; ការប្ដូរតាមបំណងនូវ truststore ត្រូវតែដោះស្រាយដោយឡែកពីគ្នា ហើយអ្នកបោះពុម្ពផ្សេងទៀតអាចមានឈ្មោះក្លែងក្លាយផ្សេងគ្នា។ ការដកវិញ្ញាបនបត្រជា root នឹងពង្រីកវិសាលភាពនៃការបដិសេធ ហើយការតំរែតំរង់ - សាកល្បងខ្សែសង្វាក់វិញ្ញាបនបត្រសេវាកម្មស្របច្បាប់។ S19

មន្ត្រីក៏ផ្តល់ជម្រើសដើម្បីបើកការត្រួតពិនិត្យការដកហូត ប៉ុន្តែឥទ្ធិពលអាស្រ័យទៅលើការអនុវត្តជាក់ស្តែង TLS លទ្ធភាពទទួលបានសេវាដកហូត និងយុទ្ធសាស្រ្តបរាជ័យ។ សម្រាប់ការដាក់ពង្រាយទូទៅ កំណត់អាទិភាពក្នុងការដំឡើងការអាប់ដេតរបស់អ្នកលក់ពេញលេញ ដើម្បីជៀសវាងការព្យាបាលការប្តូរ JVM ចំនួនពីរដែលជាភស្តុតាងដែលថាបណ្ណាល័យ TLS ទាំងអស់ត្រូវបានជួសជុល។

4.2 Tomcat៖ ការឆ្លងកាត់ការផ្ទៀងផ្ទាត់ភាពត្រឹមត្រូវ និងការញែកសំណើអ្នកប្រើប្រាស់ឆ្លងកាត់

ធាតុបីខាងក្រោមត្រូវបានបោះពុម្ពនៅលើ 2026-10-20; ធាតុកំណែដែលបានជួសជុលគឺចុះកាលបរិច្ឆេទ October 12 ។ ថ្នាក់ផ្លូវការរបស់ Apache គឺ Important ។ S21S22S23

CVE	កំណែដែលរងផលប៉ះពាល់ត្រូវបានបញ្ជាក់	សេណារីយ៉ូ/លទ្ធផលចាំបាច់
CVE-2026-101296	9.0.0.M1—9.0.122；10.1.0-M1—10.1.60；11.0.0-M1—11.0.26	JNDIRealm កំណត់រចនាសម្ព័ន្ធយន្តការផ្ទៀងផ្ទាត់ដែលមិនមែនជា GSSAPI SASL ការផ្ទៀងផ្ទាត់អត្តសញ្ញាណត្រូវបានបាត់ ហើយពាក្យសម្ងាត់មិនត្រឹមត្រូវក៏អាចឆ្លងកាត់ផងដែរ។
CVE-2026-101356	9.0.118—9.0.122；10.1.55—10.1.60；11.0.22—11.0.26	HTTP/2 ការគ្រប់គ្រងកំហុស Servlet របស់អសមកាលកម្ម កែច្នៃ/ប្រើវត្ថុឡើងវិញដោយមិនត្រឹមត្រូវ ដែលបណ្តាលឱ្យសំណើ ឬការឆ្លើយតបត្រូវបានលាយបញ្ចូលគ្នារវាងអ្នកប្រើប្រាស់
CVE-2026-103119	គ្រាន់តែបញ្ជាក់ 11.0.0-M25—11.0.26	ការសរសេរដែលមិនទប់ស្កាត់ AJP ធំអាចបណ្តាលឱ្យមានសតិបណ្ដោះអាសន្នដែលកំពុងអាន ដោយបង្ហាញទិន្នន័យឆ្លើយតបពីមុននៅក្នុងសំណើនៅពេលក្រោយ។

ការជួសជុលដែលត្រូវគ្នាគឺ 9.0.123 / 10.1.61 / 11.0.27; AJP ត្រូវបានចុះបញ្ជីត្រឹមតែ Tomcat 11 យោងតាមការប្រកាស ហើយមិនអាចពង្រីកដល់បីសាខាដែលមានបញ្ហាដូចគ្នានោះទេ។ S21S22S23

បំណះ JNDIRealm ជួសជុលគម្លាតផ្ទៀងផ្ទាត់នៅក្នុងដំណើរការផ្ទៀងផ្ទាត់ពិតប្រាកដ ដែល “ចំណុចប្រទាក់ចូលកម្មវិធីមើលទៅធម្មតា” មិនអាចប្រើជំនួសឱ្យការផ្ទៀងផ្ទាត់បានទេ។ Realm, យន្តការ SASL គួរតែត្រូវបានពិនិត្យសម្រាប់ការកំណត់រចនាសម្ព័ន្ធពិតប្រាកដនៃសេវាកម្ម ហើយការធ្វើតេស្តត្រូវតែបរាជ័យសម្រាប់ពាក្យសម្ងាត់មិនត្រឹមត្រូវ។ S24

ការណែនាំអំពីការអនុវត្តបណ្តោះអាសន្ន៖ ញែកផ្លូវផ្ទៀងផ្ទាត់ដែលរងផលប៉ះពាល់។ ផ្អាកដំណើរការ HTTP/2 នៃ Tomcat នៅពេលអនុញ្ញាតអាជីវកម្ម។ បិទ AJP ដែលគ្មានប្រយោជន៍។ មានតែការរឹតបន្តឹងការចូលដោយផ្ទាល់ទៅកាន់ច្រក AJP មិនអាចបង្ហាញថាចរាចរណ៍ដែលចូលតាមរយៈប្រូកស៊ីផ្នែកខាងមុខស្របច្បាប់នឹងមិនរងផលប៉ះពាល់ទេ។ បន្ទាប់ពីការអាប់ដេតជាផ្លូវការ សំណើស្របគ្នាអសមកាលពីអ្នកប្រើប្រាស់ឯករាជ្យពីរនាក់គួរតែត្រូវបានសាកល្បង ដើម្បីបញ្ជាក់ថាមិនមានការនិយាយឆ្លងគ្នារវាងអត្តសញ្ញាណ និងការឆ្លើយតបទេ។

ឯកសារយោង: 4.3 Spring for GraphQL：CVE-2026-59285

កាលបរិច្ឆេទសាធារណៈ៖ 2026-08-20; High. រងផលប៉ះពាល់ 2.0.0—2.0.4, ជួសជុល 2.0.5 (OSS) ឬ 2.0.4.1 (ជំនួយពាណិជ្ជកម្ម) ។ S25

នេះ​គឺ​ជា​ហានិភ័យ​ដែល​មិន​មាន​សុវត្ថិភាព​នៅ​ក្នុង​សំណួរ​ទំព័រ។ តម្រូវការជាផ្លូវការគឺថាលក្ខខណ្ឌខាងក្រោមត្រូវតែបំពេញក្នុងពេលតែមួយ:

1. ប្រើ Spring for GraphQL ។
2. Deserialize JSON ដោយប្រើ Jackson 2.x.
3. ផ្តល់កន្លែងភ្ជាប់ទំនាក់ទំនងទៅកាន់ពិភពខាងក្រៅ។
4. classpath មានថ្នាក់ជាក់លាក់ដែលអាចអនុវត្តតក្កវិជ្ជាដែលមិនបានរំពឹងទុកកំឡុងពេល instantiation ឬ deserialization ។

សំណើ GraphQL ព្យាបាទអាចបណ្តាលឱ្យ RCE នៅពេលដែលលក្ខខណ្ឌត្រូវបានបំពេញ។ វាមិនអាចត្រូវបានកាត់បន្ថយទៅជា “កម្មវិធី Java ទាំងអស់ដោយប្រើ Jackson អាចត្រូវបានកេងប្រវ័ញ្ច” ។ S25

Why 2.0.4 មិនគ្រប់គ្រាន់ទេ៖ នៅក្នុងខែមិថុនា CVE-2026-41699 បានផ្តល់បន្ទាត់មូលដ្ឋានដូចជា 2.0.4 ហើយនៅក្នុងខែសីហា សេចក្តីប្រកាសបានរួមបញ្ចូល 2.0.4 ទៅក្នុងឥទ្ធិពលថ្មី។ ដូច្នេះ កំណត់ត្រាជួសជុលត្រូវតែធ្វើបច្ចុប្បន្នភាពយោងទៅតាមការប្រកាសជាបន្តបន្ទាប់ ហើយកំណែអប្បបរមានៃ CVE ចាស់មិនអាចប្រើបានទេ។ S26

នៅពេលដែលការអាប់ដេតមិនអាចប្រើបានជាបណ្ដោះអាសន្ន ប្រអប់ទំព័រដែលរងផលប៉ះពាល់ដែលអាចចូលប្រើបានសម្រាប់អ្នកហៅទូរសព្ទដែលមិនគួរឱ្យទុកចិត្តអាចត្រូវបានផ្អាក។ ការបង្រួញ​ប្រភេទ​ដែល​អាច​ដក​ចេញ​បាន និង​ផ្លូវ​ថ្នាក់​គឺជា​វិធានការ​ស៊ីជម្រៅ។ ការតំរែតំរង់គួរតែគ្របដណ្ដប់លើទស្សន៍ទ្រនិចផ្លូវច្បាប់ លទ្ធផលដែលបានបិទភ្ជាប់ និងការបដិសេធការបញ្ចូលករណីលើកលែង ហើយពិនិត្យមើលកំណែសមាសភាគជាក់ស្តែងនៅក្នុងកម្មវិធីចុងក្រោយ JAR ។

4.4 Spring Security៖ CVE-2026-59270 និងហានិភ័យនៃការផ្ទៀងផ្ទាត់ដែលពាក់ព័ន្ធ

CVE-2026-59270, 2026-08-20, Critical. ដែលបានបង្កប់ UnboundIdContainer ចុះឈ្មោះអត្តសញ្ញាណអ្នកគ្រប់គ្រងដែលគេស្គាល់តាមលំនាំដើម ហើយស្តាប់នៅលើចំណុចប្រទាក់បណ្តាញទាំងអស់។ នៅពេលដែលសមាសភាគត្រូវបានបើក ហើយច្រកអាចទៅដល់បាន អ្នកវាយប្រហារអាចអាន ឬកែប្រែទិន្នន័យថត។ គម្រោងដែលជាទូទៅណែនាំ Spring Security នឹងមិនបង្ហាញ LDAP ដោយស្វ័យប្រវត្តិទេ។ S27

តំបន់រងផលប៉ះពាល់៖

សាខា	រងផលប៉ះពាល់	ឆានែលជួសជុល / ទិញដំបូង
7.1	7.1.0	7.1.1 OSS; 7.1.0.1 ផងដែរ។
7.0	7.0.0—7.0.6	7.0.7 OSS; 7.0.6.1 ផងដែរ។
6.5 / 6.4	6.5.0—6.5.11；6.4.0—6.4.18	6.5.12/6.4.19, ពាណិជ្ជកម្ម
5.8 / 5.7	5.8.0—5.8.27；5.7.0—5.7.25	5.8.28/5.7.26, ពាណិជ្ជកម្ម

ប្រភព៖ S27 ។ ដោះស្រាយបញ្ហាការកំណត់រចនាសម្ព័ន្ធដោយស្វ័យប្រវត្តិ spring.ldap.embedded.* និងលេខកូដភ្លាមៗដោយផ្ទាល់។ បិទសមាសធាតុនៅពេលដែលវាមិនត្រូវការសម្រាប់ការផលិត ហើយពិនិត្យមើលអាសយដ្ឋានស្តាប់ពិតប្រាកដ។ នៅពេលដែលអាជីវកម្មពិតជាត្រូវការវា ជាដំបូងកំណត់ប្រភពការហៅទូរសព្ទ ហើយបន្ទាប់មកបញ្ចប់ការអាប់ដេតសមាសភាគ។

បញ្ហាការផ្ទៀងផ្ទាត់ដែលពាក់ព័ន្ធ៖ CVE-2026-47841 ( High ). WebAuthn ការផ្ទៀងផ្ទាត់អ្នកប្រើប្រាស់ត្រូវបានកំណត់ទៅ REQUIRED ហើយបន្ទាប់ពី HTTP សម័យ​ត្រូវ​បាន​ធ្វើ​ជា​ស៊េរី​ដោយ​ការ​ផ្ទុក​ចែកចាយ ការ​ប្រៀបធៀប​អត្តសញ្ញាណ​វត្ថុ​ដែល​មិន​ត្រឹមត្រូវ​អាច​ធ្វើ​ឱ្យ​តម្រូវការ​ការ​ផ្ទៀងផ្ទាត់​ភាព​ត្រឹមត្រូវ​មិន​ត្រឹមត្រូវ។ ការវាយប្រហារក៏តម្រូវឱ្យអ្នកវាយប្រហារមានឧបករណ៍ផ្ទៀងផ្ទាត់អ្នកប្រើប្រាស់ មិនមែនការចូលពីចម្ងាយដោយបំពានដោយគ្មានឧបករណ៍នោះទេ។ សម្រាប់កំណែដែលរងផលប៉ះពាល់ដែលត្រូវគ្នានៃ 7.1 , 7.0 , 6.5 , និង 6.4 បន្ទាត់មូលដ្ឋានបំណះគឺស្របជាមួយនឹងសាខាទាំងនេះនៅក្នុងតារាងខាងលើ។ ការផ្ទៀងផ្ទាត់គួរតែគ្របដណ្តប់វគ្គឆ្លងថ្នាំង ហើយនៅតែទាមទារការផ្ទៀងផ្ទាត់លេខសម្ងាត់/ជីវមាត្រ។ S28

5. ប្រព័ន្ធអេកូ Python៖ អ្នកបកប្រែ បណ្ណាល័យស្តង់ដារ ក្របខ័ណ្ឌ និងវិញ្ញាបនបត្រ

5.1 CVE-2026-19445: SSLContext UAF ក្នុង SNI ហៅត្រឡប់មកវិញ

កាលបរិច្ឆេទនៃការបោះពុម្ពផ្សាយ៖ 2026-09-30; កម្រិត PSF៖ Critical. នៅក្នុងម៉ាស៊ីនមេ Python TLS, sni_callback ប្តូរការតភ្ជាប់ទៅ SSLContext ផ្សេងទៀត ហើយនៅពេលដែលបរិបទដើមផ្សេងទៀតមិនមានសេចក្តីយោង ម៉ាស៊ីនភ្ញៀវ TLS អាចនឹងគាំងសេវាកម្ម ឬហៅទៅកាន់ទ្រនិចនៅក្នុងវត្ថុដែលបានចេញផ្សាយ។ S29

ស្នូលគឺថាវត្ថុ Python គឺមិនស៊ីគ្នាជាមួយនឹងវដ្តជីវិតហៅត្រឡប់មកវិញ TLS មូលដ្ឋាន។ បរិបទដើមត្រូវបានចេញផ្សាយ ហើយស្រទាប់ខាងក្រោមអាចនៅតែរក្សាស្ថានភាពដែលត្រូវការសម្រាប់ការហៅត្រឡប់មកវិញ។ បំណះកំណើតអ្នកបកប្រែត្រូវប្រើដើម្បីជួសជុលវដ្តជីវិតយោង។ S47

Scope: Python កូដដែលដើរតួជាម៉ាស៊ីនភ្ញៀវ TLS មិនត្រូវបានប៉ះពាល់ដោយធាតុនេះទេ។ របៀបធម្មតានៃរន្ធស្តាប់ដែលកាន់បរិបទដើមសម្រាប់រយៈពេលដ៏យូរមិនធ្លាក់ចូលទៅក្នុងផ្លូវបរាជ័យជាក់លាក់ដែលបានពិពណ៌នានៅក្នុងសេចក្តីប្រកាសនោះទេ។ បន្ទាប់ពី Nginx បញ្ចប់ TLS វាគ្រាន់តែប្រគល់ HTTP ក្នុងស្រុកទៅ Python ហើយ Python គ្រប់គ្រង SNI ដោយផ្ទាល់ ដែលជាផ្ទៃវាយប្រហារផ្សេងគ្នា។ S29

ដែលត្រូវគ្នាទៅនឹងកំណែថេរ 3.10—3.14 សូមមើលផ្នែក 2.3. កំណែផ្លូវការរបស់ 3.15 ត្រូវបានជួសជុល ហើយ 3.15.1 ពិតជាអាចត្រូវបានជ្រើសរើស។ មានតែការធ្វើបច្ចុប្បន្នភាពភាពអាស្រ័យ pip មិនអាចជំនួសការអនុវត្ត _ssl របស់អ្នកបកប្រែបានទេ។ S33S35S47

ការបន្ធូរបន្ថយបណ្តោះអាសន្នជាផ្លូវការ៖ រក្សាឯកសារយោងខ្លាំងចំពោះ SSLContext ទាំងអស់ដែលបានកំណត់ការហៅត្រឡប់ SNI រហូតដល់ចុងបញ្ចប់នៃវដ្តជីវិតរបស់ម៉ាស៊ីនមេ។ នេះត្រូវការគ្របដណ្តប់លើការបង្កើតថាមវន្តពិតប្រាកដ និងផ្លូវប្តូរ។ ការស្ថាបនា OpenSSL 1.1.1 ផ្ទាល់ខ្លួនក៏គួរតែពិនិត្យមើលលក្ខខណ្ឌនៃការចរចាឡើងវិញដោយភ្ជាប់ជាមួយកំណត់ត្រាបញ្ហាផ្លូវការ និងផ្តល់អាទិភាពដល់ការធ្វើបច្ចុប្បន្នភាពពេញលេញ។ S29S47

5.2 CVE-2026-19553៖ ទង់ឈ្មោះម៉ាស៊ីនត្រូវបានបើក ប៉ុន្តែឈ្មោះម៉ាស៊ីនបាត់នៅពេលហៅទូរសព្ទ

កាលបរិច្ឆេទសាធារណៈ៖ 2026-09-30; High ។ នៅពេលដែលSSLContext.check_hostname=True ប្រសិនបើ wrap_bio() មិនត្រូវបានឆ្លងកាត់នៅក្នុង server_hostname ការអនុវត្តដើមអាចរំលងការផ្ទៀងផ្ទាត់ឈ្មោះម៉ាស៊ីនដោយស្ងៀមស្ងាត់។ ការផ្ទៀងផ្ទាត់ខ្សែសង្វាក់វិញ្ញាបនបត្រដែលទទួលបានជោគជ័យមិនមានន័យថាឈ្មោះដែនគោលដៅក៏ត្រូវបានផ្គូផ្គងផងដែរ។ S30

ដំណោះស្រាយត្រូវការជំហានទាំងពីរ៖

• ដំឡើងការចេញផ្សាយសុវត្ថិភាពអ្នកបកប្រែដែលមានរាយក្នុងផ្នែក 2.3.
• ពិនិត្យមើលផ្លូវ wrap_bio() ដែលពាក់ព័ន្ធ asyncio.create_connection() / loop.start_tls() ឆ្លងកាត់យ៉ាងច្បាស់នៅក្នុងឈ្មោះម៉ាស៊ីនដែលរំពឹងទុក និងមិនទទេ ហើយរក្សាការផ្ទៀងផ្ទាត់វិញ្ញាបនបត្របើក។ S30

**ភាពខុសគ្នានៃភាពត្រូវគ្នាដែលមិនអាចលុបចោលបាន៖**3.10, 3.11, 3.12 គឺសម្រាប់ភាពឆបគ្នា មានតែ DeprecationWarning ប៉ុណ្ណោះដែលត្រូវបានចេញសម្រាប់ករណីមួយចំនួនដែលបាត់ឈ្មោះម៉ាស៊ីន។ 3.13 ហើយក្រោយមកបង្កើន ValueError ។ ច្រកខាងក្រោយ 3.12 ក៏បែងចែក None យ៉ាងច្បាស់ពីខ្សែអក្សរទទេ៖ ការព្រមានថ្មីត្រូវបានបន្ថែមសម្រាប់ None ហើយកំហុសនៅតែត្រូវបានរាយការណ៍សម្រាប់ខ្សែទទេ។ ដូច្នេះ អ្នក​ប្រើ​សាខា​ទាប​មិន​អាច​សន្មត់​ថា​ការ​ផ្ទៀងផ្ទាត់​ឈ្មោះ​ដែន​ដែល​បាត់​ពី​ដើម​ត្រូវ​បាន​ស្ដារ​ឡើង​វិញ​ដោយ​ស្វ័យ​ប្រវត្តិ​ដោយ​ការ​ធ្វើ​ឱ្យ​ប្រសើរ​ឡើង។ S31S33

នៅក្នុងបរិយាកាសសាកល្បង ប្រើវិញ្ញាបនបត្រខ្សែសង្វាក់ដែលគួរឱ្យទុកចិត្តដែលមានឈ្មោះម៉ាស៊ីនមិនត្រូវគ្នា ហើយបញ្ជាក់ថាកម្មវិធីពិតប្រាកដ TLS ម៉ាស៊ីនភ្ញៀវបដិសេធវា។ ការអានតម្លៃប៊ូលីន check_hostname មិនមែនជាការទទួលយកពេញលេញទេ។

5.3 CVE-2026-82049៖ តំណភ្ជាប់ការ​ឆ្លង​កាត់​ក្នុង​តម្រង​ឯកសារ

កាលបរិច្ឆេទសាធារណៈ៖ 2026-09-14; High . ក្នុង CPython 3.13 និងការអនុវត្តដែលពាក់ព័ន្ធពីមុន ការរួមបញ្ចូលគ្នានៃតំណភ្ជាប់រឹង និងតំណភ្ជាប់និមិត្តសញ្ញានៅក្នុង tar ដែលមិនគួរឱ្យទុកចិត្តអាចឆ្លងកាត់ data / tar តម្រងការស្រង់ចេញ ការលាតត្រដាងមាតិកានៃឯកសារនៅខាងក្រៅថតវេចខ្ចប់ក្នុងមែកធាងពន្លា ឬកែប្រែការអនុញ្ញាត និងពេលវេលាកែប្រែរបស់វា។ S32

ផលប៉ះពាល់ដែលបានបញ្ជាក់នៃភាពងាយរងគ្រោះនេះរួមមានការប៉ះពាល់ខ្លឹមសារឯកសារ និងការកែប្រែទិន្នន័យមេតា។ ផលប៉ះពាល់ទាំងនេះតែម្នាក់ឯងមិនគ្រប់គ្រាន់ដើម្បីបង្ហាញពីការសរសេរជាន់លើដោយបំពាននៃមាតិកាឯកសារខាងក្រៅ ឬការអនុវត្តដោយគ្មានលក្ខខណ្ឌនៃ RCE ។

សម្រាប់មូលដ្ឋានបំណះដែលត្រូវគ្នានៃ 3.10 — 3.13 សូមមើលផ្នែក 2.3. Python 3.14 ត្រូវបានលើកលែងពីបញ្ហាជាក់លាក់នេះដោយសារតែ os.link() ការផ្លាស់ប្តូរអាកប្បកិរិយាចាប់តាំងពីពេលនោះមក 3.14.0b1 ដូច្នេះវិសាលភាពដែលរងផលប៉ះពាល់នៃ 3.10 — 3.13 សាខាខាងលើមិនអនុវត្តទេ។ S33

វិធានការបណ្តោះអាសន្ន និងស៊ីជម្រៅ៖ ផ្អាកការទាញយកបណ្ណសារដែលមិនគួរឱ្យទុកចិត្តដោយស្វ័យប្រវត្តិ។ ប្រើដំណើរការកម្មករដែលមានឯកសិទ្ធិទាបដាច់ដោយឡែក និងបញ្ជីផ្តាច់មុខថ្មី នៅពេលដែលអាជីវកម្មត្រូវតែដំណើរការ បដិសេធតំណភ្ជាប់និមិត្តសញ្ញា តំណភ្ជាប់រឹង និងធាតុឧបករណ៍ដោយអាជីវកម្ម និងកំណត់ចំនួនឯកសារ និងធនធានបង្រួម។ ទាំងនេះគឺជាការណែនាំអំពីការដាក់ពង្រាយ។

filter="data" គឺស័ក្តិសមសម្រាប់បណ្ណសារទូទៅដែលមិនគួរឱ្យទុកចិត្តជាងយុទ្ធសាស្ត្រទុកចិត្តពេញលេញ ប៉ុន្តែតម្រងខ្លួនវានៅលើកំណែចាស់ក៏មានភាពងាយរងគ្រោះនេះផងដែរ ហើយការបន្ថែមប៉ារ៉ាម៉ែត្រនេះតែម្នាក់ឯងមិនអាចជំនួសការអាប់ដេតបានទេ។ តម្រងក៏មិនមែនជាប្រអប់ខ្សាច់ប្រព័ន្ធឯកសារពេញលេញដែរ។ S32S45

5.4 ហានិភ័យបន្ថែម៖ CVE-2026-114583 (Medium) និងស្ថានភាពចេញផ្សាយបំណះ

PSF បានបង្ហាញនៅក្នុង 2026-10-22 ថាការដំណើរការរបស់ tarfile.tar_filter នៃឈ្មោះតំណជាក់លាក់អាចត្រូវបានរំលង ដែលអនុញ្ញាតឱ្យសមាជិកជាបន្តបន្ទាប់សរសេរនៅខាងក្រៅថតពន្លា ដោយមានកម្រិតមួយ Medium ។ ការជួសជុលជាផ្លូវការ PR ត្រូវបានបញ្ចូលគ្នានៅថ្ងៃនោះ; គិតត្រឹមថ្ងៃទី 23 ខែតុលា ឆ្នាំ 2026 គ្មានការចេញផ្សាយការថែទាំជាផ្លូវការដែលមានការប្តេជ្ញាចិត្តនេះ ត្រូវបានបញ្ជាក់។ S40

ដូច្នេះ៖

• ធាតុនេះត្រូវបានរាយដោយឡែកពីគ្នាជា Medium ។
• កំណែអ្នកបកប្រែដែលបានចេញផ្សាយនៅថ្ងៃទី 21 ខែតុលា មិនអាចចាត់ទុកថាបានរួមបញ្ចូលការជួសជុលនេះទេ។
• ដំណើរការដែលនៅតែប្រើ filter="tar" ដើម្បីគ្រប់គ្រងបណ្ណសារដែលមិនគួរឱ្យទុកចិត្តគួរតែតាមដានការចេញផ្សាយ backport ។ ដាក់ឱ្យនៅដាច់ដោយឡែក ឬផ្អាកផ្លូវដំណើរការនេះក្នុងរយៈពេលខ្លី។ នៅពេលប្តូរទៅ data និងបដិសេធតំណភ្ជាប់ អ្នកក៏ត្រូវតែបញ្ជាក់ផងដែរថាវាបំពេញតាមតម្រូវការអាជីវកម្ម ហើយការផ្លាស់ប្តូរតម្រងមិនអាចពិពណ៌នាថាជាប្រអប់ខ្សាច់ដោយគ្មានលក្ខខណ្ឌបានទេ។

5.5 GeoDjango: CVE-2026-15307 និងការជួសជុលជាបន្តបន្ទាប់ក្នុងខែតុលា

2026-08-04, Django ផ្លូវការ High. សំណួរតាមលំហ ឆ្លងកាត់ខ្សែអក្សរ/វចនានុក្រមជាក់លាក់មួយចំនួនទៅ GDALRaster ហើយអ្នកបើកបរអាចស្នើសុំបណ្តាញ ឬសរសេរឯកសារ។ RCE អាចត្រូវបានបង្កើតឡើងនៅពេលដែលមានផ្លូវជាក់លាក់ និងលក្ខខណ្ឌនៃការប្រតិបត្តិជាបន្តបន្ទាប់។ បុគ្គលិកដែលមានសិទ្ធិមើលគំរូវាលលំហក៏អាចចូលប្រើផ្លូវនេះតាមរយៈបញ្ជីផ្លាស់ប្តូរអ្នកគ្រប់គ្រងផងដែរ។ S38

ការជួសជុលដំបូងគឺ 5.2.17 / 6.0.8 ដែលដាក់កម្រិតលើប្រភេទបញ្ចូលដែលទទួលយកដោយការរកមើលទំហំ។ ការផ្លាស់ប្តូរនេះអាចប៉ះពាល់ដល់អាជីវកម្មដើមនៃការប្រើប្រាស់ខ្សែអក្សរ/វចនានុក្រមដើម្បីបង្ហាញសញ្ញារ៉ាស្ទ័រ។ គ្រាន់តែរុំការបញ្ចូលដែលមិនគួរឱ្យទុកចិត្តទៅក្នុង GDALRaster មិនមានន័យថាផ្ទៀងផ្ទាត់វាទេ។ S38

នៅថ្ងៃទី៦ ខែតុលា គ. CVE-2026-87890 (មធ្យម) ត្រូវបានជួសជុល៖ VRT បង្ហាញជាបៃអាចយោងធនធានខាងក្រៅ ហើយនៅតែបង្កឱ្យមានសំណើបណ្តាញ។ នៅថ្ងៃដដែលនោះធរណីមាត្រដែលបានដាក់ DoS ការការពារ CVE-2026-15830 ក៏ត្រូវបានពង្រឹងផងដែរ។ ពីរ​ចុងក្រោយ​នេះ​មិន​អាច​ត្រូវ​បាន​ដំឡើង​កំណែ​ដើម្បី​ពណ៌នា​អំពី​ហានិភ័យ​ខ្ពស់​ថ្មី​នេះ​ទេ។ RCE ប៉ុន្តែបង្ហាញថា មូលដ្ឋាននៃការដាក់ពង្រាយគួរតែជា 5.2.18 / 6.0.9 / 6.1.2 . S39

ការអនុវត្តពិនិត្យមើលចំណុចចូលពីរនៃ API និងចំណុចប្រទាក់រដ្ឋបាល រឹតបន្តឹងការរកមើល spatial ដែលមិនគួរឱ្យទុកចិត្ត ការអនុញ្ញាតការសរសេរឯកសារ និងការចូលប្រើខាងក្រៅ។ បន្ទាប់ពីការអាប់ដេត ការធ្វើតេស្តតំរែតំរង់ - សំណួរលំហដែលមានសុពលភាព និងការបដិសេធការបញ្ចូលដែលហាមឃាត់។ កម្មវិធី Django ធម្មតាដែលមិនប្រើ GeoDjango មិនគួរអនុវត្តការសន្និដ្ឋាន RCE នេះដោយផ្ទាល់ទេ។

5.6 certifi / pip៖ ការជឿទុកចិត្តលើវិញ្ញាបនបត្រត្រូវតែគ្របដណ្តប់រាល់ច្បាប់ចម្លង

GHSA-6q48-6c7w-9gw2 , 2026-10-20, Critical ស្គាល់ CVE មិនបានចុះបញ្ជី។ នេះគឺជាការធ្វើឱ្យទាន់សម័យវិញ្ញាបនបត្រមិនទុកចិត្តដែលបង្កឡើងដោយ eMudhra កម្រិតមធ្យម CA ឧប្បត្តិហេតុ។ វាមិនអាចត្រូវបានសង្ខេបថាជាយន្តការគ្រីបរបស់ HTTPS ឬថាវិញ្ញាបនបត្រឫសគល់ទាំងអស់ត្រូវបានបំបែក។ S36

ការណែនាំ certifi ដើមឡើយបានចុះបញ្ជី 2026.10.18 ជាបំណះមួយ; PSF ក្រោយមកបានណែនាំយ៉ាងច្បាស់ 2026.10.19 ដើម្បីរក្សាភាពត្រូវគ្នាជាមួយវិញ្ញាបនបត្រឫសគល់ដែលមិនប៉ះពាល់។ មូលដ្ឋានប្រតិបត្តិការគឺ .19 ។ S36S37

ចាំបាច់ត្រូវបែងចែក៖

ទុកចិត្តលើទីតាំងសម្ភារៈ	ហេតុអ្វីបានជាអ្នកត្រូវពិនិត្យដោយឡែកពីគ្នា។
ប្រព័ន្ធប្រតិបត្តិការ CA កញ្ចប់	សម្ភារៈទុកចិត្តប្រព័ន្ធសម្រាប់រូបភាព ឬម៉ាស៊ីន
certifi នៅក្នុង venv	CA bundle ពិតជាត្រូវបានប្រើប្រាស់ដោយកម្មវិធី ឬសំណើជាដើម។
pip ភ្ជាប់មកជាមួយ certifi	គឺជាច្បាប់ចម្លងខុសពី certifi ដែលបានដំឡើងខាងក្រៅ
uv / ឧបករណ៍វេចខ្ចប់ផ្សេងទៀត។	អនុវត្តតាមការអាប់ដេតផ្ទាល់ខ្លួនរបស់ឧបករណ៍ និងប្រភពដែលអាចទុកចិត្តបាន។
ឯកសារ CA ប្ដូរតាមបំណង រូបថតខ្ចប់	អាចបន្តបដិសេធប្រភពដែលអាចទុកចិត្តបានលំនាំដើមសម្រាប់ប្រព័ន្ធ ឬកញ្ចប់

ខាងលើគឺជាបញ្ជីត្រួតពិនិត្យដោយផ្អែកលើទីតាំងវេចខ្ចប់ផ្សេងៗគ្នា។ PSF តម្រូវឱ្យធ្វើបច្ចុប្បន្នភាពឧបករណ៍ពាក់ព័ន្ធ បរិស្ថាននិម្មិតដែលមានស្រាប់ និងការបង្កើតរូបភាពឡើងវិញ។ មានតែការធ្វើបច្ចុប្បន្នភាពម៉ាស៊ីន CA ឬការដំឡើងអ្នកបកប្រែឡើងវិញមិនអាចបង្ហាញថាច្បាប់ចម្លងទាំងអស់ត្រូវបានធ្វើឱ្យស្រស់ឡើងវិញទេ។ S35S37

នៅពេលដំឡើងកំណែពី bootstrap សុវត្ថិភាព pip ចាស់ PSF ផ្តល់នូវពាក្យបញ្ជាសម្រាប់ fixed wheel និង SHA-256 សូមមើលឧបសម្ព័ន្ធ S37 ។ កុំបិទការផ្ទៀងផ្ទាត់ TLS ឬបន្ថែម --trusted-host ដើម្បីរំលងបញ្ហាវិញ្ញាបនបត្រ។

6. ដំណើរការជួសជុលជាផ្លូវការ

ពាក្យបញ្ជាខាងក្រោមគឺសម្រាប់បរិស្ថានដែលគួរឱ្យទុកចិត្តដែលបានបញ្ជាក់។ នៅពេលដំណើរការ កម្មវិធីគ្រប់គ្រងកញ្ចប់ដែលមានស្រាប់ ឯកសារចាក់សោ និងដំណើរការដាក់ឱ្យប្រើប្រាស់របស់គម្រោងគួរតែត្រូវបានបញ្ចូលគ្នា ដើម្បីជៀសវាងការលាយបញ្ចូល npm/pnpm/yarn ឬ pip/uv/Poetry ដើម្បីបង្កើតឯកសារចាក់សោដែលប៉ះទង្គិចគ្នា។

ដោះស្រាយការលើកលែងជាមុនសិន៖ ប្រសិនបើអ្នកសង្ស័យថាបរិស្ថានបានដំណើរការកញ្ចប់ដែលត្រូវបានសម្របសម្រួលនៅក្នុងផ្នែកទី 9 សូមដាក់វាឱ្យនៅដាច់ដោយឡែកជាមុនសិន ហើយពិនិត្យមើលថាស ចាក់សោឯកសារ និងកំណត់ត្រារូបភាពពីបរិស្ថានស្អាត។ កុំដំណើរការពាក្យបញ្ជា Python/pip ខាងក្រោមជាមុនសិន។ S41

6.1 បង្កើតសៀវភៅកត់ត្រាដែលអាចឆ្លើយតបទៅនឹងចរាចរណ៍ពិតប្រាកដ

សេវាកម្មនីមួយៗកត់ត្រាយ៉ាងហោចណាស់៖

• ចំណុចចូលខាងក្រៅ ប្រូកស៊ីបញ្ច្រាស ផ្លូវតភ្ជាប់ដោយផ្ទាល់ទៅកាន់គេហទំព័រដើម និងជួរផ្ទៃខាងក្រោយ/កិច្ចការដែលបានគ្រោងទុក។
• ពាក្យបញ្ជាចាប់ផ្តើមពិតប្រាកដ គណនីដែលកំពុងដំណើរការ ផ្លូវគោលពីរ ដំណើរការ ឬអត្តសញ្ញាណកុងតឺន័រ។
• កំណែពេញម៉ោងដំណើរការ អ្នកបោះពុម្ពផ្សាយ/ឃ្លាំង កញ្ចប់កំណែពេញលេញ ឬរូបភាពសង្ខេប។
• ក្របខ័ណ្ឌ និងភាពអាស្រ័យអន្តរកាល ឯកសារចាក់សោ បណ្ណាល័យដើម និងផ្លូវផ្ទុកទំនុកចិត្ត។
• ទាក់ទងទៅនឹងថាតើលក្ខខណ្ឌនៃភាពងាយរងគ្រោះមាន គោលដៅបំណះ វិសាលភាពចាប់ផ្ដើមឡើងវិញ អ្នកទទួលខុសត្រូវ និងលទ្ធផលផ្ទៀងផ្ទាត់។

ម៉ាស៊ីនអភិវឌ្ឍន៍ អ្នករត់ CI បង្កើតកុងតឺន័រ និងកិច្ចការផ្ទៃខាងក្រោយគួរតែត្រូវបានត្រួតពិនិត្យផងដែរ យោងទៅតាមផ្លូវរបស់ពួកគេទៅកាន់មាតិកាដែលមិនគួរឱ្យទុកចិត្ត។ កុំគ្រាន់តែអាប់ដេតធុងបណ្ដាញដែលប្រឈមមុខនឹងសាធារណៈ។

6.2 Node.js៖ កំណត់ពេលដំណើរការជាមុនសិន បន្ទាប់មកធ្វើបច្ចុប្បន្នភាពភាពអាស្រ័យកម្មវិធី

ពិនិត្យមើលបរិយាកាសសេវាកម្មជាក់ស្តែង៖

node -p 'JSON.stringify({execPath:process.execPath,node:process.version,openssl:process.versions.openssl,brotli:process.versions.brotli},null,2)'
npm ls next react react-dom react-server-dom-webpack react-server-dom-parcel react-server-dom-turbopack sharp --all
npm audit --omit=dev

node -p គួរតែត្រូវបានប្រតិបត្តិដោយប្រើសេវាកម្មដែលអាចប្រតិបត្តិបានពិតប្រាកដ ឬនៅក្នុងធុងជាក់ស្តែង។ វាពិនិត្យរកមើលដំណើរការដែលទើបនឹងដាក់ឱ្យដំណើរការថ្មី ហើយវាមិនបញ្ជាក់ថា កម្មករចាស់ត្រូវបានជំនួសនោះទេ។ Node អាចបន្ថែមបំណះទៅ Brotli ដែលភ្ជាប់មកជាមួយខណៈពេលដែលរក្សាខ្សែអក្សរកំណែបណ្ណាល័យដើម។ ដូច្នេះ កុំពឹងផ្អែកតែលើ process.versions.brotli ដើម្បីកំណត់ថាតើវាត្រូវបានជួសជុលឬអត់។ អ្នកគួរតែផ្សំវាជាមួយនឹងកំណែសុវត្ថិភាព Node ឬភស្តុតាង backport របស់អ្នកលក់។ S2S4

npm ls ត្រូវបានប្រើដើម្បីមើលមែកធាងអាស្រ័យជាក់ស្តែង។ កញ្ចប់ដែលបាត់ ឬជម្លោះរវាងមិត្តភ័ក្តិក៏អាចបង្កើតលេខកូដចេញដែលមិនមែនជាសូន្យផងដែរ ដូច្នេះអ្នកគួរតែអានលទ្ធផលជាក់លាក់។ npm audit ត្រូវបានប្រើជាជំនួយពិនិត្យភាពអាស្រ័យ ហើយមិនអាចជំនួសការត្រួតពិនិត្យ Node ប្រព័ន្ធគោលពីរ និងការត្រួតពិនិត្យបណ្ណាល័យដើមបានទេ។

ប្រើ mise ដើម្បីគ្រប់គ្រងបរិស្ថានរបស់ Node 24 ដែលអាចធ្វើបច្ចុប្បន្នភាពដូចខាងក្រោម៖

mise use -g [email protected]
mise exec [email protected] -- node -p 'process.version + " " + process.execPath'

mise use -g កំណត់រចនាសម្ព័ន្ធកំណែសកល។ ការកំណត់រចនាសម្ព័ន្ធមូលដ្ឋានរបស់គម្រោងនៅតែត្រូវពិនិត្យដោយឡែកពីគ្នា។ ប្រសិនបើសេវាកម្មបានជួសជុលផ្លូវដាច់ខាតចាស់ រូបភាពមូលដ្ឋានកុងតឺន័រ ឬបរិស្ថាននៃគណនីផ្សេងគ្នា ការកំណត់រចនាសម្ព័ន្ធដែលត្រូវគ្នាត្រូវតែធ្វើបច្ចុប្បន្នភាព ហើយសេវាកម្មត្រូវតែចាប់ផ្តើមឡើងវិញ។ ពាក្យបញ្ជាខ្លួនឯងមិនជំនួសដំណើរការដែលកំពុងដំណើរការចាស់ទេ។ S43

នៅក្នុងគម្រោង Next ប្រតិបត្តិពាក្យបញ្ជាដែលត្រូវគ្នាយោងទៅតាមសាខាដែលបានជ្រើសរើស។ សម្រាប់ Next 15៖

# Next 15 分支
npm install --save-exact [email protected]

សម្រាប់ Next 16៖

# Next 16 分支
npm install --save-exact [email protected]

ពិនិត្យមើលភាពអាស្រ័យដែលត្រូវគ្នានឹង React/RSC ឯកសារចាក់សោ និងឧទាហរណ៍ចុងក្រោយបំផុត ហើយបន្ទាប់មកបង្កើតទៅតាមដំណើរការគម្រោង។ ប្រើឯកសារចាក់សោដែលបានធ្វើបច្ចុប្បន្នភាពនៅក្នុង CI សម្រាប់ការដំឡើងដែលអាចផលិតឡើងវិញបាន ហើយពិនិត្យមើលកំណែនៅក្នុងរូបភាពដែលកំពុងដំណើរការបន្ទាប់ពីការសាងសង់។ កុំប្រើការជួសជុលដោយស្វ័យប្រវត្តិដែលមិនអាចគ្រប់គ្រងបាននៅទូទាំងកំណែសំខាន់ៗជាដំណោះស្រាយលំនាំដើមសម្រាប់ការសង្គ្រោះបន្ទាន់នេះ។

6.3 Java៖ ផ្ទៀងផ្ទាត់អ្នកបោះពុម្ពផ្សាយ JVM ពិតប្រាកដ និងសមាសធាតុដែលបានបង្កប់

សារពើភ័ណ្ឌបឋម៖

java -XshowSettings:properties -version

java.home, java.runtime.version និងអ្នកបោះពុម្ពផ្សាយនៅក្នុងលទ្ធផលគួរតែត្រូវបានតម្រឹមជាមួយ JVM ដែលពិតជាបានប្រើប្រាស់ដោយសេវាកម្ម។ សម្រាប់ JVM ដោយមានការអនុញ្ញាតភ្ជាប់ jcmd នៃ JDK អាចត្រូវបានប្រើដើម្បីពិនិត្យមើលដំណើរការគោលដៅ មិនត្រឹមតែសែលចូលប៉ុណ្ណោះទេ។

ពិនិត្យមើលភាពអាស្រ័យនៅក្នុងគម្រោងដែលគួរឱ្យទុកចិត្ត ហើយជ្រើសរើសដោយផ្អែកលើឧបករណ៍សាងសង់ជាក់ស្តែង៖

./mvnw dependency:tree '-Dincludes=org.apache.tomcat.embed:*,org.springframework.security:*,org.springframework.graphql:*'

./gradlew dependencyInsight --dependency tomcat-embed-core --configuration runtimeClasspath
./gradlew dependencyInsight --dependency spring-security-core --configuration runtimeClasspath
./gradlew dependencyInsight --dependency spring-graphql --configuration runtimeClasspath

ពាក្យបញ្ជាបង្កើតទាំងនេះអាចដំណើរការកម្មវិធីជំនួយ និងដោះស្រាយភាពអាស្រ័យនៅលើអ៊ីនធឺណិត ហើយដំណើរការតែលើគម្រោងដែលគួរឱ្យទុកចិត្តប៉ុណ្ណោះ។ ពិនិត្យ JAR/WAR ចុងក្រោយ ឬ JAR ពិតប្រាកដក្នុងរូបភាព ហើយកុំជំនួសការប្រកាសឯកសារសាងសង់សម្រាប់វត្ថុបុរាណចុងក្រោយ។ Spring Boot ដែលបានបង្កប់ Tomcat តម្រូវឱ្យបង្កើតកម្មវិធីឡើងវិញ។ ការធ្វើបច្ចុប្បន្នភាពការដំឡើង Tomcat ដាច់ដោយឡែកនៅក្នុងប្រព័ន្ធនឹងមិនកែប្រែច្បាប់ចម្លងនៅក្នុងកញ្ចប់កម្មវិធីទេ។

បន្ទាប់ពីពេលដំណើរការត្រូវបានធ្វើបច្ចុប្បន្នភាព សូមពិនិត្យមើល javax.net.ssl.trustStore ផ្ទាល់ខ្លួន កម្មវិធី KeyStore ដែលផ្ទុកដោយខ្លួនឯង ពេលវេលាដំណើរការ jlink រូបភាព GraalVM/ដើម និងទម្រង់ការចែកចាយផ្សេងទៀតតាមធាតុ។ កម្មវិធីដែលមានសម្ភារៈទុកចិត្តរួចហើយមិនអាចបញ្ចប់ការត្រួតពិនិត្យបានទេ ដោយសារថត JDK ក្លាយជាថ្មី។

6.4 Python៖ ការបកស្រាយដោយអ្នកបកប្រែ និងដំណើរការបរិស្ថាននិម្មិត

នៅក្នុង venv/container ពិតប្រាកដបានបញ្ជាក់ថាអាចជឿទុកចិត្តបាន៖

python - <<'PY'
import sys
import ssl
import importlib.metadata as metadata

print("executable:", sys.executable)
print("version:", sys.version)
print("openssl:", ssl.OPENSSL_VERSION)
print("verify_paths:", ssl.get_default_verify_paths())
for name in ("pip", "certifi", "Django", "urllib3", "Brotli", "litellm"):
    try:
        print(name + ":", metadata.version(name))
    except metadata.PackageNotFoundError:
        print(name + ": not installed")
PY

python -m pip --version
python -m pip check

ស្គ្រីបនេះប្រមូលតែព័ត៌មាន ហើយមិនអនុវត្តការកំណត់គុណវុឌ្ឍិកំណែទេ។ ssl.get_default_verify_paths() គឺជាព័ត៌មានផ្លូវលំនាំដើម ហើយមិនអាចបង្ហាញថាអតិថិជនភាគីទីបីទាំងអស់ប្រើហាងជឿទុកចិត្តដូចគ្នានោះទេ។ វាគួរតែត្រូវបានបញ្ជាក់ដោយផ្អែកលើការកំណត់រចនាសម្ព័ន្ធកម្មវិធី។

បន្ទាប់ពីបញ្ចប់ការអាប់ដេតចាប់ផ្ដើម pip ដែលជឿទុកចិត្តនៃឧបសម្ព័ន្ធ S37 ធ្វើបច្ចុប្បន្នភាពភាពអាស្រ័យវិញ្ញាបនបត្រយោងទៅតាមឧបសគ្គគម្រោង ឧទាហរណ៍៖

python -m pip install --upgrade 'certifi>=2026.10.19'

# 仅适用于当前就选择 Django 5.2 的项目
python -m pip install --upgrade 'Django>=5.2.18,<5.3'

python -m pip check

តម្រូវការ/ឯកសារចាក់សោរបស់គម្រោងចាំបាច់ត្រូវធ្វើបច្ចុប្បន្នភាពក្នុងពេលតែមួយ បើមិនដូច្នេះទេ ការដាក់ពង្រាយបន្ទាប់អាចត្រឡប់ទៅកំណែចាស់វិញ។ នៅពេលប្រើ uv កំណាព្យ ឬឃ្លាំងកញ្ចប់សហគ្រាស ប្រើដំណើរការចាក់សោ និងបោះពុម្ពដែលមានស្រាប់របស់ពួកគេ។ កុំកែប្រែកញ្ចប់ដោយដៃគ្រាន់តែនៅក្នុងធុងផលិតកម្ម។

លំហូរការងារ pip-audit ដែលមានស្រាប់របស់គម្រោងអាចត្រូវបានប្រើដើម្បីពិនិត្យមើលភាពងាយរងគ្រោះដែលស្គាល់នៅក្នុងបរិយាកាសដែលអាចទុកចិត្តបាន។ វាមិនមែនជាម៉ាស៊ីនស្កេនកូដព្យាបាទ និងមិនគ្របដណ្តប់លើអ្នកបកប្រែទាំងអស់ បណ្ណាល័យប្រព័ន្ធ និងហានិភ័យនៃហាងជឿទុកចិត្ត។ S44

វាមិនត្រូវបានណែនាំអោយបង្ខំប្រព័ន្ធ /usr/bin/python3 ចង្អុលទៅកំណែដែលបានចងក្រងថ្មីនោះទេ។ ប្រើការចេញផ្សាយបច្ចុប្បន្នភាពសុវត្ថិភាព ឬរយៈពេលដំណើរការគម្រោងដាច់ដោយឡែក ដើម្បីជៀសវាងការបំបែកឧបករណ៍គ្រប់គ្រងដែលពឹងផ្អែកលើប្រព័ន្ធ Python ។ នេះគឺជាជម្រើសនៃការអនុវត្ត និងមិនមែនជាតម្រូវការជួសជុលបន្ថែមសម្រាប់ភាពងាយរងគ្រោះនេះទេ។

6.5 បង្កើតឡើងវិញ និងជំនួសវត្ថុដែលកំពុងដំណើរការ

វាត្រូវបានណែនាំឱ្យធ្វើជំហានខាងក្រោមជាការផ្លាស់ប្តូរទាំងស្រុង៖

1. ទទួលបានបំណះពីប្រភពដែលទុកចិត្តដើម ហើយរក្សាទុកកំណែ/hash និងការចាក់សោភាពអាស្រ័យ។
2. ត្រឡប់មុខងារសំខាន់ៗនៅក្នុងបរិយាកាសជិតផលិត ហើយបញ្ជាក់ថាកម្មវិធីបន្ថែមដើមគឺត្រូវគ្នាជាមួយ JVM/framework។
3. ធ្វើបច្ចុប្បន្នភាពរយៈពេលដំណើរការ ភាពអាស្រ័យនៃកម្មវិធី និងហាងទុកចិត្តពិតប្រាកដ។ ធ្វើឱ្យរូបភាពមូលដ្ឋានឡើងវិញ និងប្រព័ន្ធ CA សម្រាប់កុងតឺន័រ កុំគ្រាន់តែប្រើស្រទាប់ចាស់ឡើងវិញ។
4. បង្កើតកម្មវិធី និងរូបភាពឡើងវិញ ហើយជំនួសសេវាកម្ម កម្មករ អ្នកប្រើប្រាស់ជួរ និងករណីកិច្ចការដែលបានកំណត់ពេលនៅលើមូលដ្ឋានវិលជុំ។
5. ពិនិត្យកំណែ និងការកំណត់រចនាសម្ព័ន្ធឡើងវិញនៅក្នុងឧទាហរណ៍ដែលកំពុងដំណើរការថ្មី ហើយបញ្ជាក់ថាច្បាប់ចម្លងចាស់ទាំងអស់បានចាកចេញ។
6. សង្កេតមើលអត្រាកំហុស ភាពយឺតយ៉ាវ CPU/memory ការបរាជ័យនៃការចាប់ដៃ TLS និងការគាំងដំណើរការ។

Rollback គួរតែផ្តល់អាទិភាពដល់ការរក្សាពេលវេលាដំណើរការប្រកបដោយសុវត្ថិភាព និងភាពអាស្រ័យនៃបំណះ ហើយការរំកិលការកំណត់រចនាសម្ព័ន្ធកម្មវិធី ឬការផ្លាស់ប្តូរអាជីវកម្ម។ ប្រសិនបើអ្នកត្រូវត្រលប់ទៅផលិតផលចាស់ដែលមានភាពងាយរងគ្រោះ ការរឹតបន្តឹងការចូលដែលត្រូវគ្នាគួរតែត្រូវបានស្ដារឡើងវិញក្នុងពេលដំណាលគ្នា ហើយអ្នកទទួលខុសត្រូវ និងរយៈពេលនៃការស្តារឡើងវិញអប្បបរមាគួរតែត្រូវបានកំណត់យ៉ាងច្បាស់។

7. ការកាត់បន្ថយបណ្តោះអាសន្ន និងការជ្រើសរើសបំណះ

7.1 ព្រំដែនគ្របដណ្តប់នៃវិធានការបណ្តោះអាសន្ន

ខាងក្រោមនេះគឺជាការណែនាំអំពីការអនុវត្តដោយផ្អែកលើលក្ខខណ្ឌប្រើប្រាស់ដែលបានប្រកាស។ លុះត្រាតែមានផែនការផ្លូវការត្រូវបានកត់សម្គាល់ អ្នកលក់មិនធានាថាគ្រប់វ៉ារ្យ៉ង់ទាំងអស់អាចត្រូវបានរារាំងទាំងស្រុងនោះទេ។

ហានិភ័យ	វិធានការបណ្តោះអាសន្នដែលអាចត្រូវបានអនុវត្ត	ផ្នែកដែលមិនអាចត្រូវបានចាត់ទុកថាបានបញ្ចប់ដោយផ្អែកលើនេះ។
ការឌិកូដ Brotli	បញ្ឈប់ការឌិកូដបញ្ចូលដែលមិនគួរឱ្យទុកចិត្ត; ពិនិត្យការបង្រួមដោយស្វ័យប្រវត្តិចូល និងខាងក្រៅ	Inbound WAF ឬការបិទការបង្ហាប់ការឆ្លើយតបមិនគ្របដណ្តប់ធាតុឌិកូដទាំងអស់ S3 ទេ
Next.js typed arrays RCE	ធ្វើឱ្យប្រសើរឡើងភ្លាមៗ; ញែកសេវាដែលរងផលប៉ះពាល់ជាបណ្តោះអាសន្ន ប្រសិនបើចាំបាច់	មិនមានដំណោះស្រាយជាសកលដែលអាចទុកចិត្តបានជាផ្លូវការអំពី S9 ទេ។
Next.js SVG RCE	ផែនការផ្លូវការ៖ ធានាឱ្យបានច្បាស់ ≥0.35.5; ផ្អាកចំណុចបញ្ចូលការបង្កើនប្រសិទ្ធភាពដែលពាក់ព័ន្ធ នៅពេលអនុញ្ញាតអាជីវកម្ម	មិនគ្របដណ្តប់បញ្ហា Next/RSC ផ្សេងទៀត S11
Tomcat Realm / HTTP/2 / AJP	ញែកផ្លូវដែលត្រូវគ្នា និងបិទឧបករណ៍ភ្ជាប់ដែលមិនចាំបាច់	នៅតែត្រូវការកញ្ចប់ជួសជុលសាខាដែលត្រូវគ្នា S21S22S23
GraphQL Deserialization	ផ្អាកវាលការតភ្ជាប់ដែលរងផលប៉ះពាល់; ដាក់កម្រិតអ្នកហៅទូរសព្ទដែលមិនទុកចិត្ត	មានតែដែនកំណត់ប្រវែងសំណើប៉ុណ្ណោះមិនអាចជួសជុលបញ្ហាប្រភេទ/ការបំផ្លាញ S25 បានទេ។
Spring embedded LDAP	បិទនៅពេលមិនត្រូវការ; កំណត់លទ្ធភាពនៃច្រកស្តាប់ពិតប្រាកដ	អត្តសញ្ញាណរដ្ឋបាលលំនាំដើម និងភាពត្រឹមត្រូវនៃថតនៅតែត្រូវពិនិត្យ S27
CPython SNI UAF	ផែនការផ្លូវការ៖ រក្សាឯកសារយោងដ៏រឹងមាំ SSLContext ដែលពាក់ព័ន្ធរហូតដល់ចុងបញ្ចប់នៃសេវាកម្ម	ផ្លូវបង្កើត/ប្តូរទាំងអស់ត្រូវតែគ្របដណ្តប់ S29
ឈ្មោះម៉ាស៊ីន Python រំលង	ដំណោះស្រាយផ្លូវការ៖ បញ្ជូន server_hostname ដែលរំពឹងទុកឱ្យបានត្រឹមត្រូវ	មិនអាចគ្រាន់តែពិនិត្យមើល check_hostname flag ឬមិនអើពើការព្រមាន S30S31
tar ដែលមិនគួរឱ្យទុកចិត្ត	បិទ/ការស្រង់ចេញដោយឡែក បដិសេធតំណភ្ជាប់ដែលមិនសំខាន់ និងធាតុឧបករណ៍	ទាំងតម្រង ឬកូតាធនធានមិនមែនជាប្រអប់ខ្សាច់សកល S32S40S45
ព្រឹត្តិការណ៍ការជឿទុកចិត្តលើវិញ្ញាបនបត្រ	ធ្វើបច្ចុប្បន្នភាពសម្ភារៈ CA ត្រឹមត្រូវ; ការជឿទុកចិត្ត Java អាចត្រូវបានកម្រិតយោងទៅតាមការបន្ធូរបន្ថយជាផ្លូវការ	ការបិទការផ្ទៀងផ្ទាត់ TLS បង្កើនហានិភ័យ S19S37

7.2 ជ្រើសរើសបំណះដោយផ្អែកលើវិធីសាស្ត្រចែកចាយ

វិធីសាស្រ្តចែកចាយ	ផ្តល់អាទិភាពដល់វិធីសាស្ត្រជួសជុល	ភស្តុតាងដែលគួររក្សាទុក
ពេលវេលាដំណើរការដែលគ្រប់គ្រងការចែកចាយ	បច្ចុប្បន្នភាពសុវត្ថិភាពដែលត្រូវគ្នារបស់អ្នកផលិត	កំណែកញ្ចប់ពេញលេញ ការប្រកាស ប្រភពឃ្លាំង
កម្មវិធីគ្រប់គ្រងប្រព័ន្ធគោលពីរ/ពេលដំណើរការជាផ្លូវការ	ការចេញផ្សាយសន្តិសុខជាផ្លូវការពីសាខាតែមួយ	កំណែ ប្រភព និងសង្ខេប ផ្លូវប្រតិបត្តិពិតប្រាកដ
Node / CPython ចងក្រងដោយខ្លួនឯង	ការចេញផ្សាយប្រភពផ្លូវការរបស់សាខាដែលត្រូវគ្នា ឬសំណុំបំណះពេញលេញរបស់អ្នកលក់	កំណត់សំណុំ បង្កើតប៉ារ៉ាម៉ែត្រ បណ្ណាល័យអាស្រ័យ និងលទ្ធផលតំរែតំរង់
Spring / Next / Django	ឆបគ្នាជាមួយការអាប់ដេតក្នុងសាខា ការបង្កើតសោភាពអាស្រ័យឡើងវិញ និងកម្មវិធីចុងក្រោយ	មែកធាងការពឹងផ្អែកចុងក្រោយ កំណែជាក់ស្តែងនៅក្នុង JAR/package/image
ហាងទំនុកចិត្តផ្ទាល់ខ្លួន	ផែនការដកប្រាក់ផ្លូវការ ឬការធ្វើបច្ចុប្បន្នភាពរបស់អ្នកលក់ដែលបញ្ជាក់ពីការដកប្រាក់	ផ្លូវប្រើប្រាស់ជាក់ស្តែង ការផ្លាស់ប្តូរសម្ភារៈ ការធ្វើតេស្តជោគជ័យ TLS និងការធ្វើតេស្តបដិសេធ
បរិស្ថានដែលសម្របសម្រួល	បង្កើតឡើងវិញពីផលិតផលស្អាត និងគួរឱ្យទុកចិត្ត ហើយធ្វើការស៊ើបអង្កេតឧប្បត្តិហេតុដាច់ដោយឡែក	កញ្ចប់ប្រវត្តិសាស្រ្ត/ការសង្ខេបរូបភាព កំណត់ត្រាការដំឡើង កំណត់ត្រាបង្វិលព័ត៌មាន

7.3 យន្តការបំណះគន្លឹះ និងការផ្តោតអារម្មណ៍ពិនិត្យឡើងវិញ

• Brotli: យកចិត្តទុកដាក់ថាតើការត្រួតពិនិត្យព្រំដែន និងការត្រឡប់កំហុសនៃស្ថានភាពការឌិកូដដើមត្រូវបានបញ្ចប់មុនពេលចូលទៅក្នុងការស្ថាបនា។ មានតែការជំនួសកញ្ចប់ JavaScript មិនអាចប្តូរលេខកូដដែលបានចងក្រងជាលក្ខណៈជា Node បានទេ។ S4
• Node DNS / TLS : ផ្តោតលើការបដិសេធការបញ្ចូល ការធ្វើឱ្យអាសយដ្ឋានធម្មតា ភាពខុសគ្នារវាង IP សាន និង DNS អត្តសញ្ញាណ និង DNS callback/Promise ផ្លូវញែក និង TLS ការធ្វើតេស្តផ្គូផ្គងឈ្មោះម៉ាស៊ីន។ S5 S6
• Tomcat JNDIRealm: ផ្តោតលើថាតើដំណើរការផ្ទៀងផ្ទាត់ពិតជាផ្ទៀងផ្ទាត់ព័ត៌មានសម្ងាត់ ជាជាងគ្រាន់តែទទួលបានបរិបទថត។ ផ្តល់អាទិភាពដល់កំណែផ្លូវការ និងមិនចាត់ទុកការជំនួសឯកសារប្រភពតែមួយជាបំណះប្រព័ន្ធគោលពីរពេញលេញទេ។ S24
• CPython ssl: ផ្តោតលើកម្មសិទ្ធិឯកសារយោង Python និងវដ្តជីវិតនៃមូលដ្ឋាន SSLContext; wrap_bio() backports ខណៈពេលដែលមានភាពខុសគ្នានៃភាពឆបគ្នានៃសាខា ហើយអ្នកត្រូវតែអានការអនុវត្តជាក់ស្តែងនៃសាខាដែលបានប្រើ។ S31S47
• Certificate disrusted: ការធ្វើបច្ចុប្បន្នភាពបែបនេះអាចលេចឡើងជាសម្ភារៈដែលអាចទុកចិត្តបាន ឬបដិសេធការផ្លាស់ប្តូរបញ្ជីជាជាងការផ្លាស់ប្តូរ API ជាក់ស្តែង។ បាច់ដូចគ្នានៃ Node ក៏រួមបញ្ចូលផងដែរនូវយន្តការបដិសេធនៃ CA កម្រិតមធ្យមដែលរងផលប៉ះពាល់។ ប្រភពទំនុកចិត្តរៀងៗខ្លួនរបស់ Java និង Python នៅតែត្រូវការផ្ទៀងផ្ទាត់ដោយឡែកពីគ្នា។ S19S37S46

ឯករាជ្យ Brotli ការចងក៏គួរតែត្រូវបានពិនិត្យផងដែរ។ Google upstream បានចេញផ្សាយ 1.0.10 / 1.1.1 / 1.2.1 នៅថ្ងៃដដែលដើម្បីជួសជុល CVE-2026-111497 . Python ផ្នែកបន្ថែមដើម ឬវត្ថុបុរាណ JNI ដែលបង្កប់ការអនុវត្ត C ដែលរងផលប៉ះពាល់ដូចគ្នា ចាំបាច់ត្រូវធ្វើបច្ចុប្បន្នភាព/សាងសង់ឡើងវិញដោយឯករាជ្យ។ វាមិនអាចត្រូវបានសន្និដ្ឋានថាសុទ្ធ Java ឧបករណ៍ឌិកូដត្រូវបានប៉ះពាល់ ហើយក៏មិនអាចសន្មត់ថាការអាប់ដេតដែរ។ Node ជំនួសការចម្លងដោយស្វ័យប្រវត្តិជាភាសាផ្សេង។ S42

8. ការផ្ទៀងផ្ទាត់ និងការត្រួតពិនិត្យតាមដាន

8.1 បញ្ជីផ្ទៀងផ្ទាត់អប្បបរមា

ពិនិត្យធាតុ	ទាមទារភស្តុតាង
ពេលដំណើរការ	កំណែពេញលេញ ឬភស្តុតាង backport របស់អ្នកលក់ត្រឹមត្រូវនៅក្នុងដំណើរការពិត/កុងតឺន័រ
ភាពអាស្រ័យនៃកម្មវិធី	Next/RSC/sharp, Tomcat/Spring, និង Django/certifi នៅក្នុងផលិតផលដាក់ពង្រាយចុងក្រោយបានឈានដល់កម្រិតដែលត្រូវគ្នា
ជួរជំនួស	រាល់ឯកសារថតចម្លងកុងតឺន័រ និងកិច្ចការផ្ទៃខាងក្រោយរបស់កម្មករ/JVM/កុងតឺន័រត្រូវបានជំនួសដោយវត្ថុថ្មី ហើយករណីចាស់បានចាកចេញ។
TLS	វិញ្ញាបនបត្រដែនត្រឹមត្រូវជោគជ័យ; ឈ្មោះម៉ាស៊ីនមិនត្រូវគ្នា និងខ្សែសង្វាក់មិនត្រឹមត្រូវ បរាជ័យស្របតាមគោលការណ៍។ ហាងលក់ទំនុកចិត្តផ្ទាល់ខ្លួនត្រូវបានរួមបញ្ចូល
ការមិនទុកចិត្ត eMudhra	ខ្សែសង្វាក់វិញ្ញាបនបត្រដែលបង្កើតឡើងដោយ CA កម្រិតមធ្យមដែលរងផលប៉ះពាល់ត្រូវបានច្រានចោលក្នុងអំឡុងពេលដំណើរការជាក់ស្តែង ឬមានភស្តុតាងដែលបញ្ជាក់ថា បញ្ជីការបដិសេធដែលទាក់ទងគ្នានៃការកសាងសុវត្ថិភាពរបស់អ្នកលក់ត្រូវបានដាក់ពង្រាយ។ ករណីមិនអាចបិទដោយផ្អែកលើការធ្វើតេស្ត TLS ទូទៅ ឬលេខកំណែខ្លី Java 8 ។
ការឌិកូដ Node និងរូបភាព	ការឆ្លើយតបដែលបានបង្ហាប់ធម្មតា ការបង្ហោះ ការបង្កើនប្រសិទ្ធភាពរូបភាព និងមុខងារ RSC អាចរកបាន។ គោលការណ៍ប្រភពដែលមិនគួរឱ្យទុកចិត្តបានចូលជាធរមាន
ការផ្ទៀងផ្ទាត់ភាពត្រឹមត្រូវ និងឯកោ Java	ពាក្យសម្ងាត់ខុសត្រូវបានបដិសេធ; សំណើ​អសមកាល​ស្រប​គ្នា​ដោយ​អ្នក​ប្រើ​ឯករាជ្យ​ដោយ​មិន​មាន​ការ​លាយ​បញ្ចូល​អត្តសញ្ញាណ/ឆ្លើយតប; LDAP ស្តាប់តាមការរំពឹងទុក
Python SNI / បណ្ណសារ	ឈ្មោះពហុដែនធម្មតា TLS អាជីវកម្មមានស្ថេរភាព។ ការរក្សាទុកក្នុងប័ណ្ណសារបដិសេធការឆ្លងកាត់ផ្លូវ និងតំណដែលមិនអនុញ្ញាត ហើយឯកសារដែលនៅក្រៅថតមិនត្រូវបានកែប្រែ
ទិន្នន័យ និងតំរែតំរង់មុខងារ	ការដាក់ទំព័រ សំណួរទំហំ ការត្រួតពិនិត្យការអនុញ្ញាត និងកិច្ចការផ្ទៃខាងក្រោយបានឆ្លងកាត់ការសាកល្បងដែលមានស្រាប់នៃគម្រោង
ធនធាន និងការសង្កេត	មិនមានការកើនឡើងមិនធម្មតានៅក្នុង CPU ការចងចាំ អត្រាកំហុស ភាពយឺតយ៉ាវ និងកំហុស TLS ទេ។
ការតាមដាន	រក្សាទុកពេលវេលាអាប់ដេត ការសង្ខេបកញ្ចប់/រូបភាព ការផ្លាស់ប្តូរការកំណត់ លទ្ធផលផ្ទៀងផ្ទាត់ និងធាតុដែលមិនទាន់ដោះស្រាយ

ទាំងនេះគឺជាការណែនាំអំពីការទទួលយកការអនុវត្ត និងមិនតម្រូវឱ្យមានស្គ្រីបវាយប្រហារដែលត្រូវបានផលិតសម្រាប់ CVE នីមួយៗ។ ការផ្ទៀងផ្ទាត់ពាក់ព័ន្ធនឹងការគាំង ការហត់នឿយធនធាន និងការទុកក្នុងប័ណ្ណសារក្រៅព្រំដែន គួរតែប្រើការធ្វើតេស្តតំរែតំរង់ខាងលើ ឬទិន្នន័យការធ្វើតេស្តដែលគ្រប់គ្រងដោយគម្រោងនៅក្នុងបរិយាកាសដាច់ដោយឡែកមួយ។

8.2 ការស៊ើបអង្កេតបំណះ និងការឈ្លានពានគឺជាកិច្ចការផ្សេងៗគ្នា

ពិនិត្យមើលកំណត់ហេតុដែលមានស្រាប់សម្រាប់កំហុសក្នុងការឌិកូដខុសពីធម្មតា កម្មករ/JVM គាំង ការសរសេរឯកសារគួរឱ្យសង្ស័យ ការផ្លាស់ប្តូរទិន្នន័យថត ការលើកលែងការផ្ទៀងផ្ទាត់ សំណើចេញទៅក្រៅ និងកំណត់ត្រាប្រើប្រាស់ព័ត៌មានសម្ងាត់។ សញ្ញាទាំងនេះចាំបាច់ត្រូវវិនិច្ឆ័យក្នុងបរិបទ៖ ការគាំង ឬ OOM មិនមែនជាភស្តុតាងនៃការកេងប្រវ័ញ្ចជោគជ័យនោះទេ។ អវត្ដមាននៃការដាស់តឿនមិនបង្ហាញថាប្រព័ន្ធមួយមិនមានផលប៉ះពាល់ទេ។

នៅពេលដែលការកែប្រែដែលគ្មានការអនុញ្ញាត អត្តសញ្ញាណដែលសម្របសម្រួល ឬបញ្ជាក់ភាពអាស្រ័យព្យាបាទត្រូវបានរកឃើញ ភស្តុតាងគួរតែត្រូវបានរក្សាទុក វត្ថុពាក់ព័ន្ធត្រូវបានញែកដាច់ពីគេ លិខិតសម្គាល់ដែលរងផលប៉ះពាល់បានបង្វិលពីបរិយាកាសដែលអាចទុកចិត្តបាន ហើយប្រព័ន្ធត្រូវបានបង្កើតឡើងវិញ។ បំណះនឹងមិនដកហូតថូខឹនដែលបានទទួលដោយអ្នកវាយប្រហារ ឬស្ដារទិន្នន័យដែលត្រូវបានកែប្រែនោះទេ។

9. ឧប្បត្តិហេតុសុវត្ថិភាពសង្វាក់ផ្គត់ផ្គង់៖ ការសម្របសម្រួល LiteLLM 1.107.0

**កាលបរិច្ឆេទបញ្ជាក់ជាផ្លូវការ៖ 2026-10-21.**LiteLLM បានរាយការណ៍ថាបំពង់បង្ហូរប្រេងរបស់វាត្រូវបានសម្របសម្រួល។ litellm==1.107.0 របស់ PyPI និងផលិតផល Docker/GHCR មួយចំនួនក្នុងរយៈពេលដូចគ្នានេះមានការលួចសម្ងាត់ និងលេខកូដព្យាបាទបញ្ជាពីចម្ងាយ ហើយផលិតផលដែលពាក់ព័ន្ធត្រូវបានដកចេញ។ S41

ដើម្បីកំណត់ផលប៉ះពាល់ អ្នកគួរតែពិនិត្យមើលកំណត់ត្រាការដំឡើងជាប្រវត្តិសាស្ត្រ និងការសង្ខេបរូបភាព។ ស្លាកដូចជា latest, main-latest និង main-stable ឥឡូវនេះចង្អុលទៅរូបភាពស្អាត ដែលមិនបង្ហាញថាផលិតផលដែលទាញនៅពេលកើតហេតុនោះស្អាតទេ។ អនុសាសន៍ផ្លូវការនៅពេលនោះ គឺត្រូវដាក់បញ្ចូលជាបណ្តោះអាសន្ន 1.106.2; ការណែនាំនេះគឺផ្អែកលើឧប្បត្តិហេតុនេះ ហើយការប្រកាសសុវត្ថិភាពផ្សេងទៀតនៅតែត្រូវត្រួតពិនិត្យអំឡុងពេលដាក់ពង្រាយ។ S41

សម្រាប់បរិស្ថានដែលផលិតផលពាក់ព័ន្ធត្រូវបានដំឡើង ឬដំណើរការ៖

1. ញែក និងរក្សាទុកកំណត់ត្រាដំឡើង រូបភាព និងកំណត់ហេតុ ហើយពិនិត្យមើលវាពីបរិស្ថានស្អាត។
2. កុំចាប់ផ្តើម Python/pip នៅក្នុងបរិយាកាសគួរឱ្យសង្ស័យជាមុនសិន។ .pth / sitecustomize.py ព្យាបាទអាចត្រូវបានប្រតិបត្តិម្តងទៀតបន្ទាប់ពីការចាប់ផ្តើម។
3. បង្កើតម៉ាស៊ីនឡើងវិញ venvs/containers ពីប្រភពដែលអាចទុកចិត្តបាន។ មិន​អាច​គ្រាន់​តែ​លុប​ឬ​ទម្លាក់​ចំណាត់​ថ្នាក់​កញ្ចប់​។
4. ដកហូត/បង្វិលព័ត៌មានសម្ងាត់លើពពក សោអ្នកផ្តល់សេវា LLM សោ LiteLLM និងព័ត៌មានសម្ងាត់មូលដ្ឋានទិន្នន័យដោយផ្អែកលើលទ្ធភាពប្រើប្រាស់ជាក់ស្តែង និងពិនិត្យមើលការប្រើប្រាស់មិនប្រក្រតី។ S41

នេះគឺជាឧប្បត្តិហេតុខ្សែសង្វាក់ផ្គត់ផ្គង់ដែលបានបញ្ជាក់ ហើយទាមទារឱ្យមានការពិចារណាលើការប្រតិបត្តិកូដព្យាបាទ ការលេចធ្លាយព័ត៌មានសម្ងាត់ និងហានិភ័យនៃការបន្តនៅពេលដោះស្រាយជាមួយវា។ គិតត្រឹមថ្ងៃទី 23 ខែតុលា ឆ្នាំ 2026 ក្រុមមន្ត្រីនៅតែស៊ើបអង្កេតការឈ្លានពានដំបូង។

ឧបសម្ព័ន្ធ៖ ដកស្រង់ប្រភព និងតំណភ្ជាប់

កាលបរិច្ឆេទផ្ទៀងផ្ទាត់ប្រភពខាងក្រោមគឺ 2026-10-23 រួមទាំងការប្រកាសសុវត្ថិភាពជាផ្លូវការរបស់គម្រោង ឃ្លាំងកូដផ្លូវការ និងការណែនាំរបស់អ្នកលក់។ អត្ថបទចម្បង [Sx] ត្រូវគ្នាទៅនឹងឧបសម្ព័ន្ធនេះ; នៅពេលធ្វើបច្ចុប្បន្នភាព អ្នកគួរតែពិនិត្យមើលថាតើអ្នកផ្គត់ផ្គង់បានចេញផ្សាយការកែប្រែជាបន្តបន្ទាប់ឬអត់។

S1 — Node.js៖ ការជូនដំណឹងអំពីសុវត្ថិភាព 2026-10-21

• គោលបំណង៖ រយៈពេលរត់ចំនួនបួន High ប៉ះពាល់ដល់សាខា ការចេញផ្សាយសុវត្ថិភាពខែតុលា។
• ឯកសារយោង: Official Security Bulletin

S2 — Node.js៖ សេចក្តីណែនាំចេញផ្សាយជាផ្លូវការសម្រាប់ខ្សែថែទាំចំនួនបី

• គោលបំណង៖ ពិនិត្យមើល 22.23.4, 24.22.1, 26.12.1 និងបំណះដែលបានបញ្ចូលគ្នាពិតប្រាកដ។
• ឯកសារយោង: Node.js 22.23.4
• ឯកសារយោង: Node.js 24.22.1
• ឯកសារយោង: Node.js 26.12.1

S3 — Vercel៖ Node.js Brotli RCE ប្រឹក្សាសុវត្ថិភាព

• គោលបំណង៖ លក្ខខណ្ឌនៃការឌិកូដចូល/ក្រៅប្រទេស ព្រំដែនគ្របដណ្តប់ WAF ស្ថានភាព Node 20 ។
• ឯកសារយោង: Node.js security advisory: Brotli decoder RCE

S4 — Node.js: Brotli ការបញ្ជូនបំណះផ្លូវការ

• គោលបំណង៖ មូលដ្ឋានអនុវត្តសម្រាប់ការត្រួតពិនិត្យការឌិកូដដើម និងការផ្សព្វផ្សាយកំហុស។
• ឯកសារយោង: Brotli Patch commit 49dff6f57a

S5 — Node.js៖ TLS បំណះ​ធ្វើ​ឱ្យ​មាន​អាសយដ្ឋាន​ធម្មតា

• គោលបំណង៖ ការផ្ទៀងផ្ទាត់អត្តសញ្ញាណវិញ្ញាបនបត្រនៃលេខទទឹងពេញ និង IP មិនស្តង់ដារ។
• ឯកសារយោង: IP normalization regression Patch
• ឯកសារយោង: rejects the patching of non-standard IP address

S6 — Node.js៖ បំណះផ្ទៀងផ្ទាត់ DNS NUL

• គោលបំណង៖ ការបដិសេធការបញ្ចូល និងការគ្របដណ្តប់ការតំរែតំរង់។
• ឯកសារយោង: dns.resolve Input verification patch

S7 — Node.js៖ សេចក្តីជូនដំណឹងអំពីសុវត្ថិភាព 2026-07-29

• គោលបំណង៖ ការអស់អង្គចងចាំ HTTP/2, UAF និងភាពងាយរងគ្រោះគំរូអនុញ្ញាត។
• ឯកសារយោង: July 2026 Security Releases

S8 — Next.js៖ អាប់ដេតសុវត្ថិភាព 2026-10-14

• គោលបំណង៖ បង្រួបបង្រួមកម្រិតមូលដ្ឋាន និងហានិភ័យសំខាន់ៗចំនួនបី។
• ឯកសារយោង: Next.js Security Update for Upstream Vulnerabilities

ឯកសារយោង: S9 — Next.js：typed arrays / use cache RCE

• គោលបំណង៖ GHSA-673q-mjm6-r5xr; ប៉ះពាល់ដល់ចន្លោះពេល លក្ខខណ្ឌ ពិន្ទុ និងស្ថានភាពការងារ។
• ឯកសារយោង: Next.js Official Security Bulletin

ឯកសារយោង: S10 — React：React Server Components RCE

• គោលបំណង៖ GHSA-xqc2-xf4c-x3h3; កំណែដែលរងផលប៉ះពាល់ និងជួសជុលនៃកញ្ចប់ RSC ចំនួនបី។
• ឯកសារយោង: React Official Security Bulletin

ឯកសារយោង: S11 — Next.js：SVG Image Optimization RCE

• គោលបំណង៖ CVE-2026-96889 / GHSA-2464-fhr4-w9xw; glibc, ស្រួច និង ព្រំដែនកំណែដើម។
• ឯកសារយោង: SVG Image Optimization Official Security Bulletin

ឯកសារយោង: S12 — Next.js：Server Actions DoS

• គោលបំណង៖ GHSA-p3m5-59mp-jv5r; ប៉ះពាល់ដល់លក្ខខណ្ឌ កំណែ និងការវាយតម្លៃ។
• ឯកសារយោង: Server Actions DoS Official Security Bulletin

S13 — Next.js: AVIF បង្កើនប្រសិទ្ធភាពរូបភាព RCE

• គោលបំណង៖ 2026-08-25, GHSA-2xp9-vwfh-vxw4 ។
• ឯកសារយោង: AVIF Official Security Bulletin

ឯកសារយោង: S14 — Next.js：Windows RCE

• គោលបំណង៖ 2026-08-25, CVE-2026-75604/GHSA-p293-qw3h-jr36 ។
• ឯកសារយោង: Windows RCE Official Security Bulletin

ឯកសារយោង: S15 — Next.js：next/og ImageResponse RCE

• គោលបំណង៖ 2026-09-22, GHSA-vcvr-r3jv-pc5j; ភាពខុសគ្នារវាង Node និង Edge ។
• ឯកសារយោង: ImageResponse Official Security Bulletin
• ឯកសារយោង: September 22 release notes

ឯកសារយោង: S16 — Oracle: October 2026 CPU

• គោលបំណង៖ ម៉ាទ្រីសហានិភ័យ Java SE បរិមាណបំណះ និងលក្ខខណ្ឌដែលអាចអនុវត្តបាន។
• ឯកសារយោង: Oracle Critical Patch Update – October 2026
• ឯកសារយោង: Oracle Java SE CPU Version list

S17 — Oracle: CVE-2026-91403 ការជូនដំណឹងក្រៅក្រុម

• គោលបំណង៖ 2026-10-21, ហានិភ័យនៃការជឿទុកចិត្តវិញ្ញាបនបត្រ JSSE ផលិតផលដែលរងផលប៉ះពាល់ និង CVSS 3.1 9.1 ។
• ឯកសារយោង: Oracle Security Alert

S18 — Oracle: JDK កំណែផ្លូវការ និងទាញយក

• គោលបំណង៖ បែងចែករវាង CPU នៅថ្ងៃទី 20 ខែតុលា និងកំណែក្រៅក្រុមនៅថ្ងៃទី 21 ខែតុលា។ បែងចែកដែនកំណត់នៃកំណែខ្លីនៃ Java 8 ។
• ឯកសារយោង: JDK release list
• ឯកសារយោង: Oracle Java Download page

S19 — Oracle: eMudhra ផែនការដកប្រាក់បណ្តោះអាសន្ន

• គោលបំណង៖ បានធ្វើបច្ចុប្បន្នភាព 2026-10-22; វិញ្ញាបនបត្រឫសគល់ពីរ ឧបករណ៍គន្លឹះ ឃ្លាំងទុកចិត្តផ្ទាល់ខ្លួន និងការត្រួតពិនិត្យការដកហូត។
• ឯកសារយោង: Distrusting eMudhra Intermediate Certificates in Oracle JDK

S20 — Eclipse Adoptium៖ បញ្ចេញ​កំណត់ត្រា​បង្កើត

• គោលបំណង៖ Temurin ត្រូវបានវេចខ្ចប់ឡើងវិញដោយសារតែឧប្បត្តិហេតុវិញ្ញាបនបត្រ។ បច្ច័យកំណែ Oracle មិនអាចអនុវត្តដោយមេកានិកបានទេ។
• ឯកសារយោង: Adoptium Release Scorecards

S21 — ការជូនដំណឹងអំពីសុវត្ថិភាព Apache Tomcat 9

• គោលបំណង៖ ចន្លោះពេលប៉ះពាល់ពិតប្រាកដ 9 សាខាជាមួយនឹងការជួសជុល 9.0.123 ។
• ឯកសារយោង: Tomcat 9 vulnerabilities

S22 — ការជូនដំណឹងអំពីសុវត្ថិភាព Apache Tomcat 10

• គោលបំណង៖ សាខា 10.1 ចន្លោះពេលច្បាស់លាស់ និងជួសជុល 10.1.61; 10.0 EOL ។
• ឯកសារយោង: Tomcat 10 vulnerabilities

S23 — ការជូនដំណឹងអំពីសុវត្ថិភាព Apache Tomcat 11

• គោលបំណង៖ ធាតុបី Important, 11.0.27, AJP វិសាលភាពដែលអាចអនុវត្តបាន និងកាលបរិច្ឆេទបង្ហាញ/ចេញផ្សាយ។
• ឯកសារយោង: Tomcat 11 vulnerabilities

S24 — Apache Tomcat៖ JNDIRealm patch commit

• គោលបំណង៖ មូលដ្ឋានផ្លូវការសម្រាប់ជួសជុលចន្លោះប្រហោងផ្ទៀងផ្ទាត់វិញ្ញាបនប័ត្រ។
• ឯកសារយោង: JNDIRealm Patch commit

ឯកសារយោង: S25 — Spring：GraphQL CVE-2026-59285

• គោលបំណង៖ 2026-08-20, ទាមទារ, 2.0.5 OSS / 2.0.4.1 ការជួសជុលពាណិជ្ជកម្ម។
• ឯកសារយោង: Spring for GraphQL Unsafe Deserialization

ឯកសារយោង: S26 — Spring：GraphQL CVE-2026-41699

• គោលបំណង៖ កម្រិតនៃការជួសជុលមុននេះ គឺដើម្បីពន្យល់ពីមូលហេតុដែលអ្នកមិនអាចស្ថិតនៅលើបន្ទាត់គោលចាស់។
• ឯកសារយោង: 6 Month GraphQL Security Bulletin

ឯកសារយោង: S27 — Spring Security：CVE-2026-59270

• គោលបំណង៖ បង្កប់ UnboundID LDAP អត្តសញ្ញាណគ្រប់គ្រងដែលគេស្គាល់ និងបែងចែក OSS/កំណែពាណិជ្ជកម្ម។
• ឯកសារយោង: Spring embedded LDAP Security Bulletin

ឯកសារយោង: S28 — Spring Security：CVE-2026-47841

• គោលបំណង៖ ការផ្ទៀងផ្ទាត់អ្នកប្រើប្រាស់ WebAuthn សៀរៀលវគ្គ និងបរិវេណការវាយប្រហារ។
• ឯកសារយោង: WebAuthn Security Bulletin

S29 — PSF: CVE-2026-19445 ទីប្រឹក្សាសន្តិសុខឯករាជ្យ

• គោលបំណង៖ 2026-09-30, Critical, SNI លក្ខខណ្ឌ និងវិធានការបណ្តោះអាសន្ន ដកស្រង់ដោយ SSLContext ។
• ឯកសារយោង: SSLContext UAF Official announcement

S30 — PSF: CVE-2026-19553 ទីប្រឹក្សាសន្តិសុខឯករាជ្យ

• គោលបំណង៖ 2026-09-30, High, បាត់ឈ្មោះម៉ាស៊ីន និងការកាត់បន្ថយប៉ារ៉ាម៉ែត្រច្បាស់លាស់។
• ឯកសារយោង: wrap_bio Official announcement of hostname verification

S31 — CPython៖ wrap_bio បំណះផ្លូវការ និង 3.12 backport

• គោលបំណង៖ 3.10—3.12 គោលការណ៍ភាពឆបគ្នានៃការព្រមាន ភាពខុសគ្នារវាង None និងខ្សែអក្សរទទេ។
• ឯកសារយោង: Main Patch PR #158503
• ឯកសារយោង: 3.12 Backfill PR #158513
• ឯកសារយោង: 3.15 Backfill PR #158511

S32 — PSF: CVE-2026-82049 ទីប្រឹក្សាសន្តិសុខឯករាជ្យ

• គោលបំណង៖ 2026-09-14, High, ការរួមបញ្ចូលគ្នានៃតំណភ្ជាប់, ការកែប្រែទិន្នន័យមេតា និងការបង្ហាញខ្លឹមសារ។
• ឯកសារយោង: tarfile link bypasses the official announcement

S33 — CPython៖ ការចេញផ្សាយសុវត្ថិភាពជាផ្លូវការនៅចុងខែកញ្ញា/ដើមខែតុលា

• គោលបំណង៖ កំណែជួសជុលអប្បបរមា វិធីសាស្ត្រចែកចាយកូដប្រភព និងការលើកលែង 3.14 សម្រាប់បញ្ហាជាក់លាក់ tarfile ។
• ឯកសារយោង: Python Cross-branch security release instructions
• ឯកសារយោង: Python 3.11.17
• ឯកសារយោង: Python 3.12.15
• ឯកសារយោង: Python 3.13.16
• ឯកសារយោង: Python 3.14.8

S34 — CPython: 3.10 ការចេញផ្សាយសុវត្ថិភាពចុងក្រោយ

• គោលបំណង៖ 3.10.22 និងចុងបញ្ចប់នៃវដ្តជីវិតខាងលើ។
• ឯកសារយោង: Python 3.10.22

S35 — CPython: កំណែថែទាំសង្គ្រោះបន្ទាន់ 2026-10-21

• គោលបំណង៖ 3.13.17 / 3.14.9 / 3.15.1 ដែលមានស្រាប់នៅក្នុង pip និង certifi តម្រូវការ venv ដែលមានស្រាប់។
• ឯកសារយោង: Python 3.13.17
• ឯកសារយោង: Python 3.14.9
• ឯកសារយោង: Python 3.15.1

S36 — certifi៖ សេចក្តីប្រកាសមិនទុកចិត្តវិញ្ញាបនបត្រ emSign

• គោលបំណង៖ 2026-10-20, GHSA-6q48-6c7w-9gw2, Critical, មិនស្គាល់ CVE ។
• ឯកសារយោង: certifi Official Security Bulletin

S37 — PSF៖ ផលប៉ះពាល់នៃ eMudhra / emSign លើអ្នកប្រើប្រាស់ Python

• គោលបំណង៖ ការណែនាំ certifi .19, បន្ទាត់មូលដ្ឋាន pip/uv, ពាក្យបញ្ជាដំឡើងជំនាន់ដែលអាចទុកចិត្តបានជាមួយ SHA-256 ។
• ឯកសារយោង: PSF Official event and upgrade instructions

ពាក្យ​បញ្ជា​ដំឡើង​កំណែ​ចាប់ផ្ដើម pip ដែល​ផ្ដល់​ដោយ​សេចក្ដី​ណែនាំ​ផ្លូវ​ការ​ដែល​បាន​លើក​ឡើង​ដោយ S37 មាន​ដូច​ខាង​ក្រោម។ ប្រើតែនៅក្នុងបរិស្ថាន Python ដែលត្រូវបានបញ្ជាក់ថាគួរឱ្យទុកចិត្ត។ ប្រសិនបើមានការសង្ស័យថាមានការពុលនៅក្នុងផ្នែកទី 9 សូមដាក់ឱ្យនៅដាច់ដោយឡែកជាមុនសិនហើយបង្កើតឡើងវិញតាមដំណើរការនៃឧប្បត្តិហេតុ។ វាជួសជុល hash មាតិកាកង់ ហើយធ្វើបច្ចុប្បន្នភាពជាបន្តបន្ទាប់នូវភាពអាស្រ័យផ្សេងទៀត យោងទៅតាមដំណើរការគម្រោង។

python -m pip install "pip @ https://files.pythonhosted.org/packages/3f/06/3e4420302363fbb71be3c7f35ce042f54bfca330e3e66b3a2e3c4cca579f/pip-26.2.2-py3-none-any.whl#sha256=fd7f4dfa8190e014013b9f08f3e973f4e4c26ffd179a204895533a7254813a70"

S38 — Django: 2026-08-04 ការចេញផ្សាយដោយសុវត្ថិភាព

• ការប្រើប្រាស់៖ CVE-2026-15307, GeoDjango លក្ខខណ្ឌកេងប្រវ័ញ្ច ការជួសជុលដំបូង និងការផ្លាស់ប្តូរភាពត្រូវគ្នា។
• ឯកសារយោង: Django 6.0.8 / 5.2.17

S39 — Django: 2026-10-06 ការចេញផ្សាយដោយសុវត្ថិភាព

• គោលបំណង៖ CVE-2026-87890 ធរណីមាត្រ DoS ការពង្រឹងជាបន្តបន្ទាប់ជាមួយនឹងបន្ទាត់មូលដ្ឋានដែលបានជ្រើសរើសបច្ចុប្បន្ន។
• ឯកសារយោង: Django 6.1.2 / 6.0.9 / 5.2.18

S40 — PSF / CPython៖ ចំណាំចំហៀង tar_filter ចុងក្រោយបង្អស់

• គោលបំណង៖ 2026-10-22, CVE-2026-114583 (Medium); ការរួមបញ្ចូលគ្នា PR មិនមានន័យថាកំណែថែទាំផ្លូវការត្រូវបានចេញផ្សាយទេ។
• ឯកសារយោង: PSF Independent Announcement
• ឯកសារយោង: CPython Patch PR #160098

S41 — LiteLLM៖ របាយការណ៍ឧប្បត្តិហេតុខ្សែសង្វាក់ផ្គត់ផ្គង់ផ្លូវការ ថ្ងៃទី 21 ខែតុលា

• គោលបំណង៖ ផលិតផលកខ្វក់ 1.107.0 ការសង្ខេបជាប្រវត្តិសាស្ត្រ ការបង្កើតឡើងវិញដោយឯកោ និងការបោះចោលព័ត៌មានសម្ងាត់។
• ឯកសារយោង: Contained: LiteLLM v1.107.0 Compromised

S42 — Google Brotli៖ កំណែសុវត្ថិភាពផ្លូវការ

• គោលបំណង៖ ឯករាជ្យ Brotli 1.0.10 / 1.1.1 / 1.2.1 និងមូលដ្ឋានផ្ទៀងផ្ទាត់ច្បាប់ចម្លងដែលបានបង្កប់ឆ្លងភាសា។
• ឯកសារយោង: Brotli releases

S43 — mise៖ ប្រើពាក្យបញ្ជាឯកសារផ្លូវការ

• គោលបំណង៖ បញ្ជាក់កំណែឧបករណ៍ និងពាក្យបញ្ជាអត្ថន័យនៃការកំណត់រចនាសម្ព័ន្ធសកល។
• ឯកសារយោង: mise use

S44 — PyPA: pip-គម្រោងផ្លូវការសវនកម្ម

• គោលបំណង៖ Python ព្រំដែនគោលបំណង និងសមត្ថភាពនៃការត្រួតពិនិត្យភាពងាយរងគ្រោះដោយភាពអាស្រ័យ។
• ឯកសារយោង: pip-audit

S45 — Python៖ ឯកសារតម្រងការស្រង់ចេញ tarfile

• គោលបំណង៖ យុទ្ធសាស្ត្រទិន្នន័យ ការផ្លាស់ប្តូរឥរិយាបថលំនាំដើម និងការរឹតបន្តឹងដែលមិនអាចជំនួសប្រអប់ខ្សាច់បានទេ។
• ឯកសារយោង: tarfile extraction filters

S46 — Node.js៖ យន្តការបដិសេធ CA កម្រិតមធ្យម

• គោលបំណង៖ ដំណើរការខ្សែសង្វាក់ការជឿទុកចិត្តដែលទាក់ទងនឹង eMudhra នេះមិនស្មើនឹងការធ្វើឱ្យកូដកម្មមិនត្រឹមត្រូវនៃវិញ្ញាបនបត្រឫសគល់ទាំងអស់។
• ឯកសារយោង: Node.js PR #66871

S47 — CPython៖ SNI UAF កំណត់ចំណាំ និងជួសជុលបច្ចេកទេស

• គោលបំណង៖ វដ្តជីវិតយោង លក្ខខណ្ឌសាងសង់ពិសេស និងការតាមដានសាខា។
• ឯកសារយោង: official issue #156293
• ឯកសារយោង: official patch PR #158504
• ឯកសារយោង: 3.15 Backfill PR #158514