--- title: "Node.js, Java និង Python៖ ភាពងាយរងគ្រោះថ្មីៗ និងការណែនាំអំពីដំណោះស្រាយ" description: "ពិនិត្យមើលពេលដំណើរការ ក្របខ័ណ្ឌ និងវិញ្ញាបនបត្រអាប់ដេត ដោយមានមូលដ្ឋានបំណះជាក់លាក់ លក្ខខណ្ឌនៃការប៉ះពាល់ ការកាត់បន្ថយបណ្តោះអាសន្ន និងការផ្ទៀងផ្ទាត់ផលិតកម្ម។" language: "km" url: "https://keendigit.com/km/insights/node-java-python-security-remediation-guide" author: "KeenDigit" published: "2026-10-23" --- # Node.js, Java និង Python៖ ភាពងាយរងគ្រោះថ្មីៗ និងការណែនាំអំពីដំណោះស្រាយ ពិនិត្យមើលពេលដំណើរការ ក្របខ័ណ្ឌ និងវិញ្ញាបនបត្រអាប់ដេត ដោយមានមូលដ្ឋានបំណះជាក់លាក់ លក្ខខណ្ឌនៃការប៉ះពាល់ ការកាត់បន្ថយបណ្តោះអាសន្ន និងការផ្ទៀងផ្ទាត់ផលិតកម្ម។ **Sources បានពិនិត្យគិតត្រឹមថ្ងៃទី 23 ខែតុលា ឆ្នាំ 2026 (UTC)** **រយៈពេលគ្របដណ្តប់៖ ថ្ងៃទី 25 ខែកក្កដា ដល់ថ្ងៃទី 23 ខែតុលា ឆ្នាំ 2026 ដោយផ្តោតលើការប្រកាសថ្មី និងបំណះជាបន្តបន្ទាប់ចាប់ពីខែកញ្ញាដល់ខែតុលា។** **Audience: វិស្វករ និងអ្នកឆ្លើយតបផ្នែកសុវត្ថិភាព ដែលរក្សា Node.js, Java, Python សេវាកម្ម ធុង សាងសង់បំពង់បង្ហូរ និងបរិស្ថានអភិវឌ្ឍន៍។** អត្ថបទនេះសង្ខេបអំពីហានិភ័យសុវត្ថិភាពសំខាន់ៗថ្មីៗនៅក្នុង Node.js, Java, និង Python ពេលវេលាដំណើរការ បណ្ណាល័យស្តង់ដារ និងក្របខ័ណ្ឌម៉ាស៊ីនមេទូទៅ និងភាពអាស្រ័យ ហើយផ្តល់នូវវិសាលភាពផលប៉ះពាល់ កំណែថេរ វិធានការកាត់បន្ថយបណ្តោះអាសន្ន ការជ្រើសរើសបំណះ និងវិធីសាស្ត្រផ្ទៀងផ្ទាត់។ វាយតម្លៃផលប៉ះពាល់ប្រឆាំងនឹងកំណែសមាសភាគ មុខងារដែលបានបើក និងចំណុចចូលប្រើប្រាស់។ ការពិតនៃភាពងាយរងគ្រោះបានមកពីការប្រឹក្សាផ្លូវការ។ កាលបរិច្ឆេទសំដៅលើការបង្ហាញជាសាធារណៈ លុះត្រាតែមានការចេញផ្សាយបំណះមុនត្រូវបានកត់សម្គាល់យ៉ាងច្បាស់។ យើងមិនសន្និដ្ឋានលក្ខខណ្ឌនៃការកេងប្រវ័ញ្ចដែលមិនបានបញ្ជាក់ ពិន្ទុ CVSS ឬការកេងប្រវ័ញ្ចនៅក្នុងព្រៃនោះទេ។ ការណែនាំអំពីការដាក់ពង្រាយត្រូវបានកំណត់ថាជាការណែនាំអំពីការអនុវត្ត។ ## TL;DR៖ អាទិភាពនៃការដោះស្រាយ 1. **ធ្វើបច្ចុប្បន្នភាពរយៈពេលដំណើរការដែលពិតជាបង្ហោះសេវាកម្មជាមុន។** ធ្វើបច្ចុប្បន្នភាពដែលត្រូវគ្នា។ Node.js សាខាយ៉ាងហោចណាស់ **22.23.4 / 24.22.1 / 26.12.1** . សេវាកម្មដោយប្រើ Node 24 អាចធ្វើឱ្យប្រសើរឡើងទៅ **24.22.1 នៅក្នុងកំណែធំដូចគ្នា ឬកំណែក្រោយ** ដែលមានការកែតម្រូវដូចគ្នា។ [S1](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-1) [S2](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-2) 2. **ធ្វើបច្ចុប្បន្នភាព Node ភាពអាស្រ័យកម្មវិធីដាច់ដោយឡែក។** សម្រាប់ Next.js , ប្រើ **15.5.28 / 16.4.1** ជាមូលដ្ឋាននៃការធ្វើឱ្យប្រសើរឡើង; នៅពេលប្រើ React Server Components ដោយឯករាជ្យ ពិនិត្យមើលការដំឡើងពិតប្រាកដ `react-server-dom-*` កញ្ចប់។ មានតែការធ្វើបច្ចុប្បន្នភាព Node binary មិនគ្របដណ្តប់ភាពងាយរងគ្រោះនៃក្របខ័ណ្ឌទាំងនេះទេ។ [S8](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-8) [S9](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-9) [S10](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-10) [S11](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-11) [S12](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-12) 3. **Java ៖ គ្របដណ្តប់ការអាប់ដេតជុំទាំងពីរ។** ដំឡើង​ការ​សាងសង់​អ្នក​លក់​គ្រប​ដ​ណ្ត​ប់​ទាំង​ពីរ​ខែតុលា 20 CPU និងថ្ងៃទី ២១ ខែតុលា **CVE-2026-91403** ការជួសជុលវិញ្ញាបនបត្រសង្គ្រោះបន្ទាន់ - ការជឿទុកចិត្ត។ សូមមើលផ្នែក 2.2 សម្រាប់ Oracle JDK 11 -27 កំណែក្រៅក្រុម; ផ្ទៀងផ្ទាត់ការចែកចាយផ្សេងទៀតប្រឆាំងនឹងកញ្ចប់សុវត្ថិភាពផ្ទាល់ខ្លួនរបស់ពួកគេ និងលេខបង្កើតពេញលេញ។ ធ្វើបច្ចុប្បន្នភាពដែលត្រូវគ្នា។ Tomcat សាខាទៅ **9.0.123 / 10.1.61 / 11.0.27** . [S16](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-16) [S17](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-17) [S18](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-18) [S20](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-20) [S21](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-21) [S22](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-22) [S23](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-23) 4. **Python ៖ ធ្វើបច្ចុប្បន្នភាពកម្មវិធីបកប្រែ កញ្ចប់កម្មវិធី និងកញ្ចប់វិញ្ញាបនបត្រដាច់ដោយឡែក។** សូមមើលផ្នែក 2.3 សម្រាប់មូលដ្ឋានអ្នកបកប្រែ; `certifi` ណែនាំ **≥ 2026.10.19** , `pip` **≥ 26.2.2** , នៅពេលប្រើ `uv` **≥ 0.13.4** . រាល់ venv ដែលមានស្រាប់ត្រូវតែត្រួតពិនិត្យ។ សម្រាប់ `wrap_bio()` លេខកូដដែលពាក់ព័ន្ធ ត្រឹមត្រូវ និងមិនទទេ `server_hostname` ត្រូវតែឆ្លងកាត់ផងដែរ។ [S29](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-29) [S30](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-30) [S31](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-31) [S33](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-33) [S35](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-35) [S36](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-36) [S37](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-37) 5. **ប្រសិនបើការអាប់ដេតភ្លាមៗគឺមិនអាចទៅរួចនោះទេ កាត់បន្ថយការបង្ហាញនៅចំនុចចូលដែលពាក់ព័ន្ធ។** ផ្តល់អាទិភាពដល់ការបញ្ឈប់ការមិនទុកចិត្ត Brotli ការឌិកូដ ដំណើរការរូបភាព/ទំព័រ/ការរក្សាទុកដែលរងផលប៉ះពាល់ និងការបំបែកបញ្ហា LDAP ឬធាតុផ្ទៀងផ្ទាត់; ការរក្សា TLS វិញ្ញាបនបត្រ និងឈ្មោះម៉ាស៊ីនត្រូវបានផ្ទៀងផ្ទាត់។ ចូល WAF មិន​អាច​គ្រប​ដណ្តប់​លើ​ផ្លូវ​ចេញ​ក្រៅ​ដូច​ជា​កម្មវិធី​ទាញ​ការ​ឆ្លើយ​តប​ដែល​បាន​បង្ហាប់​ដែល​មាន​គំនិត​អាក្រក់។ [S3](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-3) [S11](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-11) [S25](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-25) [S27](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-27) [S30](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-30) [S32](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-32) 6. **បង្កើតឡើងវិញ ជំនួសដំណើរការចាស់ និងផ្ទៀងផ្ទាត់តាមរយៈផ្លូវសេវាកម្មពិតប្រាកដ។** រក្សាទុកឯកសារចាក់សោ និងការសង្ខេបរូបភាព បង្កើតកម្មវិធី និងរូបភាពឡើងវិញ ដំណើរការជំនួសសម្រាប់កម្មករទាំងអស់/JVM/containers; ពិនិត្យដំណើរការជាក់ស្តែង មែកធាងអាស្រ័យ ហាងជឿទុកចិត្ត និងការធ្វើតេស្តតំរែតំរង់អាជីវកម្ម។ កំណែ​បន្ទាត់​ពាក្យ​បញ្ជា​ថ្មី​តែ​ឯង​មិន​បាន​កំណត់​ថា​ការ​ដោះស្រាយ​ត្រូវ​បាន​បញ្ចប់​ទេ។ 7. **ប្រសិនបើ LiteLLM 1.107.0 ត្រូវបានដំឡើង ឬដំណើរការ អនុវត្តតាមនីតិវិធីឆ្លើយតបឧបទ្ទវហេតុ។** គម្រោងបានបញ្ជាក់ពីការសម្របសម្រួលការចេញផ្សាយនៅថ្ងៃទី 21 ខែតុលា។ ញែកបរិស្ថានដែលរងផលប៉ះពាល់ ស៊ើបអង្កេតពីបរិស្ថានស្អាត បង្កើតឡើងវិញ និងបង្វិលព័ត៌មានដែលប៉ះពាល់។ កុំចាប់ផ្តើម Python/pip នៅក្នុងបរិយាកាសគួរឱ្យសង្ស័យសម្រាប់ការត្រួតពិនិត្យជាមុន។ សូមមើលផ្នែកទី 9 សម្រាប់ព័ត៌មានលម្អិត។ [S41](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-41) ## 1. ទិដ្ឋភាពទូទៅនៃភាពងាយរងគ្រោះ និងការវាយតម្លៃហានិភ័យ ### 1.1 ផ្តល់អាទិភាពដល់ការដោះស្រាយដោយការប៉ះពាល់ជាក់ស្តែង អាទិភាពនៃការដាក់ពង្រាយខាងក្រោមគឺជាការណែនាំអំពីការអនុវត្ត។ ស្លាកភាពធ្ងន់ធ្ងរធ្វើតាមអ្នកលក់នីមួយៗ រួមទាំងការវាយតម្លៃ **Important** របស់ Apache ។ CVSS 3.1 និង 4.0 គឺជាប្រព័ន្ធដាក់ពិន្ទុខុសៗគ្នា។ កុំចាត់ចំណាត់ថ្នាក់បញ្ហានៅទូទាំងពួកគេដោយពិន្ទុតែម្នាក់ឯង។ | ប្រព័ន្ធអេកូ / ស្រទាប់ | បញ្ហាសំខាន់ៗ | ចំណាត់ថ្នាក់ផ្លូវការ ឬពិន្ទុដែលបានផ្ទៀងផ្ទាត់ | ការដាក់ពង្រាយអាទិភាព | | ---------------------------------- | ------------------------------------------------------------------------------------------------- | --------------------------------------------- | --------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | ភាពអាស្រ័យដើម Node.js | CVE-2026-111497៖ Brotli ត្រូវបានសរសេរចេញពីព្រំដែន ហើយវាមានហានិភ័យនៃ RCE | Node：High | ឌិកូដទិន្នន័យ Brotli [S1](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-1)[S3](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-3) នៅក្នុងតួសំណើខាងក្រៅ ឬការឆ្លើយតបខាងក្រៅ | | Node.js TLS / DNS | CVE-2026-105482, 105483, 106069៖ ការញែក និងការផ្ទៀងផ្ទាត់អត្តសញ្ញាណគឺមិនស៊ីសង្វាក់គ្នា | High | URL វារ ប្រូកស៊ី Webhook អាសយដ្ឋានគោលដៅថាមវន្ត [S1](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-1)[S5](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-5)[S6](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-6) | | Node.js HTTP/2 | CVE-2026-56846, 56848៖ អង្គចងចាំអស់ហើយ UAF | High | Node ដោះស្រាយដោយផ្ទាល់ ចរាចរ HTTP/2 ដែលមិនគួរឱ្យទុកចិត្ត [S7](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-7) | | React / Next.js | RSC / `use cache` typed arrays RCE | Critical；CVSS 4.0 9.5 | ម៉ាស៊ីនមេ RSC សមាសធាតុឃ្លាំងសម្ងាត់ពាក់ព័ន្ធ និងផ្លូវទិន្នន័យ [S9](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-9)[S10](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-10) | | ការបង្កើនប្រសិទ្ធភាពរូបភាព Next.js | CVE-2026-96889៖ SVG ដំណើរការរូបភាព RCE | Critical；CVSS 4.0 9.5 | ករណីនៅលើ glibc Linux ដែលអាចគ្រប់គ្រងរូបភាពដែលមិនគួរឱ្យទុកចិត្ត [S11](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-11) | | Next.js Server Actions | សំណើដែលបង្កើតជាពិសេសធ្វើឱ្យ CPU អស់កំលាំង | High；CVSS 4.0 8.2 | App Router និងយ៉ាងហោចណាស់មួយ Server Action [S12](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-12) | | Java TLS ទំនុកចិត្ត | CVE-2026-91403៖ បន្តជឿជាក់លើកម្រិតមធ្យមដែលរងផលប៉ះពាល់ CA | CVSS 3.1 9.1 | សេណារីយ៉ូ TLS/API [S17](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-17) ដោយប្រើខ្សែសង្វាក់ទំនុកចិត្តដែលរងផលប៉ះពាល់ | | Tomcat | ការឆ្លងកាត់ការផ្ទៀងផ្ទាត់ JNDIRealm, HTTP/2 ការលាយបញ្ចូលគ្នានៃសំណើឆ្លង, ការលេចធ្លាយការឆ្លើយតប AJP | Important | ដែលត្រូវគ្នាទៅនឹងផ្លូវ Realm / Connector / async Servlet [S21](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-21)[S22](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-22)[S23](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-23) | | Spring for GraphQL | CVE-2026-59285៖ ការបំភាន់ទំព័រ RCE | High | Jackson 2 + Connection ទំព័រ + ផ្លូវថ្នាក់ដែលអាចកេងប្រវ័ញ្ច [S25](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-25) | | Spring Security | CVE-2026-59270៖ បង្កប់ LDAP ស្គាល់អត្តសញ្ញាណគ្រប់គ្រងត្រូវបានលាតត្រដាង | Critical | ដែលបានបង្កប់ LDAP ត្រូវបានបើក ហើយច្រកស្តាប់អាចចូលដំណើរការបានដោយអ្នកវាយប្រហារ [S27](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-27) | | CPython `ssl` | CVE-2026-19445៖ ការប្តូរបរិបទ SNI លទ្ធផលនៅក្នុង UAF | Critical | Python បញ្ចប់ TLS ដោយខ្លួនវា ហើយបំពេញតាមលក្ខខណ្ឌវដ្តជីវិតបរិបទ [S29](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-29) | | CPython `ssl` | CVE-2026-19553៖ រំលងការផ្ទៀងផ្ទាត់ នៅពេលដែលបាត់ឈ្មោះម៉ាស៊ីន | High | `wrap_bio()` / ការហៅ asyncio ពាក់ព័ន្ធបាត់ឈ្មោះម៉ាស៊ីនដែលរំពឹងទុក [S30](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-30) | | CPython `tarfile` | CVE-2026-82049៖ តំណភ្ជាប់រឹង និងការរួមបញ្ចូលគ្នានៃតំណនិមិត្តសញ្ញាផ្លូវវាង | High | ស្រង់ចេញដោយស្វ័យប្រវត្តិនូវប័ណ្ណសារ tar ដែលមិនគួរឱ្យទុកចិត្ត [S32](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-32) | | Django / GeoDjango | CVE-2026-15307៖ ឯកសារសរសេរសំណួរទំហំ SSRF ក្រោមលក្ខខណ្ឌ RCE | High | សំណួរតាមលំហ ឬចំណុចប្រទាក់រដ្ឋបាលដែលពាក់ព័ន្ធទទួលយកការបញ្ចូលដែលមិនគួរឱ្យទុកចិត្ត [S38](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-38) | | ភាពអាស្រ័យវិញ្ញាបនបត្រ Python | certifi៖ emSign ទាក់ទងនឹងវិញ្ញាបនបត្រមិនទុកចិត្ត | Critical; GHSA គ្មាននរណាម្នាក់ស្គាល់ CVE ទេ។ | ម៉ាស៊ីនភ្ញៀវ TLS និងឧបករណ៍គ្រប់គ្រងកញ្ចប់ [S36](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-36)[S37](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-37) នៅតែប្រើ CA bundle ដែលរងផលប៉ះពាល់ | អក្សរកាត់៖ RCE តំណាងឱ្យការប្រតិបត្តិលេខកូដពីចម្ងាយ UAF តំណាងឱ្យការប្រើប្រាស់បន្ទាប់ពីមិនគិតថ្លៃ និង SSRF តំណាងឱ្យការក្លែងបន្លំសំណើរខាងម៉ាស៊ីនមេ។ ការអនុញ្ញាតដោយផ្ទាល់របស់ RCE ជាធម្មតាជាការអនុញ្ញាតនៃដំណើរការដែលបង្ហោះកម្មវិធី ហើយមិនអាចស្មើនឹងការអនុញ្ញាតជា root ដោយស្វ័យប្រវត្តិទេ។ **លំដាប់ដែលបានណែនាំ៖** ដំបូងដោះស្រាយ RCE ដែលអាចទៅដល់ខាងក្រៅ និងបំពេញតាមលក្ខខណ្ឌ ការឆ្លងកាត់ការផ្ទៀងផ្ទាត់ ការលេចធ្លាយទិន្នន័យឆ្លងអ្នកប្រើប្រាស់ និងបញ្ហាការផ្ទៀងផ្ទាត់វិញ្ញាបនបត្រ។ ក្នុងពេលជាមួយគ្នានេះ ការធ្វើបច្ចុប្បន្នភាពកាលវិភាគសម្រាប់ចំណុចចូល DoS ដែលប្រឈមមុខនឹងសាធារណៈ។ មិនចាំបាច់ដំណើរការបន្ទុកវាយប្រហារនៅក្នុងផលិតកម្ម ដើម្បីបញ្ជាក់ពីការកេងប្រវ័ញ្ចនោះទេ។ ភាពអាស្រ័យមាន ផ្លូវកូដអាចទៅដល់បាន ហើយលក្ខខណ្ឌនៃការវាយប្រហារត្រូវបានបំពេញ។ នេះគឺជាបញ្ហាបីដែលត្រូវត្រួតពិនិត្យដោយឡែកពីគ្នា។ ### 1.2 បីយ៉ាងងាយច្រឡំព្រំដែន - **អាប់ដេតម៉ោងរត់ និងភាពអាស្រ័យដោយឡែកពីគ្នា។** បច្ចុប្បន្នភាពសុវត្ថិភាពសម្រាប់ Node , JDK , CPython មិនជួសជុលការដំឡើងឯកតាដោយស្វ័យប្រវត្តិនៃ Next.js , Spring , Django , certifi ឬផ្នែកបន្ថែមដើម។ - នេះ។ **កម្រិត​នៃ​ការ​ដោះស្រាយ​គឺ​ដាច់​ដោយឡែក​ពី​បន្ទាត់​មូលដ្ឋាន​នៃ​ការ​ដាក់​ពង្រាយ​បច្ចុប្បន្ន។** បំណះដំបូងសម្រាប់ភាពងាយរងគ្រោះនៅក្នុងខែសីហាមិនត្រូវបានធានាដើម្បីគ្របដណ្តប់បញ្ហាថ្មីពីខែកញ្ញាដល់ខែតុលា។ ផ្នែកទី 2 ប្រើប្រាស់ការអាប់ដេតជាបន្តបន្ទាប់ដែលបានផ្ទៀងផ្ទាត់ជាគោលដៅអនុវត្ត។ - **បែងចែកភាពងាយរងគ្រោះពីការសម្របសម្រួលខ្សែសង្វាក់ផ្គត់ផ្គង់ជាក់ស្តែង។** សម្រាប់ភាពងាយរងគ្រោះទូទៅ បំណះបំបាត់ផ្លូវវាយប្រហារនាពេលអនាគត។ នៅពេលដែលកញ្ចប់ព្យាបាទត្រូវបានដំណើរការ ផលប៉ះពាល់នៃលិខិតសម្គាល់ និងការបន្តត្រូវតែស៊ើបអង្កេត។ ផ្នែកទី 9 LiteLLM គឺជាព្រឹត្តិការណ៍ដែលបានបញ្ជាក់ជាផ្លូវការ។ [S41](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-41) ថាតើមានការបញ្ជាក់អំពីការកេងប្រវ័ញ្ចនៅក្នុងព្រៃ គួរតែផ្អែកលើការបង្ហាញជាផ្លូវការ។ អ្នកលក់មិនបាននិយាយពីសកម្មភាពកេងប្រវ័ញ្ចទេ ហើយមិនអាចបង្ហាញថាគ្មានការវាយប្រហារទេ។ ការជួសជុលគួរតែត្រូវបានអនុវត្តដោយផ្អែកលើផ្ទៃវាយប្រហារជាក់ស្តែង។ ## 2. ពិនិត្យយ៉ាងរហ័សនៃកំណែថេរ និងមូលដ្ឋាននៃការដាក់ពង្រាយ ### ឯកសារយោង: 2.1 Node.js、React、Next.js | សមាសភាគ/សាខា | កំណែដែលបានណែនាំជាមូលដ្ឋាន | ការណែនាំសម្រាប់ការប្រើប្រាស់ | | ------------------------------------------ | -------------------------------------- | --------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | Node.js 22.x | **22.23.4** | ការចេញផ្សាយសុវត្ថិភាព [S1](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-1)[S2](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-2) នៅថ្ងៃទី 21 ខែតុលា | | Node.js 24.x | **24.22.1** | អនុវត្តទៅសាខា 24.x; 24.22.0 មិនមានបំណះសុវត្ថិភាពថ្ងៃទី 21 ខែតុលា [S1](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-1)[S2](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-2) | | Node.js 26.x | **26.12.1** | ការចេញផ្សាយសុវត្ថិភាពនៅក្នុងបាច់ដូចគ្នា [S1](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-1)[S2](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-2) | | Node.js 20 និងសាខាខាងលើ | ផ្លាស់ទីទៅសាខាដែលគាំទ្រ | Node 20 មិនទទួលយកការជួសជុលខាងលើនេះទេ។ អ្នកលក់បន្ថែមការគាំទ្រត្រូវតែត្រូវបានផ្ទៀងផ្ទាត់ដាច់ដោយឡែក [S3](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-3) | | Next.js 15.x | **15.5.28** | បានធ្វើបច្ចុប្បន្នភាពនៅថ្ងៃទី 14 ខែតុលា [S8](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-8) | | Next.js 16.x | **16.4.1** | ដូចគ្នានឹង [S8](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-8) ខាងលើដែរ។ | | សាខា RSC 19.0 / 19.1 / 19.2 / 19.3 ឯករាជ្យ | **19.0.9 / 19.1.10 / 19.2.9 / 19.3.1** | ពិនិត្យមើលកញ្ចប់ `react-server-dom-*` បីដោយឡែកពីគ្នា។ មិនគ្រាន់តែមើលស្រទាប់ខាងលើ `react` [S10](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-10) | | Next ពិតជាបានផ្ទុក `sharp` | **≥0.35.5** | លក្ខខណ្ឌជួសជុលបណ្តោះអាសន្នជាផ្លូវការសម្រាប់ភាពងាយរងគ្រោះ SVG; មិនជំនួសបំណះ Next.js ផ្សេងទៀត [S11](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-11) | Node ចុះបញ្ជីជាផ្លូវការនូវសាខាថែទាំដែលរងផលប៉ះពាល់សម្រាប់ភាពងាយរងគ្រោះក្នុងខែតុលា ប៉ុន្តែមិនផ្តល់ធាតុកំណែបំណះដែលបានណែនាំដំបូងដោយធាតុទេ ដូច្នេះកំណែចាប់ផ្តើមច្បាស់លាស់នៃភាពងាយរងគ្រោះនីមួយៗមិនអាចកំណត់បានដោយផ្អែកលើជួរសាខាថែទាំតែមួយមុខនោះទេ។ នៅពេលដាក់ពង្រាយ សូមផ្តល់អាទិភាពដល់ការប្រើប្រាស់កំណែខាងលើនៃសាខាដូចគ្នា ឬកំណែបន្តបន្ទាប់ដែលបញ្ជាក់ថាមានការជួសជុលដូចគ្នា។ ### 2.2 Java៖ ខែតុលា CPU បូករួមទាំងការធ្វើបច្ចុប្បន្នភាពវិញ្ញាបនបត្រក្រៅក្រុម តារាងនេះអនុវត្តចំពោះ **Oracle JDK** ។ ជួរទីពីរគ្របដណ្តប់តែខែតុលា 20 CPU; ទីបីរួមបញ្ចូលទាំងការចេញផ្សាយក្រៅក្រុមនៅថ្ងៃទី 21 ខែតុលា។ កំណែ CPU តែម្នាក់ឯងមិនគ្របដណ្តប់ហានិភ័យ Java ទាំងអស់ដែលបានពិភាក្សានៅទីនេះទេ។ [S16](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-16)[S17](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-17)[S18](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-18) | សាខា | ថ្ងៃទី 20 ខែតុលា CPU | Oracle បានចេញក្រៅក្រុមនៅថ្ងៃទី 21 ខែតុលា | | ---- | -------------------- | ---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | 11 | 11.0.33 | **11.0.33.0.2** | | 17 | 17.0.21 | **17.0.21.0.2** | | 21 | 21.0.13 | **21.0.13.0.2** | | 25 | 25.0.5 | **25.0.5.0.2** | | 27 | 27.0.1 | **27.0.1.0.2** | | 8 | 8u511 | តារាងចេញផ្សាយជាសាធារណៈនៅតែបង្ហាញ **8u511**; ការស្ថាបនាសុវត្ថិភាពជាក់លាក់ និងការជួសជុលខ្សែសង្វាក់ទុកចិត្តត្រូវតែត្រួតពិនិត្យ ហើយមិនអាចកំណត់បានដោយផ្អែកលើលេខកំណែខ្លីតែម្នាក់ឯងនោះទេ។ | \*\*Java 8 ចាំបាច់ត្រូវត្រួតពិនិត្យប្រឆាំងនឹងព័ត៌មានស្ថាបនាពេញលេញ៖\*\*Oracle ការជូនដំណឹងរាយបញ្ជី 8u511 ជាកំណែដែលរងផលប៉ះពាល់ ហើយបញ្ជីចេញផ្សាយរាយបញ្ជីការអាប់ដេតជាបន្តបន្ទាប់ដែលមានឈ្មោះខ្លីដូចគ្នា។ ស្ថានភាពបំណះមិនអាចត្រូវបានសម្គាល់ដោយផ្អែកលើលេខកំណែខ្លី "8u511" តែម្នាក់ឯងទេ។ អ្នក​គួរ​តែ​បញ្ជាក់​ពី​ការ​បង្កើត​សុវត្ថិភាព​ជាក់លាក់ និង​ការ​ជួសជុល​ខ្សែ​សង្វាក់​ទំនុក​ចិត្ត។ [S17](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-17)[S18](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-18) **Temurin , Corretto , Zulu , Microsoft Build of OpenJDK , កំណែចេញផ្សាយ OpenJDK ល។ ពិនិត្យ​តាម​ការ​ប្រកាស​រៀង​ខ្លួន​ និង​លេខ​កញ្ចប់​/បង្កើត​ពេញលេញ។** ឧទាហរណ៍ កំណត់ត្រានៃការចេញផ្សាយជាផ្លូវការ Adoptium ចែងថាការស្ថាបនាដែលពាក់ព័ន្ធត្រូវបានវេចខ្ចប់ឡើងវិញដើម្បីបន្ថែម eMudhra ជួសជុល; ឈ្មោះដូចគ្នានៃកំណែខាងលើមិនមានន័យថាមាតិកាកញ្ចប់គឺដូចគ្នានោះទេ។ នេះ។ `.0.2` បច្ច័យច្បាប់សម្រាប់ Oracle មិន​អាច​ត្រូវ​បាន​អនុវត្ត​ដោយ​មេកានិក​ចំពោះ​អ្នក​បោះពុម្ព​ផ្សាយ​ផ្សេង​ទៀត​ទេ។ [S20](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-20) | សមាសធាតុកម្មវិធី Java | កំណែដែលបានណែនាំជាមូលដ្ឋាន | សុន្ទរកថា | | ------------------------------------- | ------------------------------------- | -------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | Tomcat 9 / 10.1 / 11 | **9.0.123 / 10.1.61 / 11.0.27** | ពិនិត្យសាខាតាមសាខា; Tomcat 10.0 បានបញ្ឈប់ការថែទាំ [S21](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-21)[S22](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-22)[S23](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-23) | | Spring for GraphQL 2.0.x | **2.0.5（OSS）** | ការគាំទ្រផ្នែកពាណិជ្ជកម្មក៏ 2.0.4.1 [S25](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-25) | | Spring Security 7.1 / 7.0 | **7.1.1 / 7.0.7（OSS）** | ត្រូវគ្នាទៅនឹងកំណែជួសជុលអប្បបរមាដែលបានប្រកាសនៅក្នុងខែសីហា; អ្នកត្រូវពិនិត្យមើលព្រឹត្តិបត្រសុវត្ថិភាពជាបន្តបន្ទាប់ [S27](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-27)[S28](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-28) មុនពេលដាក់ឱ្យប្រើប្រាស់ | | Spring Security 6.5 / 6.4 / 5.8 / 5.7 | **6.5.12 / 6.4.19 / 5.8.28 / 5.7.26** | សេចក្តី​ប្រកាស​ត្រូវ​បាន​រាយ​បញ្ជី​ជា​ការ​ជួសជុល​ជំនួយ​ពាណិជ្ជកម្ម; ការធ្វើចំណាកស្រុកត្រូវបានវាយតម្លៃនៅពេលដែលមិនមានការគាំទ្រដែលត្រូវគ្នា ហើយវាមិនអាចត្រូវបានសន្មត់ថា Maven Central អាចរកបានដោយឥតគិតថ្លៃ [S27](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-27) | ការធ្វើឱ្យប្រសើរឡើង Spring គួរតែគោរព Spring Boot BOM, Java កំណែអប្បបរមា និងបន្ទាត់ដែលត្រូវគ្នារបស់គម្រោង។ កុំបង្ខំម៉ូឌុល Spring ទាំងអស់ដោយផ្ទាល់ទៅលេខដូចគ្នាគ្រាន់តែដើម្បីទទួលបានបំណះ។ ### 2.3 CPython, Django និងភាពអាស្រ័យវិញ្ញាបនបត្រ ជួរទីពីរនៃតារាងខាងក្រោមផ្តោតលើបញ្ហា TLS ដែលបានបង្ហាញនៅក្នុងខែកញ្ញា។ ភាពខុសគ្នានៃសាខាសម្រាប់ `tarfile` ត្រូវបានបង្ហាញនៅក្នុងផ្នែក 5.3. ការចេញផ្សាយថ្ងៃទី 21 ខែតុលា ក៏បានធ្វើបច្ចុប្បន្នភាពឧបករណ៍វិញ្ញាបនបត្រជាកញ្ចប់ផងដែរ ដូច្នេះជួរចុងក្រោយរួមមានបន្ទាត់មូលដ្ឋាននៃការដាក់ពង្រាយនៅពេលក្រោយ។ [S29](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-29)[S30](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-30)[S33](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-33)[S35](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-35) | សាខា CPython | កំណែអប្បបរមានៃកញ្ចប់សុវត្ថិភាពខែកញ្ញា | មូលដ្ឋាននៃការដាក់ពង្រាយដែលបានណែនាំ | | ------------ | ----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | ---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | 3.10 | 3.10.22 | ការចេញផ្សាយចុងក្រោយពីចរន្តទឹក EOL; រៀបចំការធ្វើចំណាកស្រុក ឬផ្ទៀងផ្ទាត់ការគាំទ្រផ្នែកបន្ថែមការចេញផ្សាយ [S34](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-34) | | 3.11 | **3.11.17** | 3.11.17 និងធ្វើបច្ចុប្បន្នភាព pip/certifi នៅក្នុងបរិយាកាសនីមួយៗដោយឡែកពីគ្នា។ | | 3.12 | **3.12.15** | 3.12.15 និងធ្វើបច្ចុប្បន្នភាព pip/certifi នៅក្នុងបរិយាកាសនីមួយៗដោយឡែកពីគ្នា។ | | 3.13 | 3.13.16 | **3.13.17** | | 3.14 | 3.14.8 | **3.14.9** | | 3.15 | ការចេញផ្សាយ 3.15.0 ចុងក្រោយរួមមាន TLS ជួសជុល [S31](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-31)[S47](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-47) | **3.15.1** | កំណែសុវត្ថិភាពខាងលើនៃ 3.11 និង 3.12 អាចត្រូវបានចេញផ្សាយនៅក្នុងកូដប្រភពតែប៉ុណ្ណោះ។ នៅពេលប្រើកញ្ចប់ប្រព័ន្ធប្រតិបត្តិការ សូមពិនិត្យមើលការប្រឹក្សា backport របស់អ្នកលក់ និងកំណែកញ្ចប់ពេញលេញ ហើយវាមិនមានតម្រូវការក្នុងការជំនួសប្រព័ន្ធ Python ដោយបង្ខំនូវកំណែដែលបានចងក្រងដោយខ្លួនឯងនោះទេ។ [S33](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-33)[S34](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-34) | ភាពអាស្រ័យឯករាជ្យ | កំណែដែលបានណែនាំជាមូលដ្ឋាន | ការពិពណ៌នា | | ---------------------- | -------------------------- | ----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | Django 5.2 / 6.0 / 6.1 | **5.2.18 / 6.0.9 / 6.1.2** | បញ្ចូលការកែតម្រូវជាបន្តបន្ទាប់ [S38](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-38)[S39](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-39) នៅថ្ងៃទី 6 ខែតុលា | | certifi | **≥2026.10.19** | បំណះដំបូង GHSA គឺ .18; PSF ណែនាំ .19 ដើម្បីរក្សាភាពត្រូវគ្នាសម្រាប់វិញ្ញាបនបត្រដែលមិនប៉ះពាល់ [S36](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-36)[S37](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-37) | | pip | **≥26.2.2** | ច្បាប់ចម្លងដែលភ្ជាប់មកជាមួយនៃ certifi ចាំបាច់ត្រូវធ្វើបច្ចុប្បន្នភាពដាច់ដោយឡែក [S35](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-35)[S37](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-37) | | uv (ប្រសិនបើប្រើ) | **≥0.13.4** | ធ្វើបច្ចុប្បន្នភាព [S37](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-37) យោងតាមវិធីសាស្ត្រដំឡើងជាក់ស្តែង | **បន្ទាត់មូលដ្ឋានទាំងនេះគ្របដណ្តប់លើការជួសជុលដែលបានរាយបញ្ជី។** បញ្ហាកម្រិតមធ្យមមួយផ្សេងទៀតនៅក្នុង `tar_filter` ត្រូវបានបង្ហាញនៅថ្ងៃទី 22 ខែតុលា។ គិតត្រឹមថ្ងៃទី 23 ខែតុលា ឆ្នាំ 2026 កំណែថែទាំផ្លូវការដែលមានការជួសជុលនេះមិនទាន់ត្រូវបានបញ្ជាក់នៅឡើយទេ។ ដូច្នេះ 3.13.17 / 3.14.9 / 3.15.1 មិនអាចត្រូវបានចាត់ទុកថាបានគ្របដណ្តប់លើបញ្ហា tarfile ទាំងអស់។ សូមមើលផ្នែក 5.4. [S40](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-40) ### 2.4 ផ្ទៀងផ្ទាត់ backports ការចែកចាយ គោលការណ៍នៃការអនុវត្តអាចអនុវត្តបានចំពោះ Ubuntu, Debian, RHEL និងកញ្ចប់កម្មវិធីផ្សេងទៀត៖ 1. កត់ត្រាកំណែប្រព័ន្ធប្រតិបត្តិការ ប្រភពឃ្លាំង កំណែកញ្ចប់ពេញលេញ និងលេខព្រឹត្តិបត្រសុវត្ថិភាពរបស់អ្នកលក់។ 2. បញ្ជាក់ថាការប្រឹក្សាគ្របដណ្តប់ CVE ជាក់លាក់ និងកំណត់កញ្ចប់ថេរសម្រាប់ការចេញផ្សាយការចែកចាយដែលពាក់ព័ន្ធ។ 3. ប្រៀបធៀបប្រព័ន្ធគោលពីរ/បណ្ណាល័យដែលផ្ទុកដោយដំណើរការដំណើរការជាក់ស្តែង មិនមែនគ្រាន់តែជាកំណែខ្លីៗនោះទេ។ 4. នៅពេលដែលមិនមានភ័ស្តុតាងនៃបំណះអ្នកលក់ សូមទុកវាឱ្យ "បញ្ជាក់" ហើយកុំយកវាជាការសន្និដ្ឋានតែមួយគត់ដែលលេខកំណែមើលទៅចាស់ឬថ្មី។ មានភាពខុសគ្នានៅក្នុងកំណែកញ្ចប់ apt/RPM និងយុទ្ធសាស្រ្ត backport នៃការចែកចាយផ្សេងៗគ្នា។ ព្រឹត្តិបត្រសុវត្ថិភាព និងកំណែកញ្ចប់ពេញលេញនៃការចែកចាយនីមួយៗគួរតែមាន។ ## 3. ប្រព័ន្ធអេកូ Node.js / JavaScript៖ ការវិភាគរកមូលហេតុ និងដំណោះស្រាយ ### 3.1 CVE-2026-111497: Brotli ឧបករណ៍ឌិកូដដើមកំណើតក្រៅព្រំដែនសរសេរ **Disclosure: 2026-10-21; Node ថ្នាក់ផ្លូវការ៖ High ។ ការស្ថាបនាដែលរងផលប៉ះពាល់នៃ** Node 22.x, 24.x, 26.x ទាមទារផ្នែកបំណះ 2.1 ដើម្បីដំឡើង។ Node សេចក្តីប្រកាសមិនរាយបញ្ជីពិន្ទុ CVSS ទេ។ [S1](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-1) បញ្ហាកើតឡើងនៅក្នុងតក្កវិជ្ជានៃការឌិកូដដើមនៅពេលគ្រប់គ្រងស្ទ្រីមដែលបានបង្ហាប់ Brotli ខុសដែលអាចនាំទៅដល់ការសរសេរក្រៅព្រំដែន។ ការពិពណ៌នាផ្លូវការរបស់ Vercel បញ្ជាក់ថា ការបង្ហាញការស្រាវជ្រាវពាក់ព័ន្ធនឹងការលេចធ្លាយអង្គចងចាំដំណើរការ និងការប្រតិបត្តិពាក្យបញ្ជា។ ថាតើអ្នកវាយប្រហារអាចទៅដល់ឧបករណ៍ឌិកូដ អាស្រ័យលើថាតើកម្មវិធី ឬភាពអាស្រ័យពិតជាឌិកូដទិន្នន័យដែលវាគ្រប់គ្រង។ [S3](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-3) ទិសដៅទាំងពីរត្រូវតែត្រួតពិនិត្យក្នុងពេលតែមួយ៖ - **inbound៖ The** framework ឬ middleware decompress the Brotli ដោយស្វ័យប្រវត្តិដែលដាក់ស្នើដោយអ្នកប្រើប្រាស់។ - \*\*outbound:\*\*HTTP អតិថិជន អ្នកចាប់យករូបភាព ល។ ចូលប្រើប្រភពដែលអាចគ្រប់គ្រងបានដោយអ្នកវាយប្រហារ ហើយបង្រួមមាតិកាដែលបានត្រឡប់មកវិញដោយស្វ័យប្រវត្តិ។ ការបិទដំណើរការការបង្ហាប់ Brotli នៃការឆ្លើយតបដែលបានផ្ញើទៅកម្មវិធីរុករកមិនដកចំណុចបញ្ចូលការឌិកូដទេ។ ការការពារ WAF ខាងក្នុងក៏មិនគ្របដណ្តប់កម្មវិធីដែលទៅយក និងការឌិកូដការឆ្លើយតបខាងក្រៅដែរ។ [S3](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-3) ទិសដៅ \*\*Patch៖\*\*Node ផ្លាស់ទីការជួសជុលខាងលើ Brotli ទៅក្នុងភាពអាស្រ័យដើម ហើយបន្ថែមការត្រួតពិនិត្យស្ថានភាពការឌិកូដខុសច្បាប់ និងការផ្សព្វផ្សាយកំហុស។ នៅពេលរក្សាកំណែដែលបានចងក្រងដោយខ្លួនឯង អ្នកគួរតែប្រើការចេញផ្សាយសុវត្ថិភាពផ្លូវការ ឬបំណះពេញលេញនៃសាខាដែលត្រូវគ្នា។ អ្នកមិនអាចផ្លាស់ប្តូរសេចក្តីថ្លែងការណ៍កំណែនៃកញ្ចប់ JavaScript បានទេ។ [S4](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-4) **ការណែនាំអំពីការអនុវត្តបណ្តោះអាសន្ន៖** បញ្ឈប់ការឌិកូដ Brotli ដែលមិនចាំបាច់ដែលមិនគួរឱ្យទុកចិត្ត។ ពិនិត្យ​មើល​ឥរិយាបថ​បង្រួម​ដោយ​ស្វ័យ​ប្រវត្តិ​របស់​ឧបករណ៍​កណ្តាល និង​ម៉ាស៊ីនភ្ញៀវ HTTP; ប្រសិនបើអាជីវកម្មត្រូវតែទទួលយកទម្រង់នេះ សូមបញ្ចប់ដំណើរការនៅក្នុងបរិយាកាសដែលបានជួសជុលឱ្យបានឆាប់តាមដែលអាចធ្វើទៅបាន។ ការកែតម្រូវ `Accept-Encoding` គឺគ្រាន់តែជាទង្វើនៃការចរចា ហើយមិនគួរឈរតែម្នាក់ឯងជាភស្តុតាងដែលថាការឆ្លើយតបដែលមានគំនិតអាក្រក់ត្រូវបានរារាំងនោះទេ។ ### 3.2 TLS / DNS បី High៖ វត្ថុផ្ទៀងផ្ទាត់គឺមិនស៊ីគ្នានឹងគោលដៅពិតប្រាកដ ទាំងបីត្រូវបានបង្ហាញនៅថ្ងៃទី 21 ខែតុលា ជាមួយនឹងកម្រិតនៃការធ្វើឱ្យប្រសើរជាផ្លូវការដែលបានកំណត់នៅក្នុងផ្នែក 2.1. [S1](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-1) | អ្នកកំណត់អត្តសញ្ញាណ | បញ្ជាក់​បញ្ហា | សាខាដែលរងផលប៉ះពាល់ | | ------------------- | ---------------------------------------------------------------------------------------------- | ------------------ | | CVE-2026-105482 | `dns.resolve` ការកាត់ឈ្មោះដែលមាន NUL | 22.x / 24.x / 26.x | | CVE-2026-105483 | IP ក្នុងទម្រង់ជាលេខទទឹងពេញធ្វើឱ្យការផ្ទៀងផ្ទាត់ឈ្មោះម៉ាស៊ីនវិញ្ញាបនបត្រត្រូវបានរំលង | 24.x / 26.x | | CVE-2026-106069 | ឈ្មោះម៉ាស៊ីនដែលអាចត្រូវបានបកស្រាយយ៉ាងធូររលុងថាជាលទ្ធផល IP នៅក្នុងការឆ្លងកាត់ការផ្ទៀងផ្ទាត់ TLS | 22.x / 24.x / 26.x | DNS ខ្លឹមសារនៃបញ្ហាគឺថាខ្សែអក្សរដែលបានពិនិត្យដោយស្រទាប់ខាងលើគឺខុសពីឈ្មោះដែលបានញែកដោយស្រទាប់ខាងក្រោម។ បំណះផ្លូវការបដិសេធ NUL នៅធាតុវិភាគ និងបន្ថែមការគ្របដណ្តប់ការតំរែតំរង់។ [S6](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-6) TLS ធាតុពីរពាក់ព័ន្ធនឹងការធ្វើឱ្យឈ្មោះធម្មតា ភាពស៊ីសង្វាក់នៃការបកស្រាយ IP និងការផ្គូផ្គងវិញ្ញាបនបត្រ។ បំណះ ដូច្នេះការបញ្ចូល IP ដែលមិនស្តង់ដារត្រូវបានច្រានចោល ឬដោះស្រាយយ៉ាងត្រឹមត្រូវ ដើម្បីជៀសវាងការភាន់ច្រឡំនូវចំណុចបញ្ចប់ IP ពិតប្រាកដជាមួយនឹងអត្តសញ្ញាណដែនវិញ្ញាបនបត្រ។ [S5](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-5) ការផ្ដល់យោបល់ដោះស្រាយបញ្ហាជាក់ស្តែងសម្រាប់ **:** ផ្តល់អាទិភាពក្នុងការត្រួតពិនិត្យលេខកូដរបស់អ្នកប្រើប្រាស់ URL គោលដៅប្រូកស៊ីថាមវន្ត ឬអាសយដ្ឋាន Webhook ។ ស្តង់ដារបង្រួបបង្រួម និងអនុញ្ញាតឱ្យការវិនិច្ឆ័យបញ្ជី បដិសេធ NUL/តួអក្សរគ្រប់គ្រង បញ្ជាក់ IPv4 ស្របច្បាប់ IPv6 និងឈ្មោះដែនអន្តរជាតិនៅតែដំណើរការ។ ថាតើ SSRF អាចត្រូវបានបង្កើតឡើងបន្ថែមទៀត តម្រូវឱ្យមានការអនុវត្តភស្តុតាងតំណ ដែលមិនអាចកាត់ចេញដោយផ្ទាល់ពីឈ្មោះ CVE បានទេ។ កុំប្រើ `NODE_TLS_REJECT_UNAUTHORIZED=0` ឬ `rejectUnauthorized: false` ដើម្បីលុបបំបាត់កំហុស checksum ក្រោយការអាប់ដេត។ អាសយដ្ឋាន វិញ្ញាបនបត្រ និងការកំណត់រចនាសម្ព័ន្ធអាជីវកម្មគួរតែត្រូវបានកែដំរូវ។ ### 3.3 ខែកក្កដា HTTP/2 High- ហានិភ័យ និងការអនុញ្ញាតបញ្ហាគំរូ បញ្ហាខាងក្រោមដែលត្រូវបានលាតត្រដាងនៅក្នុងខែកក្កដានៅតែត្រូវបញ្ចូលក្នុងការស៊ើបអង្កេត។ វាត្រូវបានផ្ដល់អនុសាសន៍ឱ្យប្រើមូលដ្ឋានកំណែសុវត្ថិភាពខែតុលាដោយផ្ទាល់នៅក្នុងផ្នែក 2.1 នៅពេលដាក់ពង្រាយ។ [S7](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-7) | CVE | មូលហេតុនិងផលប៉ះពាល់ | កំណែថេរដំបូង | | -------------- | --------------------------------------------------------------------------------------------------------------------------------------------- | ------------------------------ | | CVE-2026-56846 | ប្លុក HTTP/2 header ដែលរក្សាទុកមិនត្រូវបានរួមបញ្ចូលត្រឹមត្រូវនៅក្នុងថវិកា `maxSessionMemory` ហើយអាចធ្វើឱ្យអង្គចងចាំអស់។ ផលប៉ះពាល់ 22.x / 24.x | 22.23.2 / 24.18.1 | | CVE-2026-56848 | HTTP/2 បញ្ចូលផ្លូវបញ្ជូនសារឡើងវិញកំឡុងពេលប្រមូលកញ្ចប់ព័ត៌មាន ដែលបណ្តាលឱ្យមានគំនរ UAF; ផលប៉ះពាល់ 22.x / 24.x / 26.x | 22.23.2 / 24.18.1 / 26.5.1 | | CVE-2026-58043 | `--permission` ការផ្គូផ្គងព្រំដែននៃបុព្វបទផ្លូវគឺធំទូលាយពេក ហើយឯកសារដែលនៅក្រៅបញ្ជីអនុញ្ញាតអាចចូលប្រើបាន។ | ដូចគ្នានឹងខ្សែថែទាំបីខាងលើដែរ។ | ទាំងបីគឺ High ជាផ្លូវការ។ ធាតុពីរដំបូងផ្តល់អាទិភាពដល់ការពិនិត្យមើលថាតើ HTTP/2 ត្រូវបានដំណើរការដោយ Node ខ្លួនវាឬអត់។ ធាតុទីបីមានអត្ថន័យដែលត្រូវគ្នាតែនៅពេលប្រើគំរូអនុញ្ញាត និងពឹងផ្អែកលើព្រំដែននេះ។ ធាតុគំរូអនុញ្ញាតមិនអាចពិពណ៌នាទាំងអស់ថាជាបណ្តាញ RCE ដែលមិនតម្រូវឱ្យមានការផ្ទៀងផ្ទាត់។ [S7](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-7) ការបញ្ចប់ HTTP/2 ជាបណ្ដោះអាសន្ននៅលើប្រូកស៊ីដាច់ដោយឡែក បានធ្វើបច្ចុប្បន្នភាព និងការកំណត់ប្រភព backend គឺជាជម្រើសនៃការដាក់ពង្រាយដើម្បីកាត់បន្ថយការប៉ះពាល់។ កូតាធនធានអាចគ្រប់គ្រងតែផលវិបាកនៃការហត់នឿយធនធាន និងមិនអាចបំប្លែង UAF បានទេ។ ### 3.4 ខែតុលា React / Next.js៖ ធាតុពីរ RCE និងធាតុមួយ DoS #### A. RCE ក្នុងអនុគមន៍ RSC / `use cache` ត្រឡប់អារេដែលបានវាយបញ្ចូល **កាលបរិច្ឆេទសាធារណៈ៖ 2026-10-14; Critical, CVSS 4.0 9.5.** ការកំណត់អត្តសញ្ញាណការប្រឹក្សាផ្លូវការ៖ - React：**GHSA-xqc2-xf4c-x3h3**。 - Next.js：**GHSA-673q-mjm6-r5xr**。[S9](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-9)[S10](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-10) នេះ។ React បញ្ហាខាងលើពាក់ព័ន្ធនឹងអារេដែលបានវាយបញ្ចូលច្រើន រួមបញ្ចូលគ្នាជាមួយនឹងតម្លៃដែលអាចគ្រប់គ្រងដោយអ្នកវាយប្រហារនៅក្នុង RSC ការឆ្លើយតប។ អ្នកទាំងបីបានរងផលប៉ះពាល់ `react-server-dom-*` កំណែកញ្ចប់គឺ **19.0.0 — 19.0.8 , 19.1.0 — 19.1.9 , 19.2.0 — 19.2.8 , 19.3.0** ; សូមមើលជំពូក 2.1. កម្មវិធីរុករកសុទ្ធ React ឬកម្មវិធីដែលមិនប្រើក្របខ័ណ្ឌ/កម្មវិធីជំនួយដែលគាំទ្រ RSC ទាំងអស់ កុំធ្លាក់ក្នុងវិសាលភាពនៃធាតុនេះ។ [S10](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-10) Next.js បញ្ជីនៃសេចក្តីប្រកាសខាងក្រោម **16.0.0 — 16.4.0** , បាន​កែប្រែ​នៅ​ក្នុង​ **16.4.1** ; សេណារីយ៉ូគឺ App Router , Cache Components , និង `use cache` មុខងារដែលត្រឡប់អារេដែលបានវាយច្រើន។ មិនមានដំណោះស្រាយទូទៅដែលអាចទុកចិត្តបានជាផ្លូវការទេ ហើយអ្នកប្រើប្រាស់នៃកំណែដែលរងផលប៉ះពាល់ត្រូវបានតម្រូវឱ្យធ្វើបច្ចុប្បន្នភាពទាន់ពេល។ វាមិនសមស្របទេដែលគ្រាន់តែពឹងផ្អែកលើការស្វែងរកដោយដៃសម្រាប់ "មុខងារនេះហាក់ដូចជាមិនមាន" ដើម្បីបញ្ចប់ដំណើរការ។ [S9](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-9) #### ឯកសារយោង: B. SVG Image Optimization RCE **CVE-2026-96889/GHSA-2464-fhr4-w9xw, 2026-10-14, Critical, CVSS 4.0 9.5 ។ បញ្ហា** កើតឡើងនៅក្នុងបណ្ណាល័យដើមខាងលើ ដែលប្រើសម្រាប់ការបង្កើនប្រសិទ្ធភាពរូបភាព។ មន្ត្រីបានចង្អុលបង្ហាញថាហានិភ័យ RCE មាននៅក្នុងសេណារីយ៉ូ **glibc Linux** ។ [S11](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-11) វាលកំណែផ្លូវការគឺ៖ - `>=10.0.0 <=15.5.27`； - `>16.0.0 <=16.4.0`。 មន្ត្រីប្រើប្រាស់ដែនកំណត់ទាបនៃ `>16.0.0` សម្រាប់សាខា 16.x ប៉ុន្តែសេចក្តីថ្លែងការណ៍ជួរនេះមិនគ្រប់គ្រាន់ដើម្បីបញ្ជាក់ថា 16.0.0 មានសុវត្ថិភាពនោះទេ។ គោលដៅធ្វើឱ្យប្រសើរឡើងពិតប្រាកដគឺដូចគ្នា **15.5.28 / 16.4.1** ។ [S11](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-11) ដំណោះស្រាយបណ្តោះអាសន្នផ្លូវការគឺដើម្បីធានាថា **Next ពិតជាផ្ទុកយ៉ាងមុតស្រួច ≥0.35.5** ។ ឯកសារចាក់សោ ភាពអាស្រ័យដែលជាប់គាំង និងរូបភាពនៃការដាក់ពង្រាយអាចនៅតែរក្សាទុកឧទាហរណ៍ចាស់ ដូច្នេះគ្រាន់តែបន្ថែមកំណែថ្មីនៃភាពអាស្រ័យ `sharp` នៅកម្រិតកំពូលគឺមិនគ្រប់គ្រាន់ទេ មែកធាងពឹងផ្អែកចុងក្រោយគួរតែត្រូវបានពិនិត្យ និងបង្កើតឡើងវិញ។ [S11](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-11) #### C. Server Actions CPU អស់កំលាំង **GHSA-p3m5-59mp-jv5r , 2026-10-14, High , CVSS 4.0 8.2 .** Next ប៉ះពាល់ **13.0.0 — 15.5.27 , 16.0.0 — 16.4.0** , ជួសជុល **15.5.28 / 16.4.1** . លក្ខខណ្ឌគឺ App Router និងយ៉ាងហោចណាស់មួយ។ Server Action ; សំណើព្យាបាទអាចរក្សាបាន។ CPU កាន់កាប់អស់រយៈពេលជាយូរមកហើយរារាំងសំណើជាបន្តបន្ទាប់ក្នុងដំណើរការដូចគ្នា។ កម្មវិធីជាមួយ Pages Router ឬដោយគ្មាន Server Actions មិនរងផលប៉ះពាល់ដោយរឿងនេះទេ។ [S12](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-12) មិនមានដំណោះស្រាយផ្លូវការដែលអាចជំនួសការធ្វើឱ្យប្រសើរឡើងបានទេ។ ដែនកំណត់អត្រា ដែនកំណត់ស្របគ្នា និងកូតាធនធានអាចកាត់បន្ថយការខូចខាត ប៉ុន្តែមិនអាចប្រើជាការសន្និដ្ឋានសម្រាប់ការផ្ទៀងផ្ទាត់បំណះបានទេ។ ### 3.5 មុន Next.js នៅក្នុងបង្អួចដូចគ្នា បញ្ហាធ្ងន់ធ្ងរ ធាតុខាងក្រោមមានគោលបំណងដើម្បីជៀសវាងការបាត់ការដាក់ពង្រាយដែលនៅតែជាប់គាំងនៅលើកំណែមុនខែសីហាដល់ខែកញ្ញា។ វាមិនត្រូវបានផ្តល់អនុសាសន៍ឱ្យគ្រាន់តែផ្លាស់ទីឡើងទៅកម្រិតជួសជុលចាស់នៅក្នុងតារាងឥឡូវនេះទេ។ | កាលបរិច្ឆេទ | ឧបករណ៍កំណត់អត្តសញ្ញាណ / សេណារីយ៉ូ | ជួសជុលដំបូង; សកម្មភាពបច្ចុប្បន្ន | | ----------- | --------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | 2026-08-25 | GHSA-2xp9-vwfh-vxw4៖ AVIF បណ្ណាល័យដើមកំណើត RCE, Critical | 15.5.24 / 16.3.3; ឥឡូវនេះ 15.5.28 / 16.4.1 [S13](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-13) | | 2026-08-25 | CVE-2026-75604៖ RCE, Critical នៅពេល Pages Router និង App Router ត្រូវបានប្រើក្នុងពេលដំណាលគ្នានៅលើ Windows ហើយ Cache Components មិនត្រូវបានបើកទេ។ កំណែ `>=13.4.0 <15.5.24`, `>=16.0.0 <16.3.3` | 15.5.24 / 16.3.3; Linux/macOS មិនរងផលប៉ះពាល់ដោយបញ្ហា Windows ជាក់លាក់នេះ [S14](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-14) | | 2026-09-22 | GHSA-vcvr-r3jv-pc5j៖ ផ្លូវបង្កើតរូបភាព Node នៅក្នុង `next/og` ដំណើរការ SVG, Critical ដែលមិនគួរឱ្យទុកចិត្ត។ 16.2.0—16.3.5 | 16.3.6; ការអនុវត្ត Edge គឺនៅក្រៅវិសាលភាពនៃបញ្ហានេះ ហើយ 15.x មិនមែនជាសាខាដែលរងផលប៉ះពាល់សម្រាប់ RCE [S15](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-15) នេះទេ។ | ## 4. ប្រព័ន្ធអេកូ Java៖ ការទុកចិត្តពេលដំណើរការ ធុង និងក្របខ័ណ្ឌត្រូវបានគ្រប់គ្រងដោយឡែកពីគ្នា ### 4.1 JDK៖ ធម្មតា CPU និង CVE-2026-91403 គឺជាការអាប់ដេតពីរជាន់ នេះ។ Java SE ម៉ាទ្រីសហានិភ័យសម្រាប់ Oracle CPU បញ្ជីឈ្មោះនៅថ្ងៃទី ២០ ខែតុលា **55 បំណះសុវត្ថិភាពថ្មី 49 ដែលត្រូវបានសម្គាល់ថាអាចកេងប្រវ័ញ្ចលើបណ្តាញដោយគ្មានការផ្ទៀងផ្ទាត់** . នេះមិនមានន័យថាមាន ៥៥ ទេ។ Critical ហើយក៏មិនមានន័យថាមាន 49 ដែលអាចកេងប្រវ័ញ្ចដោយផ្ទាល់នោះទេ។ RCE ផ្លូវសម្រាប់នីមួយៗ Java សេវាបណ្តាញ; វាត្រូវតែត្រូវបានយល់ដោយភ្ជាប់ជាមួយសមាសភាគ APIs អន្តរកម្មអ្នកប្រើប្រាស់ និងលក្ខខណ្ឌនៃការប្រើប្រាស់នៅក្នុងម៉ាទ្រីស។ [S16](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-16) នៅថ្ងៃបន្ទាប់ **CVE-2026-91403 (CVSS 3.1 9.1)** ដោះស្រាយជាមួយនឹងប្រភេទនៃហានិភ័យផ្សេងទៀត៖ សំណុំនៃ CA កម្រិតមធ្យមដែលទាក់ទងនឹងព្រឹត្តិការណ៍ eMudhra ដែលមិនគួរឱ្យទុកចិត្តទៀតទេ។ វាប៉ះពាល់ដល់ TLS ការផ្ទៀងផ្ទាត់ភាពត្រឹមត្រូវ និងទំនាក់ទំនងសម្ងាត់/សុចរិតភាព ហើយមិនអាចពិពណ៌នាថាជា JVM ភាពងាយរងគ្រោះនៃអំពើពុករលួយនៃអង្គចងចាំនោះទេ។ [S17](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-17) ការណែនាំ Oracle រាយបញ្ជីកំណែដែលបានចេញផ្សាយនៅថ្ងៃទី 20 ខែតុលាថារងផលប៉ះពាល់ ដូច្នេះការអាប់ដេតក្រៅក្រុមនៅថ្ងៃទី 21 ខែតុលាក៏ត្រូវដំឡើងផងដែរ។ សូមមើលផ្នែក 2.2 សម្រាប់កំណែជាក់លាក់។ GraalVM ក៏មានផលិតផលដែលរងផលប៉ះពាល់ដែលត្រូវគ្នាដែរ ហើយកំណែថេរគួរតែជាកម្មវត្ថុនៃព្រឹត្តិបត្រសុវត្ថិភាពផ្តាច់មុខរបស់វា។ [S17](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-17)[S18](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-18) **វិធានការផ្លូវការបណ្តោះអាសន្ន៖** បម្រុងទុកជាមុន ហើយបន្ទាប់មកយកវិញ្ញាបនបត្រឫសគល់ដែលបានបញ្ជាក់ចេញពីហាងជឿទុកចិត្តនីមួយៗដែលបានប្រើជាក់ស្តែង៖ - `emSign ECC Root CA - G3`, Oracle ឈ្មោះក្លែងក្លាយ `emsigneccrootcag3 [jdk]` ។ - `AAA Certificate Services`, Oracle ឈ្មោះក្លែងក្លាយ `comodoaaaca [jdk]` ។ [S19](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-19) JDK 11 និងក្រោយនេះ ឧទាហរណ៍ផ្លូវការគឺ៖ ```bash keytool -delete -cacerts -alias "emsigneccrootcag3 [jdk]" keytool -delete -cacerts -alias "comodoaaaca [jdk]" ``` ប្រើ **keytool ពីគោលដៅ JDK** សម្រាប់ពាក្យបញ្ជាទាំងនេះ ហើយបញ្ជាក់ថាពួកគេកំពុងដំណើរការនៅលើហាងជឿទុកចិត្តពិតប្រាកដនៃកម្មវិធី។ Java 8 ប្រើផ្លូវដែលត្រូវនឹង `jre/lib/security/cacerts`; ការប្ដូរតាមបំណងនូវ truststore ត្រូវតែដោះស្រាយដោយឡែកពីគ្នា ហើយអ្នកបោះពុម្ពផ្សេងទៀតអាចមានឈ្មោះក្លែងក្លាយផ្សេងគ្នា។ ការដកវិញ្ញាបនបត្រជា root នឹងពង្រីកវិសាលភាពនៃការបដិសេធ ហើយការតំរែតំរង់ - សាកល្បងខ្សែសង្វាក់វិញ្ញាបនបត្រសេវាកម្មស្របច្បាប់។ [S19](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-19) មន្ត្រីក៏ផ្តល់ជម្រើសដើម្បីបើកការត្រួតពិនិត្យការដកហូត ប៉ុន្តែឥទ្ធិពលអាស្រ័យទៅលើការអនុវត្តជាក់ស្តែង TLS លទ្ធភាពទទួលបានសេវាដកហូត និងយុទ្ធសាស្រ្តបរាជ័យ។ សម្រាប់ការដាក់ពង្រាយទូទៅ កំណត់អាទិភាពក្នុងការដំឡើងការអាប់ដេតរបស់អ្នកលក់ពេញលេញ ដើម្បីជៀសវាងការព្យាបាលការប្តូរ JVM ចំនួនពីរដែលជាភស្តុតាងដែលថាបណ្ណាល័យ TLS ទាំងអស់ត្រូវបានជួសជុល។ ### 4.2 Tomcat៖ ការឆ្លងកាត់ការផ្ទៀងផ្ទាត់ភាពត្រឹមត្រូវ និងការញែកសំណើអ្នកប្រើប្រាស់ឆ្លងកាត់ ធាតុបីខាងក្រោមត្រូវបានបោះពុម្ពនៅលើ **2026-10-20**; ធាតុកំណែដែលបានជួសជុលគឺចុះកាលបរិច្ឆេទ **October 12** ។ ថ្នាក់ផ្លូវការរបស់ Apache គឺ **Important** ។ [S21](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-21)[S22](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-22)[S23](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-23) | CVE | កំណែដែលរងផលប៉ះពាល់ត្រូវបានបញ្ជាក់ | សេណារីយ៉ូ/លទ្ធផលចាំបាច់ | | --------------- | ---------------------------------------------------- | ---------------------------------------------------------------------------------------------------------------------------------------------------------- | | CVE-2026-101296 | 9.0.0.M1—9.0.122；10.1.0-M1—10.1.60；11.0.0-M1—11.0.26 | JNDIRealm កំណត់រចនាសម្ព័ន្ធយន្តការផ្ទៀងផ្ទាត់ដែលមិនមែនជា GSSAPI SASL ការផ្ទៀងផ្ទាត់អត្តសញ្ញាណត្រូវបានបាត់ ហើយពាក្យសម្ងាត់មិនត្រឹមត្រូវក៏អាចឆ្លងកាត់ផងដែរ។ | | CVE-2026-101356 | 9.0.118—9.0.122；10.1.55—10.1.60；11.0.22—11.0.26 | HTTP/2 ការគ្រប់គ្រងកំហុស Servlet របស់អសមកាលកម្ម កែច្នៃ/ប្រើវត្ថុឡើងវិញដោយមិនត្រឹមត្រូវ ដែលបណ្តាលឱ្យសំណើ ឬការឆ្លើយតបត្រូវបានលាយបញ្ចូលគ្នារវាងអ្នកប្រើប្រាស់ | | CVE-2026-103119 | គ្រាន់តែបញ្ជាក់ **11.0.0-M25—11.0.26** | ការសរសេរដែលមិនទប់ស្កាត់ AJP ធំអាចបណ្តាលឱ្យមានសតិបណ្ដោះអាសន្នដែលកំពុងអាន ដោយបង្ហាញទិន្នន័យឆ្លើយតបពីមុននៅក្នុងសំណើនៅពេលក្រោយ។ | ការជួសជុលដែលត្រូវគ្នាគឺ **9.0.123 / 10.1.61 / 11.0.27**; AJP ត្រូវបានចុះបញ្ជីត្រឹមតែ Tomcat 11 យោងតាមការប្រកាស ហើយមិនអាចពង្រីកដល់បីសាខាដែលមានបញ្ហាដូចគ្នានោះទេ។ [S21](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-21)[S22](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-22)[S23](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-23) បំណះ JNDIRealm ជួសជុលគម្លាតផ្ទៀងផ្ទាត់នៅក្នុងដំណើរការផ្ទៀងផ្ទាត់ពិតប្រាកដ ដែល "ចំណុចប្រទាក់ចូលកម្មវិធីមើលទៅធម្មតា" មិនអាចប្រើជំនួសឱ្យការផ្ទៀងផ្ទាត់បានទេ។ Realm, យន្តការ SASL គួរតែត្រូវបានពិនិត្យសម្រាប់ការកំណត់រចនាសម្ព័ន្ធពិតប្រាកដនៃសេវាកម្ម ហើយការធ្វើតេស្តត្រូវតែបរាជ័យសម្រាប់ពាក្យសម្ងាត់មិនត្រឹមត្រូវ។ [S24](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-24) **ការណែនាំអំពីការអនុវត្តបណ្តោះអាសន្ន៖** ញែកផ្លូវផ្ទៀងផ្ទាត់ដែលរងផលប៉ះពាល់។ ផ្អាកដំណើរការ HTTP/2 នៃ Tomcat នៅពេលអនុញ្ញាតអាជីវកម្ម។ បិទ AJP ដែលគ្មានប្រយោជន៍។ មានតែការរឹតបន្តឹងការចូលដោយផ្ទាល់ទៅកាន់ច្រក AJP មិនអាចបង្ហាញថាចរាចរណ៍ដែលចូលតាមរយៈប្រូកស៊ីផ្នែកខាងមុខស្របច្បាប់នឹងមិនរងផលប៉ះពាល់ទេ។ បន្ទាប់ពីការអាប់ដេតជាផ្លូវការ សំណើស្របគ្នាអសមកាលពីអ្នកប្រើប្រាស់ឯករាជ្យពីរនាក់គួរតែត្រូវបានសាកល្បង ដើម្បីបញ្ជាក់ថាមិនមានការនិយាយឆ្លងគ្នារវាងអត្តសញ្ញាណ និងការឆ្លើយតបទេ។ ### ឯកសារយោង: 4.3 Spring for GraphQL：CVE-2026-59285 **កាលបរិច្ឆេទសាធារណៈ៖ 2026-08-20; High.** រងផលប៉ះពាល់ **2.0.0—2.0.4**, ជួសជុល **2.0.5 (OSS)** ឬ **2.0.4.1 (ជំនួយពាណិជ្ជកម្ម)** ។ [S25](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-25) នេះ​គឺ​ជា​ហានិភ័យ​ដែល​មិន​មាន​សុវត្ថិភាព​នៅ​ក្នុង​សំណួរ​ទំព័រ។ តម្រូវការជាផ្លូវការគឺថាលក្ខខណ្ឌខាងក្រោមត្រូវតែបំពេញក្នុងពេលតែមួយ: 1. ប្រើ Spring for GraphQL ។ 2. Deserialize JSON ដោយប្រើ Jackson 2.x. 3. ផ្តល់កន្លែងភ្ជាប់ទំនាក់ទំនងទៅកាន់ពិភពខាងក្រៅ។ 4. classpath មានថ្នាក់ជាក់លាក់ដែលអាចអនុវត្តតក្កវិជ្ជាដែលមិនបានរំពឹងទុកកំឡុងពេល instantiation ឬ deserialization ។ សំណើ GraphQL ព្យាបាទអាចបណ្តាលឱ្យ RCE នៅពេលដែលលក្ខខណ្ឌត្រូវបានបំពេញ។ វាមិនអាចត្រូវបានកាត់បន្ថយទៅជា "កម្មវិធី Java ទាំងអស់ដោយប្រើ Jackson អាចត្រូវបានកេងប្រវ័ញ្ច" ។ [S25](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-25) **Why 2.0.4 មិនគ្រប់គ្រាន់ទេ៖** នៅក្នុងខែមិថុនា CVE-2026-41699 បានផ្តល់បន្ទាត់មូលដ្ឋានដូចជា 2.0.4 ហើយនៅក្នុងខែសីហា សេចក្តីប្រកាសបានរួមបញ្ចូល 2.0.4 ទៅក្នុងឥទ្ធិពលថ្មី។ ដូច្នេះ កំណត់ត្រាជួសជុលត្រូវតែធ្វើបច្ចុប្បន្នភាពយោងទៅតាមការប្រកាសជាបន្តបន្ទាប់ ហើយកំណែអប្បបរមានៃ CVE ចាស់មិនអាចប្រើបានទេ។ [S26](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-26) នៅពេលដែលការអាប់ដេតមិនអាចប្រើបានជាបណ្ដោះអាសន្ន ប្រអប់ទំព័រដែលរងផលប៉ះពាល់ដែលអាចចូលប្រើបានសម្រាប់អ្នកហៅទូរសព្ទដែលមិនគួរឱ្យទុកចិត្តអាចត្រូវបានផ្អាក។ ការបង្រួញ​ប្រភេទ​ដែល​អាច​ដក​ចេញ​បាន និង​ផ្លូវ​ថ្នាក់​គឺជា​វិធានការ​ស៊ីជម្រៅ។ ការតំរែតំរង់គួរតែគ្របដណ្ដប់លើទស្សន៍ទ្រនិចផ្លូវច្បាប់ លទ្ធផលដែលបានបិទភ្ជាប់ និងការបដិសេធការបញ្ចូលករណីលើកលែង ហើយពិនិត្យមើលកំណែសមាសភាគជាក់ស្តែងនៅក្នុងកម្មវិធីចុងក្រោយ JAR ។ ### 4.4 Spring Security៖ CVE-2026-59270 និងហានិភ័យនៃការផ្ទៀងផ្ទាត់ដែលពាក់ព័ន្ធ **CVE-2026-59270, 2026-08-20, Critical.** ដែលបានបង្កប់ `UnboundIdContainer` ចុះឈ្មោះអត្តសញ្ញាណអ្នកគ្រប់គ្រងដែលគេស្គាល់តាមលំនាំដើម ហើយស្តាប់នៅលើចំណុចប្រទាក់បណ្តាញទាំងអស់។ នៅពេលដែលសមាសភាគត្រូវបានបើក ហើយច្រកអាចទៅដល់បាន អ្នកវាយប្រហារអាចអាន ឬកែប្រែទិន្នន័យថត។ គម្រោងដែលជាទូទៅណែនាំ Spring Security នឹងមិនបង្ហាញ LDAP ដោយស្វ័យប្រវត្តិទេ។ [S27](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-27) តំបន់រងផលប៉ះពាល់៖ | សាខា | រងផលប៉ះពាល់ | ឆានែលជួសជុល / ទិញដំបូង | | --------- | ------------------------- | -------------------------- | | 7.1 | 7.1.0 | 7.1.1 OSS; 7.1.0.1 ផងដែរ។ | | 7.0 | 7.0.0—7.0.6 | 7.0.7 OSS; 7.0.6.1 ផងដែរ។ | | 6.5 / 6.4 | 6.5.0—6.5.11；6.4.0—6.4.18 | 6.5.12/6.4.19, ពាណិជ្ជកម្ម | | 5.8 / 5.7 | 5.8.0—5.8.27；5.7.0—5.7.25 | 5.8.28/5.7.26, ពាណិជ្ជកម្ម | ប្រភព៖ [S27](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-27) ។ ដោះស្រាយបញ្ហាការកំណត់រចនាសម្ព័ន្ធដោយស្វ័យប្រវត្តិ `spring.ldap.embedded.*` និងលេខកូដភ្លាមៗដោយផ្ទាល់។ បិទសមាសធាតុនៅពេលដែលវាមិនត្រូវការសម្រាប់ការផលិត ហើយពិនិត្យមើលអាសយដ្ឋានស្តាប់ពិតប្រាកដ។ នៅពេលដែលអាជីវកម្មពិតជាត្រូវការវា ជាដំបូងកំណត់ប្រភពការហៅទូរសព្ទ ហើយបន្ទាប់មកបញ្ចប់ការអាប់ដេតសមាសភាគ។ **បញ្ហាការផ្ទៀងផ្ទាត់ដែលពាក់ព័ន្ធ៖ CVE-2026-47841 ( High ).** WebAuthn ការផ្ទៀងផ្ទាត់អ្នកប្រើប្រាស់ត្រូវបានកំណត់ទៅ `REQUIRED` ហើយបន្ទាប់ពី HTTP សម័យ​ត្រូវ​បាន​ធ្វើ​ជា​ស៊េរី​ដោយ​ការ​ផ្ទុក​ចែកចាយ ការ​ប្រៀបធៀប​អត្តសញ្ញាណ​វត្ថុ​ដែល​មិន​ត្រឹមត្រូវ​អាច​ធ្វើ​ឱ្យ​តម្រូវការ​ការ​ផ្ទៀងផ្ទាត់​ភាព​ត្រឹមត្រូវ​មិន​ត្រឹមត្រូវ។ ការវាយប្រហារក៏តម្រូវឱ្យអ្នកវាយប្រហារមានឧបករណ៍ផ្ទៀងផ្ទាត់អ្នកប្រើប្រាស់ មិនមែនការចូលពីចម្ងាយដោយបំពានដោយគ្មានឧបករណ៍នោះទេ។ សម្រាប់កំណែដែលរងផលប៉ះពាល់ដែលត្រូវគ្នានៃ 7.1 , 7.0 , 6.5 , និង 6.4 បន្ទាត់មូលដ្ឋានបំណះគឺស្របជាមួយនឹងសាខាទាំងនេះនៅក្នុងតារាងខាងលើ។ ការផ្ទៀងផ្ទាត់គួរតែគ្របដណ្តប់វគ្គឆ្លងថ្នាំង ហើយនៅតែទាមទារការផ្ទៀងផ្ទាត់លេខសម្ងាត់/ជីវមាត្រ។ [S28](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-28) ## 5. ប្រព័ន្ធអេកូ Python៖ អ្នកបកប្រែ បណ្ណាល័យស្តង់ដារ ក្របខ័ណ្ឌ និងវិញ្ញាបនបត្រ ### 5.1 CVE-2026-19445: SSLContext UAF ក្នុង SNI ហៅត្រឡប់មកវិញ **កាលបរិច្ឆេទនៃការបោះពុម្ពផ្សាយ៖ 2026-09-30; កម្រិត PSF៖ Critical.** នៅក្នុងម៉ាស៊ីនមេ Python TLS, `sni_callback` ប្តូរការតភ្ជាប់ទៅ `SSLContext` ផ្សេងទៀត ហើយនៅពេលដែលបរិបទដើមផ្សេងទៀតមិនមានសេចក្តីយោង ម៉ាស៊ីនភ្ញៀវ TLS អាចនឹងគាំងសេវាកម្ម ឬហៅទៅកាន់ទ្រនិចនៅក្នុងវត្ថុដែលបានចេញផ្សាយ។ [S29](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-29) ស្នូលគឺថាវត្ថុ Python គឺមិនស៊ីគ្នាជាមួយនឹងវដ្តជីវិតហៅត្រឡប់មកវិញ TLS មូលដ្ឋាន។ បរិបទដើមត្រូវបានចេញផ្សាយ ហើយស្រទាប់ខាងក្រោមអាចនៅតែរក្សាស្ថានភាពដែលត្រូវការសម្រាប់ការហៅត្រឡប់មកវិញ។ បំណះកំណើតអ្នកបកប្រែត្រូវប្រើដើម្បីជួសជុលវដ្តជីវិតយោង។ [S47](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-47) **Scope:** Python កូដដែលដើរតួជាម៉ាស៊ីនភ្ញៀវ TLS មិនត្រូវបានប៉ះពាល់ដោយធាតុនេះទេ។ របៀបធម្មតានៃរន្ធស្តាប់ដែលកាន់បរិបទដើមសម្រាប់រយៈពេលដ៏យូរមិនធ្លាក់ចូលទៅក្នុងផ្លូវបរាជ័យជាក់លាក់ដែលបានពិពណ៌នានៅក្នុងសេចក្តីប្រកាសនោះទេ។ បន្ទាប់ពី Nginx បញ្ចប់ TLS វាគ្រាន់តែប្រគល់ HTTP ក្នុងស្រុកទៅ Python ហើយ Python គ្រប់គ្រង SNI ដោយផ្ទាល់ ដែលជាផ្ទៃវាយប្រហារផ្សេងគ្នា។ [S29](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-29) ដែលត្រូវគ្នាទៅនឹងកំណែថេរ 3.10—3.14 សូមមើលផ្នែក 2.3. កំណែផ្លូវការរបស់ 3.15 ត្រូវបានជួសជុល ហើយ 3.15.1 ពិតជាអាចត្រូវបានជ្រើសរើស។ មានតែការធ្វើបច្ចុប្បន្នភាពភាពអាស្រ័យ pip មិនអាចជំនួសការអនុវត្ត `_ssl` របស់អ្នកបកប្រែបានទេ។ [S33](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-33)[S35](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-35)[S47](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-47) **ការបន្ធូរបន្ថយបណ្តោះអាសន្នជាផ្លូវការ៖** រក្សាឯកសារយោងខ្លាំងចំពោះ SSLContext ទាំងអស់ដែលបានកំណត់ការហៅត្រឡប់ SNI រហូតដល់ចុងបញ្ចប់នៃវដ្តជីវិតរបស់ម៉ាស៊ីនមេ។ នេះត្រូវការគ្របដណ្តប់លើការបង្កើតថាមវន្តពិតប្រាកដ និងផ្លូវប្តូរ។ ការស្ថាបនា OpenSSL 1.1.1 ផ្ទាល់ខ្លួនក៏គួរតែពិនិត្យមើលលក្ខខណ្ឌនៃការចរចាឡើងវិញដោយភ្ជាប់ជាមួយកំណត់ត្រាបញ្ហាផ្លូវការ និងផ្តល់អាទិភាពដល់ការធ្វើបច្ចុប្បន្នភាពពេញលេញ។ [S29](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-29)[S47](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-47) ### 5.2 CVE-2026-19553៖ ទង់ឈ្មោះម៉ាស៊ីនត្រូវបានបើក ប៉ុន្តែឈ្មោះម៉ាស៊ីនបាត់នៅពេលហៅទូរសព្ទ **កាលបរិច្ឆេទសាធារណៈ៖ 2026-09-30; High ។ នៅពេលដែល**`SSLContext.check_hostname=True` ប្រសិនបើ `wrap_bio()` មិនត្រូវបានឆ្លងកាត់នៅក្នុង `server_hostname` ការអនុវត្តដើមអាចរំលងការផ្ទៀងផ្ទាត់ឈ្មោះម៉ាស៊ីនដោយស្ងៀមស្ងាត់។ ការផ្ទៀងផ្ទាត់ខ្សែសង្វាក់វិញ្ញាបនបត្រដែលទទួលបានជោគជ័យមិនមានន័យថាឈ្មោះដែនគោលដៅក៏ត្រូវបានផ្គូផ្គងផងដែរ។ [S30](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-30) ដំណោះស្រាយត្រូវការជំហានទាំងពីរ៖ - ដំឡើងការចេញផ្សាយសុវត្ថិភាពអ្នកបកប្រែដែលមានរាយក្នុងផ្នែក 2.3. - ពិនិត្យមើលផ្លូវ `wrap_bio()` ដែលពាក់ព័ន្ធ `asyncio.create_connection()` / `loop.start_tls()` ឆ្លងកាត់យ៉ាងច្បាស់នៅក្នុងឈ្មោះម៉ាស៊ីនដែលរំពឹងទុក និងមិនទទេ ហើយរក្សាការផ្ទៀងផ្ទាត់វិញ្ញាបនបត្របើក។ [S30](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-30) \*\*ភាពខុសគ្នានៃភាពត្រូវគ្នាដែលមិនអាចលុបចោលបាន៖\*\*3.10, 3.11, 3.12 គឺសម្រាប់ភាពឆបគ្នា មានតែ `DeprecationWarning` ប៉ុណ្ណោះដែលត្រូវបានចេញសម្រាប់ករណីមួយចំនួនដែលបាត់ឈ្មោះម៉ាស៊ីន។ 3.13 ហើយក្រោយមកបង្កើន `ValueError` ។ ច្រកខាងក្រោយ 3.12 ក៏បែងចែក `None` យ៉ាងច្បាស់ពីខ្សែអក្សរទទេ៖ ការព្រមានថ្មីត្រូវបានបន្ថែមសម្រាប់ `None` ហើយកំហុសនៅតែត្រូវបានរាយការណ៍សម្រាប់ខ្សែទទេ។ ដូច្នេះ អ្នក​ប្រើ​សាខា​ទាប​មិន​អាច​សន្មត់​ថា​ការ​ផ្ទៀងផ្ទាត់​ឈ្មោះ​ដែន​ដែល​បាត់​ពី​ដើម​ត្រូវ​បាន​ស្ដារ​ឡើង​វិញ​ដោយ​ស្វ័យ​ប្រវត្តិ​ដោយ​ការ​ធ្វើ​ឱ្យ​ប្រសើរ​ឡើង។ [S31](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-31)[S33](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-33) នៅក្នុងបរិយាកាសសាកល្បង ប្រើវិញ្ញាបនបត្រខ្សែសង្វាក់ដែលគួរឱ្យទុកចិត្តដែលមានឈ្មោះម៉ាស៊ីនមិនត្រូវគ្នា ហើយបញ្ជាក់ថាកម្មវិធីពិតប្រាកដ TLS ម៉ាស៊ីនភ្ញៀវបដិសេធវា។ ការអានតម្លៃប៊ូលីន `check_hostname` មិនមែនជាការទទួលយកពេញលេញទេ។ ### 5.3 CVE-2026-82049៖ តំណភ្ជាប់ការ​ឆ្លង​កាត់​ក្នុង​តម្រង​ឯកសារ **កាលបរិច្ឆេទសាធារណៈ៖ 2026-09-14; High .** ក្នុង CPython 3.13 និងការអនុវត្តដែលពាក់ព័ន្ធពីមុន ការរួមបញ្ចូលគ្នានៃតំណភ្ជាប់រឹង និងតំណភ្ជាប់និមិត្តសញ្ញានៅក្នុង tar ដែលមិនគួរឱ្យទុកចិត្តអាចឆ្លងកាត់ `data` / `tar` តម្រងការស្រង់ចេញ ការលាតត្រដាងមាតិកានៃឯកសារនៅខាងក្រៅថតវេចខ្ចប់ក្នុងមែកធាងពន្លា ឬកែប្រែការអនុញ្ញាត និងពេលវេលាកែប្រែរបស់វា។ [S32](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-32) ផលប៉ះពាល់ដែលបានបញ្ជាក់នៃភាពងាយរងគ្រោះនេះរួមមានការប៉ះពាល់ខ្លឹមសារឯកសារ និងការកែប្រែទិន្នន័យមេតា។ ផលប៉ះពាល់ទាំងនេះតែម្នាក់ឯងមិនគ្រប់គ្រាន់ដើម្បីបង្ហាញពីការសរសេរជាន់លើដោយបំពាននៃមាតិកាឯកសារខាងក្រៅ ឬការអនុវត្តដោយគ្មានលក្ខខណ្ឌនៃ RCE ។ សម្រាប់មូលដ្ឋានបំណះដែលត្រូវគ្នានៃ 3.10 — 3.13 សូមមើលផ្នែក 2.3. **Python 3.14 ត្រូវបានលើកលែងពីបញ្ហាជាក់លាក់នេះដោយសារតែ `os.link()` ការផ្លាស់ប្តូរអាកប្បកិរិយាចាប់តាំងពីពេលនោះមក 3.14.0b1** ដូច្នេះវិសាលភាពដែលរងផលប៉ះពាល់នៃ 3.10 — 3.13 សាខាខាងលើមិនអនុវត្តទេ។ [S33](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-33) **វិធានការបណ្តោះអាសន្ន និងស៊ីជម្រៅ៖** ផ្អាកការទាញយកបណ្ណសារដែលមិនគួរឱ្យទុកចិត្តដោយស្វ័យប្រវត្តិ។ ប្រើដំណើរការកម្មករដែលមានឯកសិទ្ធិទាបដាច់ដោយឡែក និងបញ្ជីផ្តាច់មុខថ្មី នៅពេលដែលអាជីវកម្មត្រូវតែដំណើរការ បដិសេធតំណភ្ជាប់និមិត្តសញ្ញា តំណភ្ជាប់រឹង និងធាតុឧបករណ៍ដោយអាជីវកម្ម និងកំណត់ចំនួនឯកសារ និងធនធានបង្រួម។ ទាំងនេះគឺជាការណែនាំអំពីការដាក់ពង្រាយ។ `filter="data"` គឺស័ក្តិសមសម្រាប់បណ្ណសារទូទៅដែលមិនគួរឱ្យទុកចិត្តជាងយុទ្ធសាស្ត្រទុកចិត្តពេញលេញ ប៉ុន្តែតម្រងខ្លួនវានៅលើកំណែចាស់ក៏មានភាពងាយរងគ្រោះនេះផងដែរ ហើយការបន្ថែមប៉ារ៉ាម៉ែត្រនេះតែម្នាក់ឯងមិនអាចជំនួសការអាប់ដេតបានទេ។ តម្រងក៏មិនមែនជាប្រអប់ខ្សាច់ប្រព័ន្ធឯកសារពេញលេញដែរ។ [S32](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-32)[S45](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-45) ### 5.4 ហានិភ័យបន្ថែម៖ CVE-2026-114583 (Medium) និងស្ថានភាពចេញផ្សាយបំណះ PSF បានបង្ហាញនៅក្នុង **2026-10-22** ថាការដំណើរការរបស់ `tarfile.tar_filter` នៃឈ្មោះតំណជាក់លាក់អាចត្រូវបានរំលង ដែលអនុញ្ញាតឱ្យសមាជិកជាបន្តបន្ទាប់សរសេរនៅខាងក្រៅថតពន្លា ដោយមានកម្រិតមួយ **Medium** ។ ការជួសជុលជាផ្លូវការ PR ត្រូវបានបញ្ចូលគ្នានៅថ្ងៃនោះ; គិតត្រឹមថ្ងៃទី 23 ខែតុលា ឆ្នាំ 2026 គ្មានការចេញផ្សាយការថែទាំជាផ្លូវការដែលមានការប្តេជ្ញាចិត្តនេះ ត្រូវបានបញ្ជាក់។ [S40](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-40) ដូច្នេះ៖ - ធាតុនេះត្រូវបានរាយដោយឡែកពីគ្នាជា Medium ។ - កំណែអ្នកបកប្រែដែលបានចេញផ្សាយនៅថ្ងៃទី 21 ខែតុលា មិនអាចចាត់ទុកថាបានរួមបញ្ចូលការជួសជុលនេះទេ។ - ដំណើរការដែលនៅតែប្រើ `filter="tar"` ដើម្បីគ្រប់គ្រងបណ្ណសារដែលមិនគួរឱ្យទុកចិត្តគួរតែតាមដានការចេញផ្សាយ backport ។ ដាក់ឱ្យនៅដាច់ដោយឡែក ឬផ្អាកផ្លូវដំណើរការនេះក្នុងរយៈពេលខ្លី។ នៅពេលប្តូរទៅ `data` និងបដិសេធតំណភ្ជាប់ អ្នកក៏ត្រូវតែបញ្ជាក់ផងដែរថាវាបំពេញតាមតម្រូវការអាជីវកម្ម ហើយការផ្លាស់ប្តូរតម្រងមិនអាចពិពណ៌នាថាជាប្រអប់ខ្សាច់ដោយគ្មានលក្ខខណ្ឌបានទេ។ ### 5.5 GeoDjango: CVE-2026-15307 និងការជួសជុលជាបន្តបន្ទាប់ក្នុងខែតុលា **2026-08-04, Django ផ្លូវការ High.** សំណួរតាមលំហ ឆ្លងកាត់ខ្សែអក្សរ/វចនានុក្រមជាក់លាក់មួយចំនួនទៅ `GDALRaster` ហើយអ្នកបើកបរអាចស្នើសុំបណ្តាញ ឬសរសេរឯកសារ។ RCE អាចត្រូវបានបង្កើតឡើងនៅពេលដែលមានផ្លូវជាក់លាក់ និងលក្ខខណ្ឌនៃការប្រតិបត្តិជាបន្តបន្ទាប់។ បុគ្គលិកដែលមានសិទ្ធិមើលគំរូវាលលំហក៏អាចចូលប្រើផ្លូវនេះតាមរយៈបញ្ជីផ្លាស់ប្តូរអ្នកគ្រប់គ្រងផងដែរ។ [S38](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-38) ការជួសជុលដំបូងគឺ **5.2.17 / 6.0.8** ដែលដាក់កម្រិតលើប្រភេទបញ្ចូលដែលទទួលយកដោយការរកមើលទំហំ។ ការផ្លាស់ប្តូរនេះអាចប៉ះពាល់ដល់អាជីវកម្មដើមនៃការប្រើប្រាស់ខ្សែអក្សរ/វចនានុក្រមដើម្បីបង្ហាញសញ្ញារ៉ាស្ទ័រ។ គ្រាន់តែរុំការបញ្ចូលដែលមិនគួរឱ្យទុកចិត្តទៅក្នុង GDALRaster មិនមានន័យថាផ្ទៀងផ្ទាត់វាទេ។ [S38](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-38) នៅថ្ងៃទី៦ ខែតុលា គ. **CVE-2026-87890 (មធ្យម)** ត្រូវបានជួសជុល៖ VRT បង្ហាញជាបៃអាចយោងធនធានខាងក្រៅ ហើយនៅតែបង្កឱ្យមានសំណើបណ្តាញ។ នៅថ្ងៃដដែលនោះធរណីមាត្រដែលបានដាក់ DoS ការការពារ CVE-2026-15830 ក៏ត្រូវបានពង្រឹងផងដែរ។ ពីរ​ចុងក្រោយ​នេះ​មិន​អាច​ត្រូវ​បាន​ដំឡើង​កំណែ​ដើម្បី​ពណ៌នា​អំពី​ហានិភ័យ​ខ្ពស់​ថ្មី​នេះ​ទេ។ RCE ប៉ុន្តែបង្ហាញថា មូលដ្ឋាននៃការដាក់ពង្រាយគួរតែជា **5.2.18 / 6.0.9 / 6.1.2** . [S39](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-39) ការអនុវត្តពិនិត្យមើលចំណុចចូលពីរនៃ API និងចំណុចប្រទាក់រដ្ឋបាល រឹតបន្តឹងការរកមើល spatial ដែលមិនគួរឱ្យទុកចិត្ត ការអនុញ្ញាតការសរសេរឯកសារ និងការចូលប្រើខាងក្រៅ។ បន្ទាប់ពីការអាប់ដេត ការធ្វើតេស្តតំរែតំរង់ - សំណួរលំហដែលមានសុពលភាព និងការបដិសេធការបញ្ចូលដែលហាមឃាត់។ កម្មវិធី Django ធម្មតាដែលមិនប្រើ GeoDjango មិនគួរអនុវត្តការសន្និដ្ឋាន RCE នេះដោយផ្ទាល់ទេ។ ### 5.6 certifi / pip៖ ការជឿទុកចិត្តលើវិញ្ញាបនបត្រត្រូវតែគ្របដណ្តប់រាល់ច្បាប់ចម្លង **GHSA-6q48-6c7w-9gw2 , 2026-10-20, Critical ស្គាល់ CVE មិនបានចុះបញ្ជី។** នេះគឺជាការធ្វើឱ្យទាន់សម័យវិញ្ញាបនបត្រមិនទុកចិត្តដែលបង្កឡើងដោយ eMudhra កម្រិតមធ្យម CA ឧប្បត្តិហេតុ។ វាមិនអាចត្រូវបានសង្ខេបថាជាយន្តការគ្រីបរបស់ HTTPS ឬថាវិញ្ញាបនបត្រឫសគល់ទាំងអស់ត្រូវបានបំបែក។ [S36](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-36) ការណែនាំ certifi ដើមឡើយបានចុះបញ្ជី **2026.10.18** ជាបំណះមួយ; PSF ក្រោយមកបានណែនាំយ៉ាងច្បាស់ **2026.10.19** ដើម្បីរក្សាភាពត្រូវគ្នាជាមួយវិញ្ញាបនបត្រឫសគល់ដែលមិនប៉ះពាល់។ មូលដ្ឋានប្រតិបត្តិការគឺ .19 ។ [S36](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-36)[S37](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-37) ចាំបាច់ត្រូវបែងចែក៖ | ទុកចិត្តលើទីតាំងសម្ភារៈ | ហេតុអ្វីបានជាអ្នកត្រូវពិនិត្យដោយឡែកពីគ្នា។ | | -------------------------------- | -------------------------------------------------------------------- | | ប្រព័ន្ធប្រតិបត្តិការ CA កញ្ចប់ | សម្ភារៈទុកចិត្តប្រព័ន្ធសម្រាប់រូបភាព ឬម៉ាស៊ីន | | certifi នៅក្នុង venv | CA bundle ពិតជាត្រូវបានប្រើប្រាស់ដោយកម្មវិធី ឬសំណើជាដើម។ | | pip ភ្ជាប់មកជាមួយ certifi | គឺជាច្បាប់ចម្លងខុសពី certifi ដែលបានដំឡើងខាងក្រៅ | | uv / ឧបករណ៍វេចខ្ចប់ផ្សេងទៀត។ | អនុវត្តតាមការអាប់ដេតផ្ទាល់ខ្លួនរបស់ឧបករណ៍ និងប្រភពដែលអាចទុកចិត្តបាន។ | | ឯកសារ CA ប្ដូរតាមបំណង រូបថតខ្ចប់ | អាចបន្តបដិសេធប្រភពដែលអាចទុកចិត្តបានលំនាំដើមសម្រាប់ប្រព័ន្ធ ឬកញ្ចប់ | ខាងលើគឺជាបញ្ជីត្រួតពិនិត្យដោយផ្អែកលើទីតាំងវេចខ្ចប់ផ្សេងៗគ្នា។ PSF តម្រូវឱ្យធ្វើបច្ចុប្បន្នភាពឧបករណ៍ពាក់ព័ន្ធ បរិស្ថាននិម្មិតដែលមានស្រាប់ និងការបង្កើតរូបភាពឡើងវិញ។ មានតែការធ្វើបច្ចុប្បន្នភាពម៉ាស៊ីន CA ឬការដំឡើងអ្នកបកប្រែឡើងវិញមិនអាចបង្ហាញថាច្បាប់ចម្លងទាំងអស់ត្រូវបានធ្វើឱ្យស្រស់ឡើងវិញទេ។ [S35](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-35)[S37](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-37) នៅពេលដំឡើងកំណែពី bootstrap សុវត្ថិភាព pip ចាស់ PSF ផ្តល់នូវពាក្យបញ្ជាសម្រាប់ **fixed wheel និង SHA-256** សូមមើលឧបសម្ព័ន្ធ S37 ។ កុំបិទការផ្ទៀងផ្ទាត់ TLS ឬបន្ថែម `--trusted-host` ដើម្បីរំលងបញ្ហាវិញ្ញាបនបត្រ។ ## 6. ដំណើរការជួសជុលជាផ្លូវការ ពាក្យបញ្ជាខាងក្រោមគឺសម្រាប់បរិស្ថានដែលគួរឱ្យទុកចិត្តដែលបានបញ្ជាក់។ នៅពេលដំណើរការ កម្មវិធីគ្រប់គ្រងកញ្ចប់ដែលមានស្រាប់ ឯកសារចាក់សោ និងដំណើរការដាក់ឱ្យប្រើប្រាស់របស់គម្រោងគួរតែត្រូវបានបញ្ចូលគ្នា ដើម្បីជៀសវាងការលាយបញ្ចូល npm/pnpm/yarn ឬ pip/uv/Poetry ដើម្បីបង្កើតឯកសារចាក់សោដែលប៉ះទង្គិចគ្នា។ **ដោះស្រាយការលើកលែងជាមុនសិន៖** ប្រសិនបើអ្នកសង្ស័យថាបរិស្ថានបានដំណើរការកញ្ចប់ដែលត្រូវបានសម្របសម្រួលនៅក្នុងផ្នែកទី 9 សូមដាក់វាឱ្យនៅដាច់ដោយឡែកជាមុនសិន ហើយពិនិត្យមើលថាស ចាក់សោឯកសារ និងកំណត់ត្រារូបភាពពីបរិស្ថានស្អាត។ កុំដំណើរការពាក្យបញ្ជា Python/pip ខាងក្រោមជាមុនសិន។ [S41](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-41) ### 6.1 បង្កើតសៀវភៅកត់ត្រាដែលអាចឆ្លើយតបទៅនឹងចរាចរណ៍ពិតប្រាកដ សេវាកម្មនីមួយៗកត់ត្រាយ៉ាងហោចណាស់៖ - ចំណុចចូលខាងក្រៅ ប្រូកស៊ីបញ្ច្រាស ផ្លូវតភ្ជាប់ដោយផ្ទាល់ទៅកាន់គេហទំព័រដើម និងជួរផ្ទៃខាងក្រោយ/កិច្ចការដែលបានគ្រោងទុក។ - ពាក្យបញ្ជាចាប់ផ្តើមពិតប្រាកដ គណនីដែលកំពុងដំណើរការ ផ្លូវគោលពីរ ដំណើរការ ឬអត្តសញ្ញាណកុងតឺន័រ។ - កំណែពេញម៉ោងដំណើរការ អ្នកបោះពុម្ពផ្សាយ/ឃ្លាំង កញ្ចប់កំណែពេញលេញ ឬរូបភាពសង្ខេប។ - ក្របខ័ណ្ឌ និងភាពអាស្រ័យអន្តរកាល ឯកសារចាក់សោ បណ្ណាល័យដើម និងផ្លូវផ្ទុកទំនុកចិត្ត។ - ទាក់ទងទៅនឹងថាតើលក្ខខណ្ឌនៃភាពងាយរងគ្រោះមាន គោលដៅបំណះ វិសាលភាពចាប់ផ្ដើមឡើងវិញ អ្នកទទួលខុសត្រូវ និងលទ្ធផលផ្ទៀងផ្ទាត់។ ម៉ាស៊ីនអភិវឌ្ឍន៍ អ្នករត់ CI បង្កើតកុងតឺន័រ និងកិច្ចការផ្ទៃខាងក្រោយគួរតែត្រូវបានត្រួតពិនិត្យផងដែរ យោងទៅតាមផ្លូវរបស់ពួកគេទៅកាន់មាតិកាដែលមិនគួរឱ្យទុកចិត្ត។ កុំគ្រាន់តែអាប់ដេតធុងបណ្ដាញដែលប្រឈមមុខនឹងសាធារណៈ។ ### 6.2 Node.js៖ កំណត់ពេលដំណើរការជាមុនសិន បន្ទាប់មកធ្វើបច្ចុប្បន្នភាពភាពអាស្រ័យកម្មវិធី ពិនិត្យមើលបរិយាកាសសេវាកម្មជាក់ស្តែង៖ ```bash node -p 'JSON.stringify({execPath:process.execPath,node:process.version,openssl:process.versions.openssl,brotli:process.versions.brotli},null,2)' npm ls next react react-dom react-server-dom-webpack react-server-dom-parcel react-server-dom-turbopack sharp --all npm audit --omit=dev ``` `node -p` គួរតែត្រូវបានប្រតិបត្តិដោយប្រើសេវាកម្មដែលអាចប្រតិបត្តិបានពិតប្រាកដ ឬនៅក្នុងធុងជាក់ស្តែង។ វាពិនិត្យរកមើលដំណើរការដែលទើបនឹងដាក់ឱ្យដំណើរការថ្មី ហើយវាមិនបញ្ជាក់ថា កម្មករចាស់ត្រូវបានជំនួសនោះទេ។ Node អាចបន្ថែមបំណះទៅ Brotli ដែលភ្ជាប់មកជាមួយខណៈពេលដែលរក្សាខ្សែអក្សរកំណែបណ្ណាល័យដើម។ ដូច្នេះ កុំពឹងផ្អែកតែលើ `process.versions.brotli` ដើម្បីកំណត់ថាតើវាត្រូវបានជួសជុលឬអត់។ អ្នកគួរតែផ្សំវាជាមួយនឹងកំណែសុវត្ថិភាព Node ឬភស្តុតាង backport របស់អ្នកលក់។ [S2](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-2)[S4](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-4) `npm ls` ត្រូវបានប្រើដើម្បីមើលមែកធាងអាស្រ័យជាក់ស្តែង។ កញ្ចប់ដែលបាត់ ឬជម្លោះរវាងមិត្តភ័ក្តិក៏អាចបង្កើតលេខកូដចេញដែលមិនមែនជាសូន្យផងដែរ ដូច្នេះអ្នកគួរតែអានលទ្ធផលជាក់លាក់។ `npm audit` ត្រូវបានប្រើជាជំនួយពិនិត្យភាពអាស្រ័យ ហើយមិនអាចជំនួសការត្រួតពិនិត្យ Node ប្រព័ន្ធគោលពីរ និងការត្រួតពិនិត្យបណ្ណាល័យដើមបានទេ។ ប្រើ **mise ដើម្បីគ្រប់គ្រងបរិស្ថានរបស់ Node 24** ដែលអាចធ្វើបច្ចុប្បន្នភាពដូចខាងក្រោម៖ ```bash mise use -g node@24.22.1 mise exec node@24.22.1 -- node -p 'process.version + " " + process.execPath' ``` `mise use -g` កំណត់រចនាសម្ព័ន្ធកំណែសកល។ ការកំណត់រចនាសម្ព័ន្ធមូលដ្ឋានរបស់គម្រោងនៅតែត្រូវពិនិត្យដោយឡែកពីគ្នា។ ប្រសិនបើសេវាកម្មបានជួសជុលផ្លូវដាច់ខាតចាស់ រូបភាពមូលដ្ឋានកុងតឺន័រ ឬបរិស្ថាននៃគណនីផ្សេងគ្នា ការកំណត់រចនាសម្ព័ន្ធដែលត្រូវគ្នាត្រូវតែធ្វើបច្ចុប្បន្នភាព ហើយសេវាកម្មត្រូវតែចាប់ផ្តើមឡើងវិញ។ ពាក្យបញ្ជាខ្លួនឯងមិនជំនួសដំណើរការដែលកំពុងដំណើរការចាស់ទេ។ [S43](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-43) នៅក្នុងគម្រោង Next ប្រតិបត្តិពាក្យបញ្ជាដែលត្រូវគ្នាយោងទៅតាមសាខាដែលបានជ្រើសរើស។ សម្រាប់ Next 15៖ ```bash # Next 15 分支 npm install --save-exact next@15.5.28 ``` សម្រាប់ Next 16៖ ```bash # Next 16 分支 npm install --save-exact next@16.4.1 ``` ពិនិត្យមើលភាពអាស្រ័យដែលត្រូវគ្នានឹង React/RSC ឯកសារចាក់សោ និងឧទាហរណ៍ចុងក្រោយបំផុត ហើយបន្ទាប់មកបង្កើតទៅតាមដំណើរការគម្រោង។ ប្រើឯកសារចាក់សោដែលបានធ្វើបច្ចុប្បន្នភាពនៅក្នុង CI សម្រាប់ការដំឡើងដែលអាចផលិតឡើងវិញបាន ហើយពិនិត្យមើលកំណែនៅក្នុងរូបភាពដែលកំពុងដំណើរការបន្ទាប់ពីការសាងសង់។ កុំប្រើការជួសជុលដោយស្វ័យប្រវត្តិដែលមិនអាចគ្រប់គ្រងបាននៅទូទាំងកំណែសំខាន់ៗជាដំណោះស្រាយលំនាំដើមសម្រាប់ការសង្គ្រោះបន្ទាន់នេះ។ ### 6.3 Java៖ ផ្ទៀងផ្ទាត់អ្នកបោះពុម្ពផ្សាយ JVM ពិតប្រាកដ និងសមាសធាតុដែលបានបង្កប់ សារពើភ័ណ្ឌបឋម៖ ```bash java -XshowSettings:properties -version ``` `java.home`, `java.runtime.version` និងអ្នកបោះពុម្ពផ្សាយនៅក្នុងលទ្ធផលគួរតែត្រូវបានតម្រឹមជាមួយ JVM ដែលពិតជាបានប្រើប្រាស់ដោយសេវាកម្ម។ សម្រាប់ JVM ដោយមានការអនុញ្ញាតភ្ជាប់ `jcmd` នៃ JDK អាចត្រូវបានប្រើដើម្បីពិនិត្យមើលដំណើរការគោលដៅ មិនត្រឹមតែសែលចូលប៉ុណ្ណោះទេ។ ពិនិត្យមើលភាពអាស្រ័យនៅក្នុងគម្រោងដែលគួរឱ្យទុកចិត្ត ហើយជ្រើសរើសដោយផ្អែកលើឧបករណ៍សាងសង់ជាក់ស្តែង៖ ```bash ./mvnw dependency:tree '-Dincludes=org.apache.tomcat.embed:*,org.springframework.security:*,org.springframework.graphql:*' ./gradlew dependencyInsight --dependency tomcat-embed-core --configuration runtimeClasspath ./gradlew dependencyInsight --dependency spring-security-core --configuration runtimeClasspath ./gradlew dependencyInsight --dependency spring-graphql --configuration runtimeClasspath ``` ពាក្យបញ្ជាបង្កើតទាំងនេះអាចដំណើរការកម្មវិធីជំនួយ និងដោះស្រាយភាពអាស្រ័យនៅលើអ៊ីនធឺណិត ហើយដំណើរការតែលើគម្រោងដែលគួរឱ្យទុកចិត្តប៉ុណ្ណោះ។ ពិនិត្យ JAR/WAR ចុងក្រោយ ឬ JAR ពិតប្រាកដក្នុងរូបភាព ហើយកុំជំនួសការប្រកាសឯកសារសាងសង់សម្រាប់វត្ថុបុរាណចុងក្រោយ។ Spring Boot ដែលបានបង្កប់ Tomcat តម្រូវឱ្យបង្កើតកម្មវិធីឡើងវិញ។ ការធ្វើបច្ចុប្បន្នភាពការដំឡើង Tomcat ដាច់ដោយឡែកនៅក្នុងប្រព័ន្ធនឹងមិនកែប្រែច្បាប់ចម្លងនៅក្នុងកញ្ចប់កម្មវិធីទេ។ បន្ទាប់ពីពេលដំណើរការត្រូវបានធ្វើបច្ចុប្បន្នភាព សូមពិនិត្យមើល `javax.net.ssl.trustStore` ផ្ទាល់ខ្លួន កម្មវិធី KeyStore ដែលផ្ទុកដោយខ្លួនឯង ពេលវេលាដំណើរការ jlink រូបភាព GraalVM/ដើម និងទម្រង់ការចែកចាយផ្សេងទៀតតាមធាតុ។ កម្មវិធីដែលមានសម្ភារៈទុកចិត្តរួចហើយមិនអាចបញ្ចប់ការត្រួតពិនិត្យបានទេ ដោយសារថត JDK ក្លាយជាថ្មី។ ### 6.4 Python៖ ការបកស្រាយដោយអ្នកបកប្រែ និងដំណើរការបរិស្ថាននិម្មិត នៅក្នុង venv/container ពិតប្រាកដបានបញ្ជាក់ថាអាចជឿទុកចិត្តបាន៖ ```bash python - <<'PY' import sys import ssl import importlib.metadata as metadata print("executable:", sys.executable) print("version:", sys.version) print("openssl:", ssl.OPENSSL_VERSION) print("verify_paths:", ssl.get_default_verify_paths()) for name in ("pip", "certifi", "Django", "urllib3", "Brotli", "litellm"): try: print(name + ":", metadata.version(name)) except metadata.PackageNotFoundError: print(name + ": not installed") PY python -m pip --version python -m pip check ``` ស្គ្រីបនេះប្រមូលតែព័ត៌មាន ហើយមិនអនុវត្តការកំណត់គុណវុឌ្ឍិកំណែទេ។ `ssl.get_default_verify_paths()` គឺជាព័ត៌មានផ្លូវលំនាំដើម ហើយមិនអាចបង្ហាញថាអតិថិជនភាគីទីបីទាំងអស់ប្រើហាងជឿទុកចិត្តដូចគ្នានោះទេ។ វាគួរតែត្រូវបានបញ្ជាក់ដោយផ្អែកលើការកំណត់រចនាសម្ព័ន្ធកម្មវិធី។ បន្ទាប់ពីបញ្ចប់ការអាប់ដេតចាប់ផ្ដើម pip ដែលជឿទុកចិត្តនៃឧបសម្ព័ន្ធ S37 ធ្វើបច្ចុប្បន្នភាពភាពអាស្រ័យវិញ្ញាបនបត្រយោងទៅតាមឧបសគ្គគម្រោង ឧទាហរណ៍៖ ```bash python -m pip install --upgrade 'certifi>=2026.10.19' # 仅适用于当前就选择 Django 5.2 的项目 python -m pip install --upgrade 'Django>=5.2.18,<5.3' python -m pip check ``` តម្រូវការ/ឯកសារចាក់សោរបស់គម្រោងចាំបាច់ត្រូវធ្វើបច្ចុប្បន្នភាពក្នុងពេលតែមួយ បើមិនដូច្នេះទេ ការដាក់ពង្រាយបន្ទាប់អាចត្រឡប់ទៅកំណែចាស់វិញ។ នៅពេលប្រើ uv កំណាព្យ ឬឃ្លាំងកញ្ចប់សហគ្រាស ប្រើដំណើរការចាក់សោ និងបោះពុម្ពដែលមានស្រាប់របស់ពួកគេ។ កុំកែប្រែកញ្ចប់ដោយដៃគ្រាន់តែនៅក្នុងធុងផលិតកម្ម។ លំហូរការងារ `pip-audit` ដែលមានស្រាប់របស់គម្រោងអាចត្រូវបានប្រើដើម្បីពិនិត្យមើលភាពងាយរងគ្រោះដែលស្គាល់នៅក្នុងបរិយាកាសដែលអាចទុកចិត្តបាន។ វាមិនមែនជាម៉ាស៊ីនស្កេនកូដព្យាបាទ និងមិនគ្របដណ្តប់លើអ្នកបកប្រែទាំងអស់ បណ្ណាល័យប្រព័ន្ធ និងហានិភ័យនៃហាងជឿទុកចិត្ត។ [S44](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-44) **វាមិនត្រូវបានណែនាំអោយបង្ខំប្រព័ន្ធ `/usr/bin/python3` ចង្អុលទៅកំណែដែលបានចងក្រងថ្មីនោះទេ។** ប្រើការចេញផ្សាយបច្ចុប្បន្នភាពសុវត្ថិភាព ឬរយៈពេលដំណើរការគម្រោងដាច់ដោយឡែក ដើម្បីជៀសវាងការបំបែកឧបករណ៍គ្រប់គ្រងដែលពឹងផ្អែកលើប្រព័ន្ធ Python ។ នេះគឺជាជម្រើសនៃការអនុវត្ត និងមិនមែនជាតម្រូវការជួសជុលបន្ថែមសម្រាប់ភាពងាយរងគ្រោះនេះទេ។ ### 6.5 បង្កើតឡើងវិញ និងជំនួសវត្ថុដែលកំពុងដំណើរការ វាត្រូវបានណែនាំឱ្យធ្វើជំហានខាងក្រោមជាការផ្លាស់ប្តូរទាំងស្រុង៖ 1. ទទួលបានបំណះពីប្រភពដែលទុកចិត្តដើម ហើយរក្សាទុកកំណែ/hash និងការចាក់សោភាពអាស្រ័យ។ 2. ត្រឡប់មុខងារសំខាន់ៗនៅក្នុងបរិយាកាសជិតផលិត ហើយបញ្ជាក់ថាកម្មវិធីបន្ថែមដើមគឺត្រូវគ្នាជាមួយ JVM/framework។ 3. ធ្វើបច្ចុប្បន្នភាពរយៈពេលដំណើរការ ភាពអាស្រ័យនៃកម្មវិធី និងហាងទុកចិត្តពិតប្រាកដ។ ធ្វើឱ្យរូបភាពមូលដ្ឋានឡើងវិញ និងប្រព័ន្ធ CA សម្រាប់កុងតឺន័រ កុំគ្រាន់តែប្រើស្រទាប់ចាស់ឡើងវិញ។ 4. បង្កើតកម្មវិធី និងរូបភាពឡើងវិញ ហើយជំនួសសេវាកម្ម កម្មករ អ្នកប្រើប្រាស់ជួរ និងករណីកិច្ចការដែលបានកំណត់ពេលនៅលើមូលដ្ឋានវិលជុំ។ 5. ពិនិត្យកំណែ និងការកំណត់រចនាសម្ព័ន្ធឡើងវិញនៅក្នុងឧទាហរណ៍ដែលកំពុងដំណើរការថ្មី ហើយបញ្ជាក់ថាច្បាប់ចម្លងចាស់ទាំងអស់បានចាកចេញ។ 6. សង្កេតមើលអត្រាកំហុស ភាពយឺតយ៉ាវ CPU/memory ការបរាជ័យនៃការចាប់ដៃ TLS និងការគាំងដំណើរការ។ Rollback គួរតែផ្តល់អាទិភាពដល់ការរក្សាពេលវេលាដំណើរការប្រកបដោយសុវត្ថិភាព និងភាពអាស្រ័យនៃបំណះ ហើយការរំកិលការកំណត់រចនាសម្ព័ន្ធកម្មវិធី ឬការផ្លាស់ប្តូរអាជីវកម្ម។ ប្រសិនបើអ្នកត្រូវត្រលប់ទៅផលិតផលចាស់ដែលមានភាពងាយរងគ្រោះ ការរឹតបន្តឹងការចូលដែលត្រូវគ្នាគួរតែត្រូវបានស្ដារឡើងវិញក្នុងពេលដំណាលគ្នា ហើយអ្នកទទួលខុសត្រូវ និងរយៈពេលនៃការស្តារឡើងវិញអប្បបរមាគួរតែត្រូវបានកំណត់យ៉ាងច្បាស់។ ## 7. ការកាត់បន្ថយបណ្តោះអាសន្ន និងការជ្រើសរើសបំណះ ### 7.1 ព្រំដែនគ្របដណ្តប់នៃវិធានការបណ្តោះអាសន្ន ខាងក្រោមនេះគឺជាការណែនាំអំពីការអនុវត្តដោយផ្អែកលើលក្ខខណ្ឌប្រើប្រាស់ដែលបានប្រកាស។ លុះត្រាតែមានផែនការផ្លូវការត្រូវបានកត់សម្គាល់ អ្នកលក់មិនធានាថាគ្រប់វ៉ារ្យ៉ង់ទាំងអស់អាចត្រូវបានរារាំងទាំងស្រុងនោះទេ។ | ហានិភ័យ | វិធានការបណ្តោះអាសន្នដែលអាចត្រូវបានអនុវត្ត | ផ្នែកដែលមិនអាចត្រូវបានចាត់ទុកថាបានបញ្ចប់ដោយផ្អែកលើនេះ។ | | ---------------------------------------- | ----------------------------------------------------------------------------------------------------------------- | -------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | ការឌិកូដ Brotli | បញ្ឈប់ការឌិកូដបញ្ចូលដែលមិនគួរឱ្យទុកចិត្ត; ពិនិត្យការបង្រួមដោយស្វ័យប្រវត្តិចូល និងខាងក្រៅ | Inbound WAF ឬការបិទការបង្ហាប់ការឆ្លើយតបមិនគ្របដណ្តប់ធាតុឌិកូដទាំងអស់ [S3](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-3) ទេ | | Next.js typed arrays RCE | ធ្វើឱ្យប្រសើរឡើងភ្លាមៗ; ញែកសេវាដែលរងផលប៉ះពាល់ជាបណ្តោះអាសន្ន ប្រសិនបើចាំបាច់ | មិនមានដំណោះស្រាយជាសកលដែលអាចទុកចិត្តបានជាផ្លូវការអំពី [S9](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-9) ទេ។ | | Next.js SVG RCE | ផែនការផ្លូវការ៖ ធានាឱ្យបានច្បាស់ ≥0.35.5; ផ្អាកចំណុចបញ្ចូលការបង្កើនប្រសិទ្ធភាពដែលពាក់ព័ន្ធ នៅពេលអនុញ្ញាតអាជីវកម្ម | មិនគ្របដណ្តប់បញ្ហា Next/RSC ផ្សេងទៀត [S11](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-11) | | Tomcat Realm / HTTP/2 / AJP | ញែកផ្លូវដែលត្រូវគ្នា និងបិទឧបករណ៍ភ្ជាប់ដែលមិនចាំបាច់ | នៅតែត្រូវការកញ្ចប់ជួសជុលសាខាដែលត្រូវគ្នា [S21](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-21)[S22](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-22)[S23](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-23) | | GraphQL Deserialization | ផ្អាកវាលការតភ្ជាប់ដែលរងផលប៉ះពាល់; ដាក់កម្រិតអ្នកហៅទូរសព្ទដែលមិនទុកចិត្ត | មានតែដែនកំណត់ប្រវែងសំណើប៉ុណ្ណោះមិនអាចជួសជុលបញ្ហាប្រភេទ/ការបំផ្លាញ [S25](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-25) បានទេ។ | | Spring embedded LDAP | បិទនៅពេលមិនត្រូវការ; កំណត់លទ្ធភាពនៃច្រកស្តាប់ពិតប្រាកដ | អត្តសញ្ញាណរដ្ឋបាលលំនាំដើម និងភាពត្រឹមត្រូវនៃថតនៅតែត្រូវពិនិត្យ [S27](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-27) | | CPython SNI UAF | ផែនការផ្លូវការ៖ រក្សាឯកសារយោងដ៏រឹងមាំ SSLContext ដែលពាក់ព័ន្ធរហូតដល់ចុងបញ្ចប់នៃសេវាកម្ម | ផ្លូវបង្កើត/ប្តូរទាំងអស់ត្រូវតែគ្របដណ្តប់ [S29](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-29) | | ឈ្មោះម៉ាស៊ីន Python រំលង | ដំណោះស្រាយផ្លូវការ៖ បញ្ជូន server\_hostname ដែលរំពឹងទុកឱ្យបានត្រឹមត្រូវ | មិនអាចគ្រាន់តែពិនិត្យមើល check\_hostname flag ឬមិនអើពើការព្រមាន [S30](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-30)[S31](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-31) | | tar ដែលមិនគួរឱ្យទុកចិត្ត | បិទ/ការស្រង់ចេញដោយឡែក បដិសេធតំណភ្ជាប់ដែលមិនសំខាន់ និងធាតុឧបករណ៍ | ទាំងតម្រង ឬកូតាធនធានមិនមែនជាប្រអប់ខ្សាច់សកល [S32](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-32)[S40](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-40)[S45](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-45) | | ព្រឹត្តិការណ៍ការជឿទុកចិត្តលើវិញ្ញាបនបត្រ | ធ្វើបច្ចុប្បន្នភាពសម្ភារៈ CA ត្រឹមត្រូវ; ការជឿទុកចិត្ត Java អាចត្រូវបានកម្រិតយោងទៅតាមការបន្ធូរបន្ថយជាផ្លូវការ | ការបិទការផ្ទៀងផ្ទាត់ TLS បង្កើនហានិភ័យ [S19](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-19)[S37](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-37) | ### 7.2 ជ្រើសរើសបំណះដោយផ្អែកលើវិធីសាស្ត្រចែកចាយ | វិធីសាស្រ្តចែកចាយ | ផ្តល់អាទិភាពដល់វិធីសាស្ត្រជួសជុល | ភស្តុតាងដែលគួររក្សាទុក | | ----------------------------------------------------- | -------------------------------------------------------------------------------------- | ------------------------------------------------------------------------------------------- | | ពេលវេលាដំណើរការដែលគ្រប់គ្រងការចែកចាយ | បច្ចុប្បន្នភាពសុវត្ថិភាពដែលត្រូវគ្នារបស់អ្នកផលិត | កំណែកញ្ចប់ពេញលេញ ការប្រកាស ប្រភពឃ្លាំង | | កម្មវិធីគ្រប់គ្រងប្រព័ន្ធគោលពីរ/ពេលដំណើរការជាផ្លូវការ | ការចេញផ្សាយសន្តិសុខជាផ្លូវការពីសាខាតែមួយ | កំណែ ប្រភព និងសង្ខេប ផ្លូវប្រតិបត្តិពិតប្រាកដ | | Node / CPython ចងក្រងដោយខ្លួនឯង | ការចេញផ្សាយប្រភពផ្លូវការរបស់សាខាដែលត្រូវគ្នា ឬសំណុំបំណះពេញលេញរបស់អ្នកលក់ | កំណត់សំណុំ បង្កើតប៉ារ៉ាម៉ែត្រ បណ្ណាល័យអាស្រ័យ និងលទ្ធផលតំរែតំរង់ | | Spring / Next / Django | ឆបគ្នាជាមួយការអាប់ដេតក្នុងសាខា ការបង្កើតសោភាពអាស្រ័យឡើងវិញ និងកម្មវិធីចុងក្រោយ | មែកធាងការពឹងផ្អែកចុងក្រោយ កំណែជាក់ស្តែងនៅក្នុង JAR/package/image | | ហាងទំនុកចិត្តផ្ទាល់ខ្លួន | ផែនការដកប្រាក់ផ្លូវការ ឬការធ្វើបច្ចុប្បន្នភាពរបស់អ្នកលក់ដែលបញ្ជាក់ពីការដកប្រាក់ | ផ្លូវប្រើប្រាស់ជាក់ស្តែង ការផ្លាស់ប្តូរសម្ភារៈ ការធ្វើតេស្តជោគជ័យ TLS និងការធ្វើតេស្តបដិសេធ | | បរិស្ថានដែលសម្របសម្រួល | បង្កើតឡើងវិញពីផលិតផលស្អាត និងគួរឱ្យទុកចិត្ត ហើយធ្វើការស៊ើបអង្កេតឧប្បត្តិហេតុដាច់ដោយឡែក | កញ្ចប់ប្រវត្តិសាស្រ្ត/ការសង្ខេបរូបភាព កំណត់ត្រាការដំឡើង កំណត់ត្រាបង្វិលព័ត៌មាន | ### 7.3 យន្តការបំណះគន្លឹះ និងការផ្តោតអារម្មណ៍ពិនិត្យឡើងវិញ - **Brotli:** យកចិត្តទុកដាក់ថាតើការត្រួតពិនិត្យព្រំដែន និងការត្រឡប់កំហុសនៃស្ថានភាពការឌិកូដដើមត្រូវបានបញ្ចប់មុនពេលចូលទៅក្នុងការស្ថាបនា។ មានតែការជំនួសកញ្ចប់ JavaScript មិនអាចប្តូរលេខកូដដែលបានចងក្រងជាលក្ខណៈជា Node បានទេ។ [S4](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-4) - **Node DNS / TLS :** ផ្តោតលើការបដិសេធការបញ្ចូល ការធ្វើឱ្យអាសយដ្ឋានធម្មតា ភាពខុសគ្នារវាង IP សាន និង DNS អត្តសញ្ញាណ និង DNS callback/Promise ផ្លូវញែក និង TLS ការធ្វើតេស្តផ្គូផ្គងឈ្មោះម៉ាស៊ីន។ [S5](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-5) [S6](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-6) - **Tomcat JNDIRealm:** ផ្តោតលើថាតើដំណើរការផ្ទៀងផ្ទាត់ពិតជាផ្ទៀងផ្ទាត់ព័ត៌មានសម្ងាត់ ជាជាងគ្រាន់តែទទួលបានបរិបទថត។ ផ្តល់អាទិភាពដល់កំណែផ្លូវការ និងមិនចាត់ទុកការជំនួសឯកសារប្រភពតែមួយជាបំណះប្រព័ន្ធគោលពីរពេញលេញទេ។ [S24](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-24) - **CPython ssl:** ផ្តោតលើកម្មសិទ្ធិឯកសារយោង Python និងវដ្តជីវិតនៃមូលដ្ឋាន SSLContext; `wrap_bio()` backports ខណៈពេលដែលមានភាពខុសគ្នានៃភាពឆបគ្នានៃសាខា ហើយអ្នកត្រូវតែអានការអនុវត្តជាក់ស្តែងនៃសាខាដែលបានប្រើ។ [S31](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-31)[S47](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-47) - **Certificate disrusted:** ការធ្វើបច្ចុប្បន្នភាពបែបនេះអាចលេចឡើងជាសម្ភារៈដែលអាចទុកចិត្តបាន ឬបដិសេធការផ្លាស់ប្តូរបញ្ជីជាជាងការផ្លាស់ប្តូរ API ជាក់ស្តែង។ បាច់ដូចគ្នានៃ Node ក៏រួមបញ្ចូលផងដែរនូវយន្តការបដិសេធនៃ CA កម្រិតមធ្យមដែលរងផលប៉ះពាល់។ ប្រភពទំនុកចិត្តរៀងៗខ្លួនរបស់ Java និង Python នៅតែត្រូវការផ្ទៀងផ្ទាត់ដោយឡែកពីគ្នា។ [S19](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-19)[S37](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-37)[S46](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-46) **ឯករាជ្យ Brotli ការចងក៏គួរតែត្រូវបានពិនិត្យផងដែរ។** Google upstream បានចេញផ្សាយ **1.0.10 / 1.1.1 / 1.2.1** នៅថ្ងៃដដែលដើម្បីជួសជុល CVE-2026-111497 . Python ផ្នែកបន្ថែមដើម ឬវត្ថុបុរាណ JNI ដែលបង្កប់ការអនុវត្ត C ដែលរងផលប៉ះពាល់ដូចគ្នា ចាំបាច់ត្រូវធ្វើបច្ចុប្បន្នភាព/សាងសង់ឡើងវិញដោយឯករាជ្យ។ វាមិនអាចត្រូវបានសន្និដ្ឋានថាសុទ្ធ Java ឧបករណ៍ឌិកូដត្រូវបានប៉ះពាល់ ហើយក៏មិនអាចសន្មត់ថាការអាប់ដេតដែរ។ Node ជំនួសការចម្លងដោយស្វ័យប្រវត្តិជាភាសាផ្សេង។ [S42](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-42) ## 8. ការផ្ទៀងផ្ទាត់ និងការត្រួតពិនិត្យតាមដាន ### 8.1 បញ្ជីផ្ទៀងផ្ទាត់អប្បបរមា | ពិនិត្យធាតុ | ទាមទារភស្តុតាង | | --------------------------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------ | | ពេលដំណើរការ | កំណែពេញលេញ ឬភស្តុតាង backport របស់អ្នកលក់ត្រឹមត្រូវនៅក្នុងដំណើរការពិត/កុងតឺន័រ | | ភាពអាស្រ័យនៃកម្មវិធី | Next/RSC/sharp, Tomcat/Spring, និង Django/certifi នៅក្នុងផលិតផលដាក់ពង្រាយចុងក្រោយបានឈានដល់កម្រិតដែលត្រូវគ្នា | | ជួរជំនួស | រាល់ឯកសារថតចម្លងកុងតឺន័រ និងកិច្ចការផ្ទៃខាងក្រោយរបស់កម្មករ/JVM/កុងតឺន័រត្រូវបានជំនួសដោយវត្ថុថ្មី ហើយករណីចាស់បានចាកចេញ។ | | TLS | វិញ្ញាបនបត្រដែនត្រឹមត្រូវជោគជ័យ; ឈ្មោះម៉ាស៊ីនមិនត្រូវគ្នា និងខ្សែសង្វាក់មិនត្រឹមត្រូវ បរាជ័យស្របតាមគោលការណ៍។ ហាងលក់ទំនុកចិត្តផ្ទាល់ខ្លួនត្រូវបានរួមបញ្ចូល | | ការមិនទុកចិត្ត eMudhra | ខ្សែសង្វាក់វិញ្ញាបនបត្រដែលបង្កើតឡើងដោយ CA កម្រិតមធ្យមដែលរងផលប៉ះពាល់ត្រូវបានច្រានចោលក្នុងអំឡុងពេលដំណើរការជាក់ស្តែង ឬមានភស្តុតាងដែលបញ្ជាក់ថា បញ្ជីការបដិសេធដែលទាក់ទងគ្នានៃការកសាងសុវត្ថិភាពរបស់អ្នកលក់ត្រូវបានដាក់ពង្រាយ។ ករណីមិនអាចបិទដោយផ្អែកលើការធ្វើតេស្ត TLS ទូទៅ ឬលេខកំណែខ្លី Java 8 ។ | | ការឌិកូដ Node និងរូបភាព | ការឆ្លើយតបដែលបានបង្ហាប់ធម្មតា ការបង្ហោះ ការបង្កើនប្រសិទ្ធភាពរូបភាព និងមុខងារ RSC អាចរកបាន។ គោលការណ៍ប្រភពដែលមិនគួរឱ្យទុកចិត្តបានចូលជាធរមាន | | ការផ្ទៀងផ្ទាត់ភាពត្រឹមត្រូវ និងឯកោ Java | ពាក្យសម្ងាត់ខុសត្រូវបានបដិសេធ; សំណើ​អសមកាល​ស្រប​គ្នា​ដោយ​អ្នក​ប្រើ​ឯករាជ្យ​ដោយ​មិន​មាន​ការ​លាយ​បញ្ចូល​អត្តសញ្ញាណ/ឆ្លើយតប; LDAP ស្តាប់តាមការរំពឹងទុក | | Python SNI / បណ្ណសារ | ឈ្មោះពហុដែនធម្មតា TLS អាជីវកម្មមានស្ថេរភាព។ ការរក្សាទុកក្នុងប័ណ្ណសារបដិសេធការឆ្លងកាត់ផ្លូវ និងតំណដែលមិនអនុញ្ញាត ហើយឯកសារដែលនៅក្រៅថតមិនត្រូវបានកែប្រែ | | ទិន្នន័យ និងតំរែតំរង់មុខងារ | ការដាក់ទំព័រ សំណួរទំហំ ការត្រួតពិនិត្យការអនុញ្ញាត និងកិច្ចការផ្ទៃខាងក្រោយបានឆ្លងកាត់ការសាកល្បងដែលមានស្រាប់នៃគម្រោង | | ធនធាន និងការសង្កេត | មិនមានការកើនឡើងមិនធម្មតានៅក្នុង CPU ការចងចាំ អត្រាកំហុស ភាពយឺតយ៉ាវ និងកំហុស TLS ទេ។ | | ការតាមដាន | រក្សាទុកពេលវេលាអាប់ដេត ការសង្ខេបកញ្ចប់/រូបភាព ការផ្លាស់ប្តូរការកំណត់ លទ្ធផលផ្ទៀងផ្ទាត់ និងធាតុដែលមិនទាន់ដោះស្រាយ | ទាំងនេះគឺជាការណែនាំអំពីការទទួលយកការអនុវត្ត និងមិនតម្រូវឱ្យមានស្គ្រីបវាយប្រហារដែលត្រូវបានផលិតសម្រាប់ CVE នីមួយៗ។ ការផ្ទៀងផ្ទាត់ពាក់ព័ន្ធនឹងការគាំង ការហត់នឿយធនធាន និងការទុកក្នុងប័ណ្ណសារក្រៅព្រំដែន គួរតែប្រើការធ្វើតេស្តតំរែតំរង់ខាងលើ ឬទិន្នន័យការធ្វើតេស្តដែលគ្រប់គ្រងដោយគម្រោងនៅក្នុងបរិយាកាសដាច់ដោយឡែកមួយ។ ### 8.2 ការស៊ើបអង្កេតបំណះ និងការឈ្លានពានគឺជាកិច្ចការផ្សេងៗគ្នា ពិនិត្យមើលកំណត់ហេតុដែលមានស្រាប់សម្រាប់កំហុសក្នុងការឌិកូដខុសពីធម្មតា កម្មករ/JVM គាំង ការសរសេរឯកសារគួរឱ្យសង្ស័យ ការផ្លាស់ប្តូរទិន្នន័យថត ការលើកលែងការផ្ទៀងផ្ទាត់ សំណើចេញទៅក្រៅ និងកំណត់ត្រាប្រើប្រាស់ព័ត៌មានសម្ងាត់។ សញ្ញាទាំងនេះចាំបាច់ត្រូវវិនិច្ឆ័យក្នុងបរិបទ៖ ការគាំង ឬ OOM មិនមែនជាភស្តុតាងនៃការកេងប្រវ័ញ្ចជោគជ័យនោះទេ។ អវត្ដមាននៃការដាស់តឿនមិនបង្ហាញថាប្រព័ន្ធមួយមិនមានផលប៉ះពាល់ទេ។ នៅពេលដែលការកែប្រែដែលគ្មានការអនុញ្ញាត អត្តសញ្ញាណដែលសម្របសម្រួល ឬបញ្ជាក់ភាពអាស្រ័យព្យាបាទត្រូវបានរកឃើញ ភស្តុតាងគួរតែត្រូវបានរក្សាទុក វត្ថុពាក់ព័ន្ធត្រូវបានញែកដាច់ពីគេ លិខិតសម្គាល់ដែលរងផលប៉ះពាល់បានបង្វិលពីបរិយាកាសដែលអាចទុកចិត្តបាន ហើយប្រព័ន្ធត្រូវបានបង្កើតឡើងវិញ។ បំណះនឹងមិនដកហូតថូខឹនដែលបានទទួលដោយអ្នកវាយប្រហារ ឬស្ដារទិន្នន័យដែលត្រូវបានកែប្រែនោះទេ។ ## 9. ឧប្បត្តិហេតុសុវត្ថិភាពសង្វាក់ផ្គត់ផ្គង់៖ ការសម្របសម្រួល LiteLLM 1.107.0 \*\*កាលបរិច្ឆេទបញ្ជាក់ជាផ្លូវការ៖ 2026-10-21.\*\*LiteLLM បានរាយការណ៍ថាបំពង់បង្ហូរប្រេងរបស់វាត្រូវបានសម្របសម្រួល។ **litellm==1.107.0** របស់ PyPI និងផលិតផល Docker/GHCR មួយចំនួនក្នុងរយៈពេលដូចគ្នានេះមានការលួចសម្ងាត់ និងលេខកូដព្យាបាទបញ្ជាពីចម្ងាយ ហើយផលិតផលដែលពាក់ព័ន្ធត្រូវបានដកចេញ។ [S41](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-41) ដើម្បីកំណត់ផលប៉ះពាល់ អ្នកគួរតែពិនិត្យមើលកំណត់ត្រាការដំឡើងជាប្រវត្តិសាស្ត្រ និងការសង្ខេបរូបភាព។ ស្លាកដូចជា `latest`, `main-latest` និង `main-stable` ឥឡូវនេះចង្អុលទៅរូបភាពស្អាត ដែលមិនបង្ហាញថាផលិតផលដែលទាញនៅពេលកើតហេតុនោះស្អាតទេ។ អនុសាសន៍ផ្លូវការនៅពេលនោះ គឺត្រូវដាក់បញ្ចូលជាបណ្តោះអាសន្ន **1.106.2**; ការណែនាំនេះគឺផ្អែកលើឧប្បត្តិហេតុនេះ ហើយការប្រកាសសុវត្ថិភាពផ្សេងទៀតនៅតែត្រូវត្រួតពិនិត្យអំឡុងពេលដាក់ពង្រាយ។ [S41](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-41) សម្រាប់បរិស្ថានដែលផលិតផលពាក់ព័ន្ធត្រូវបានដំឡើង ឬដំណើរការ៖ 1. ញែក និងរក្សាទុកកំណត់ត្រាដំឡើង រូបភាព និងកំណត់ហេតុ ហើយពិនិត្យមើលវាពីបរិស្ថានស្អាត។ 2. **កុំចាប់ផ្តើម Python/pip** នៅក្នុងបរិយាកាសគួរឱ្យសង្ស័យជាមុនសិន។ `.pth` / `sitecustomize.py` ព្យាបាទអាចត្រូវបានប្រតិបត្តិម្តងទៀតបន្ទាប់ពីការចាប់ផ្តើម។ 3. បង្កើតម៉ាស៊ីនឡើងវិញ venvs/containers ពីប្រភពដែលអាចទុកចិត្តបាន។ មិន​អាច​គ្រាន់​តែ​លុប​ឬ​ទម្លាក់​ចំណាត់​ថ្នាក់​កញ្ចប់​។ 4. ដកហូត/បង្វិលព័ត៌មានសម្ងាត់លើពពក សោអ្នកផ្តល់សេវា LLM សោ LiteLLM និងព័ត៌មានសម្ងាត់មូលដ្ឋានទិន្នន័យដោយផ្អែកលើលទ្ធភាពប្រើប្រាស់ជាក់ស្តែង និងពិនិត្យមើលការប្រើប្រាស់មិនប្រក្រតី។ [S41](https://keendigit.com/km/insights/node-java-python-security-remediation-guide#source-41) នេះគឺជាឧប្បត្តិហេតុខ្សែសង្វាក់ផ្គត់ផ្គង់ដែលបានបញ្ជាក់ ហើយទាមទារឱ្យមានការពិចារណាលើការប្រតិបត្តិកូដព្យាបាទ ការលេចធ្លាយព័ត៌មានសម្ងាត់ និងហានិភ័យនៃការបន្តនៅពេលដោះស្រាយជាមួយវា។ គិតត្រឹមថ្ងៃទី 23 ខែតុលា ឆ្នាំ 2026 ក្រុមមន្ត្រីនៅតែស៊ើបអង្កេតការឈ្លានពានដំបូង។ ## ឧបសម្ព័ន្ធ៖ ដកស្រង់ប្រភព និងតំណភ្ជាប់ កាលបរិច្ឆេទផ្ទៀងផ្ទាត់ប្រភពខាងក្រោមគឺ **2026-10-23** រួមទាំងការប្រកាសសុវត្ថិភាពជាផ្លូវការរបស់គម្រោង ឃ្លាំងកូដផ្លូវការ និងការណែនាំរបស់អ្នកលក់។ អត្ថបទចម្បង \[Sx] ត្រូវគ្នាទៅនឹងឧបសម្ព័ន្ធនេះ; នៅពេលធ្វើបច្ចុប្បន្នភាព អ្នកគួរតែពិនិត្យមើលថាតើអ្នកផ្គត់ផ្គង់បានចេញផ្សាយការកែប្រែជាបន្តបន្ទាប់ឬអត់។ ### S1 — Node.js៖ ការជូនដំណឹងអំពីសុវត្ថិភាព 2026-10-21 - គោលបំណង៖ រយៈពេលរត់ចំនួនបួន High ប៉ះពាល់ដល់សាខា ការចេញផ្សាយសុវត្ថិភាពខែតុលា។ - ឯកសារយោង: [Official Security Bulletin](https://nodejs.org/en/blog/vulnerability/october-2026-security-releases) ### S2 — Node.js៖ សេចក្តីណែនាំចេញផ្សាយជាផ្លូវការសម្រាប់ខ្សែថែទាំចំនួនបី - គោលបំណង៖ ពិនិត្យមើល 22.23.4, 24.22.1, 26.12.1 និងបំណះដែលបានបញ្ចូលគ្នាពិតប្រាកដ។ - ឯកសារយោង: [Node.js 22.23.4](https://nodejs.org/en/blog/release/v22.23.4/) - ឯកសារយោង: [Node.js 24.22.1](https://nodejs.org/en/blog/release/v24.22.1/) - ឯកសារយោង: [Node.js 26.12.1](https://nodejs.org/en/blog/release/v26.12.1/) ### S3 — Vercel៖ Node.js Brotli RCE ប្រឹក្សាសុវត្ថិភាព - គោលបំណង៖ លក្ខខណ្ឌនៃការឌិកូដចូល/ក្រៅប្រទេស ព្រំដែនគ្របដណ្តប់ WAF ស្ថានភាព Node 20 ។ - ឯកសារយោង: [Node.js security advisory: Brotli decoder RCE](https://vercel.com/kb/bulletin/node-js-security-advisory) ### S4 — Node.js: Brotli ការបញ្ជូនបំណះផ្លូវការ - គោលបំណង៖ មូលដ្ឋានអនុវត្តសម្រាប់ការត្រួតពិនិត្យការឌិកូដដើម និងការផ្សព្វផ្សាយកំហុស។ - ឯកសារយោង: [Brotli Patch commit 49dff6f57a](https://github.com/nodejs/node/commit/49dff6f57a) ### S5 — Node.js៖ TLS បំណះ​ធ្វើ​ឱ្យ​មាន​អាសយដ្ឋាន​ធម្មតា - គោលបំណង៖ ការផ្ទៀងផ្ទាត់អត្តសញ្ញាណវិញ្ញាបនបត្រនៃលេខទទឹងពេញ និង IP មិនស្តង់ដារ។ - ឯកសារយោង: [IP normalization regression Patch](https://github.com/nodejs/node/commit/935918e342) - ឯកសារយោង: [rejects the patching of non-standard IP address](https://github.com/nodejs/node/commit/de49c913f2) ### S6 — Node.js៖ បំណះផ្ទៀងផ្ទាត់ DNS NUL - គោលបំណង៖ ការបដិសេធការបញ្ចូល និងការគ្របដណ្តប់ការតំរែតំរង់។ - ឯកសារយោង: [dns.resolve Input verification patch](https://github.com/nodejs/node/commit/843a1627dc) ### S7 — Node.js៖ សេចក្តីជូនដំណឹងអំពីសុវត្ថិភាព 2026-07-29 - គោលបំណង៖ ការអស់អង្គចងចាំ HTTP/2, UAF និងភាពងាយរងគ្រោះគំរូអនុញ្ញាត។ - ឯកសារយោង: [July 2026 Security Releases](https://nodejs.org/en/blog/vulnerability/july-2026-security-releases) ### S8 — Next.js៖ អាប់ដេតសុវត្ថិភាព 2026-10-14 - គោលបំណង៖ បង្រួបបង្រួមកម្រិតមូលដ្ឋាន និងហានិភ័យសំខាន់ៗចំនួនបី។ - ឯកសារយោង: [Next.js Security Update for Upstream Vulnerabilities](https://nextjs.org/blog/nextjs-security-update-october-14-2026) ### ឯកសារយោង: S9 — Next.js：typed arrays / use cache RCE - គោលបំណង៖ GHSA-673q-mjm6-r5xr; ប៉ះពាល់ដល់ចន្លោះពេល លក្ខខណ្ឌ ពិន្ទុ និងស្ថានភាពការងារ។ - ឯកសារយោង: [Next.js Official Security Bulletin](https://github.com/vercel/next.js/security/advisories/GHSA-673q-mjm6-r5xr) ### ឯកសារយោង: S10 — React：React Server Components RCE - គោលបំណង៖ GHSA-xqc2-xf4c-x3h3; កំណែដែលរងផលប៉ះពាល់ និងជួសជុលនៃកញ្ចប់ RSC ចំនួនបី។ - ឯកសារយោង: [React Official Security Bulletin](https://github.com/react/react/security/advisories/GHSA-xqc2-xf4c-x3h3) ### ឯកសារយោង: S11 — Next.js：SVG Image Optimization RCE - គោលបំណង៖ CVE-2026-96889 / GHSA-2464-fhr4-w9xw; glibc, ស្រួច និង ព្រំដែនកំណែដើម។ - ឯកសារយោង: [SVG Image Optimization Official Security Bulletin](https://github.com/vercel/next.js/security/advisories/GHSA-2464-fhr4-w9xw) ### ឯកសារយោង: S12 — Next.js：Server Actions DoS - គោលបំណង៖ GHSA-p3m5-59mp-jv5r; ប៉ះពាល់ដល់លក្ខខណ្ឌ កំណែ និងការវាយតម្លៃ។ - ឯកសារយោង: [Server Actions DoS Official Security Bulletin](https://github.com/vercel/next.js/security/advisories/GHSA-p3m5-59mp-jv5r) ### S13 — Next.js: AVIF បង្កើនប្រសិទ្ធភាពរូបភាព RCE - គោលបំណង៖ 2026-08-25, GHSA-2xp9-vwfh-vxw4 ។ - ឯកសារយោង: [AVIF Official Security Bulletin](https://github.com/vercel/next.js/security/advisories/GHSA-2xp9-vwfh-vxw4) ### ឯកសារយោង: S14 — Next.js：Windows RCE - គោលបំណង៖ 2026-08-25, CVE-2026-75604/GHSA-p293-qw3h-jr36 ។ - ឯកសារយោង: [Windows RCE Official Security Bulletin](https://github.com/vercel/next.js/security/advisories/GHSA-p293-qw3h-jr36) ### ឯកសារយោង: S15 — Next.js：next/og ImageResponse RCE - គោលបំណង៖ 2026-09-22, GHSA-vcvr-r3jv-pc5j; ភាពខុសគ្នារវាង Node និង Edge ។ - ឯកសារយោង: [ImageResponse Official Security Bulletin](https://github.com/vercel/next.js/security/advisories/GHSA-vcvr-r3jv-pc5j) - ឯកសារយោង: [September 22 release notes](https://nextjs.org/blog/nextjs-security-update-september-22-2026) ### ឯកសារយោង: S16 — Oracle: October 2026 CPU - គោលបំណង៖ ម៉ាទ្រីសហានិភ័យ Java SE បរិមាណបំណះ និងលក្ខខណ្ឌដែលអាចអនុវត្តបាន។ - ឯកសារយោង: [Oracle Critical Patch Update – October 2026](https://www.oracle.com/security-alerts/cpuoct2026.html) - ឯកសារយោង: [Oracle Java SE CPU Version list](https://docs.oracle.com/en-us/iaas/releasenotes/java-management/jdk-cpu-october-2026.htm) ### S17 — Oracle: CVE-2026-91403 ការជូនដំណឹងក្រៅក្រុម - គោលបំណង៖ 2026-10-21, ហានិភ័យនៃការជឿទុកចិត្តវិញ្ញាបនបត្រ JSSE ផលិតផលដែលរងផលប៉ះពាល់ និង CVSS 3.1 9.1 ។ - ឯកសារយោង: [Oracle Security Alert](https://www.oracle.com/security-alerts/alert-cve-2026-91403.html) ### S18 — Oracle: JDK កំណែផ្លូវការ និងទាញយក - គោលបំណង៖ បែងចែករវាង CPU នៅថ្ងៃទី 20 ខែតុលា និងកំណែក្រៅក្រុមនៅថ្ងៃទី 21 ខែតុលា។ បែងចែកដែនកំណត់នៃកំណែខ្លីនៃ Java 8 ។ - ឯកសារយោង: [JDK release list](https://ops.java/releases/) - ឯកសារយោង: [Oracle Java Download page](https://www.oracle.com/java/technologies/downloads/) ### S19 — Oracle: eMudhra ផែនការដកប្រាក់បណ្តោះអាសន្ន - គោលបំណង៖ បានធ្វើបច្ចុប្បន្នភាព 2026-10-22; វិញ្ញាបនបត្រឫសគល់ពីរ ឧបករណ៍គន្លឹះ ឃ្លាំងទុកចិត្តផ្ទាល់ខ្លួន និងការត្រួតពិនិត្យការដកហូត។ - ឯកសារយោង: [Distrusting eMudhra Intermediate Certificates in Oracle JDK](https://ops.java/emudhra) ### S20 — Eclipse Adoptium៖ បញ្ចេញ​កំណត់ត្រា​បង្កើត - គោលបំណង៖ Temurin ត្រូវបានវេចខ្ចប់ឡើងវិញដោយសារតែឧប្បត្តិហេតុវិញ្ញាបនបត្រ។ បច្ច័យកំណែ Oracle មិនអាចអនុវត្តដោយមេកានិកបានទេ។ - ឯកសារយោង: [Adoptium Release Scorecards](https://github.com/adoptium/adoptium/wiki/Adoptium-Release-Scorecards) ### S21 — ការជូនដំណឹងអំពីសុវត្ថិភាព Apache Tomcat 9 - គោលបំណង៖ ចន្លោះពេលប៉ះពាល់ពិតប្រាកដ 9 សាខាជាមួយនឹងការជួសជុល 9.0.123 ។ - ឯកសារយោង: [Tomcat 9 vulnerabilities](https://tomcat.apache.org/security-9.html) ### S22 — ការជូនដំណឹងអំពីសុវត្ថិភាព Apache Tomcat 10 - គោលបំណង៖ សាខា 10.1 ចន្លោះពេលច្បាស់លាស់ និងជួសជុល 10.1.61; 10.0 EOL ។ - ឯកសារយោង: [Tomcat 10 vulnerabilities](https://tomcat.apache.org/security-10.html) ### S23 — ការជូនដំណឹងអំពីសុវត្ថិភាព Apache Tomcat 11 - គោលបំណង៖ ធាតុបី Important, 11.0.27, AJP វិសាលភាពដែលអាចអនុវត្តបាន និងកាលបរិច្ឆេទបង្ហាញ/ចេញផ្សាយ។ - ឯកសារយោង: [Tomcat 11 vulnerabilities](https://tomcat.apache.org/security-11.html) ### S24 — Apache Tomcat៖ JNDIRealm patch commit - គោលបំណង៖ មូលដ្ឋានផ្លូវការសម្រាប់ជួសជុលចន្លោះប្រហោងផ្ទៀងផ្ទាត់វិញ្ញាបនប័ត្រ។ - ឯកសារយោង: [JNDIRealm Patch commit](https://github.com/apache/tomcat/commit/e43453fc04abb44f64faf571ca98af71aa3c20a1) ### ឯកសារយោង: S25 — Spring：GraphQL CVE-2026-59285 - គោលបំណង៖ 2026-08-20, ទាមទារ, 2.0.5 OSS / 2.0.4.1 ការជួសជុលពាណិជ្ជកម្ម។ - ឯកសារយោង: [Spring for GraphQL Unsafe Deserialization](https://spring.io/security/cve-2026-59285/) ### ឯកសារយោង: S26 — Spring：GraphQL CVE-2026-41699 - គោលបំណង៖ កម្រិតនៃការជួសជុលមុននេះ គឺដើម្បីពន្យល់ពីមូលហេតុដែលអ្នកមិនអាចស្ថិតនៅលើបន្ទាត់គោលចាស់។ - ឯកសារយោង: [6 Month GraphQL Security Bulletin](https://spring.io/security/cve-2026-41699/) ### ឯកសារយោង: S27 — Spring Security：CVE-2026-59270 - គោលបំណង៖ បង្កប់ UnboundID LDAP អត្តសញ្ញាណគ្រប់គ្រងដែលគេស្គាល់ និងបែងចែក OSS/កំណែពាណិជ្ជកម្ម។ - ឯកសារយោង: [Spring embedded LDAP Security Bulletin](https://spring.io/security/cve-2026-59270/) ### ឯកសារយោង: S28 — Spring Security：CVE-2026-47841 - គោលបំណង៖ ការផ្ទៀងផ្ទាត់អ្នកប្រើប្រាស់ WebAuthn សៀរៀលវគ្គ និងបរិវេណការវាយប្រហារ។ - ឯកសារយោង: [WebAuthn Security Bulletin](https://spring.io/security/cve-2026-47841/) ### S29 — PSF: CVE-2026-19445 ទីប្រឹក្សាសន្តិសុខឯករាជ្យ - គោលបំណង៖ 2026-09-30, Critical, SNI លក្ខខណ្ឌ និងវិធានការបណ្តោះអាសន្ន ដកស្រង់ដោយ SSLContext ។ - ឯកសារយោង: [SSLContext UAF Official announcement](https://mail.python.org/archives/list/security-announce@python.org/thread/QMQIUQB6WGGC3MI7I3WKQXOYOBDSPPS3/) ### S30 — PSF: CVE-2026-19553 ទីប្រឹក្សាសន្តិសុខឯករាជ្យ - គោលបំណង៖ 2026-09-30, High, បាត់ឈ្មោះម៉ាស៊ីន និងការកាត់បន្ថយប៉ារ៉ាម៉ែត្រច្បាស់លាស់។ - ឯកសារយោង: [wrap\_bio Official announcement of hostname verification](https://mail.python.org/archives/list/security-announce@python.org/thread/QNZRG3YOAMTHDCMVCICXGY6YEFPY2VDL/) ### S31 — CPython៖ wrap\_bio បំណះផ្លូវការ និង 3.12 backport - គោលបំណង៖ 3.10—3.12 គោលការណ៍ភាពឆបគ្នានៃការព្រមាន ភាពខុសគ្នារវាង None និងខ្សែអក្សរទទេ។ - ឯកសារយោង: [Main Patch PR #158503](https://github.com/python/cpython/pull/158503) - ឯកសារយោង: [3.12 Backfill PR #158513](https://github.com/python/cpython/pull/158513) - ឯកសារយោង: [3.15 Backfill PR #158511](https://github.com/python/cpython/pull/158511) ### S32 — PSF: CVE-2026-82049 ទីប្រឹក្សាសន្តិសុខឯករាជ្យ - គោលបំណង៖ 2026-09-14, High, ការរួមបញ្ចូលគ្នានៃតំណភ្ជាប់, ការកែប្រែទិន្នន័យមេតា និងការបង្ហាញខ្លឹមសារ។ - ឯកសារយោង: [tarfile link bypasses the official announcement](https://mail.python.org/archives/list/security-announce@python.org/thread/EFJWGAZJA56AKSBR2WHMHQZO7RRLZPRH/) ### S33 — CPython៖ ការចេញផ្សាយសុវត្ថិភាពជាផ្លូវការនៅចុងខែកញ្ញា/ដើមខែតុលា - គោលបំណង៖ កំណែជួសជុលអប្បបរមា វិធីសាស្ត្រចែកចាយកូដប្រភព និងការលើកលែង 3.14 សម្រាប់បញ្ហាជាក់លាក់ tarfile ។ - ឯកសារយោង: [Python Cross-branch security release instructions](https://blog.python.org/2026/10/python-31022-31117/) - ឯកសារយោង: [Python 3.11.17](https://www.python.org/downloads/release/python-31117/) - ឯកសារយោង: [Python 3.12.15](https://www.python.org/downloads/release/python-31215/) - ឯកសារយោង: [Python 3.13.16](https://www.python.org/downloads/release/python-31316/) - ឯកសារយោង: [Python 3.14.8](https://www.python.org/downloads/release/python-3148/) ### S34 — CPython: 3.10 ការចេញផ្សាយសុវត្ថិភាពចុងក្រោយ - គោលបំណង៖ 3.10.22 និងចុងបញ្ចប់នៃវដ្តជីវិតខាងលើ។ - ឯកសារយោង: [Python 3.10.22](https://www.python.org/downloads/release/python-31022/) ### S35 — CPython: កំណែថែទាំសង្គ្រោះបន្ទាន់ 2026-10-21 - គោលបំណង៖ 3.13.17 / 3.14.9 / 3.15.1 ដែលមានស្រាប់នៅក្នុង pip និង certifi តម្រូវការ venv ដែលមានស្រាប់។ - ឯកសារយោង: [Python 3.13.17](https://www.python.org/downloads/release/python-31317/) - ឯកសារយោង: [Python 3.14.9](https://www.python.org/downloads/release/python-3149/) - ឯកសារយោង: [Python 3.15.1](https://www.python.org/downloads/release/python-3151/) ### S36 — certifi៖ សេចក្តីប្រកាសមិនទុកចិត្តវិញ្ញាបនបត្រ emSign - គោលបំណង៖ 2026-10-20, GHSA-6q48-6c7w-9gw2, Critical, មិនស្គាល់ CVE ។ - ឯកសារយោង: [certifi Official Security Bulletin](https://github.com/certifi/python-certifi/security/advisories/GHSA-6q48-6c7w-9gw2) ### S37 — PSF៖ ផលប៉ះពាល់នៃ eMudhra / emSign លើអ្នកប្រើប្រាស់ Python - គោលបំណង៖ ការណែនាំ certifi .19, បន្ទាត់មូលដ្ឋាន pip/uv, ពាក្យបញ្ជាដំឡើងជំនាន់ដែលអាចទុកចិត្តបានជាមួយ SHA-256 ។ - ឯកសារយោង: [PSF Official event and upgrade instructions](https://discuss.python.org/t/information-for-python-users-regarding-emudhra-emsign-ca-certificate-security-incident/109576) ពាក្យ​បញ្ជា​ដំឡើង​កំណែ​ចាប់ផ្ដើម pip ដែល​ផ្ដល់​ដោយ​សេចក្ដី​ណែនាំ​ផ្លូវ​ការ​ដែល​បាន​លើក​ឡើង​ដោយ S37 មាន​ដូច​ខាង​ក្រោម។ ប្រើតែនៅក្នុងបរិស្ថាន Python ដែលត្រូវបានបញ្ជាក់ថាគួរឱ្យទុកចិត្ត។ ប្រសិនបើមានការសង្ស័យថាមានការពុលនៅក្នុងផ្នែកទី 9 សូមដាក់ឱ្យនៅដាច់ដោយឡែកជាមុនសិនហើយបង្កើតឡើងវិញតាមដំណើរការនៃឧប្បត្តិហេតុ។ វាជួសជុល hash មាតិកាកង់ ហើយធ្វើបច្ចុប្បន្នភាពជាបន្តបន្ទាប់នូវភាពអាស្រ័យផ្សេងទៀត យោងទៅតាមដំណើរការគម្រោង។ ```bash python -m pip install "pip @ https://files.pythonhosted.org/packages/3f/06/3e4420302363fbb71be3c7f35ce042f54bfca330e3e66b3a2e3c4cca579f/pip-26.2.2-py3-none-any.whl#sha256=fd7f4dfa8190e014013b9f08f3e973f4e4c26ffd179a204895533a7254813a70" ``` ### S38 — Django: 2026-08-04 ការចេញផ្សាយដោយសុវត្ថិភាព - ការប្រើប្រាស់៖ CVE-2026-15307, GeoDjango លក្ខខណ្ឌកេងប្រវ័ញ្ច ការជួសជុលដំបូង និងការផ្លាស់ប្តូរភាពត្រូវគ្នា។ - ឯកសារយោង: [Django 6.0.8 / 5.2.17](https://www.djangoproject.com/weblog/2026/aug/04/security-releases/) ### S39 — Django: 2026-10-06 ការចេញផ្សាយដោយសុវត្ថិភាព - គោលបំណង៖ CVE-2026-87890 ធរណីមាត្រ DoS ការពង្រឹងជាបន្តបន្ទាប់ជាមួយនឹងបន្ទាត់មូលដ្ឋានដែលបានជ្រើសរើសបច្ចុប្បន្ន។ - ឯកសារយោង: [Django 6.1.2 / 6.0.9 / 5.2.18](https://www.djangoproject.com/weblog/2026/oct/06/security-releases/) ### S40 — PSF / CPython៖ ចំណាំចំហៀង tar\_filter ចុងក្រោយបង្អស់ - គោលបំណង៖ 2026-10-22, CVE-2026-114583 (Medium); ការរួមបញ្ចូលគ្នា PR មិនមានន័យថាកំណែថែទាំផ្លូវការត្រូវបានចេញផ្សាយទេ។ - ឯកសារយោង: [PSF Independent Announcement](https://mail.python.org/archives/list/security-announce@python.org/thread/43JOWPRAV5DI3VZ4FUEUAZOHCATXXOCK/) - ឯកសារយោង: [CPython Patch PR #160098](https://github.com/python/cpython/pull/160098) ### S41 — LiteLLM៖ របាយការណ៍ឧប្បត្តិហេតុខ្សែសង្វាក់ផ្គត់ផ្គង់ផ្លូវការ ថ្ងៃទី 21 ខែតុលា - គោលបំណង៖ ផលិតផលកខ្វក់ 1.107.0 ការសង្ខេបជាប្រវត្តិសាស្ត្រ ការបង្កើតឡើងវិញដោយឯកោ និងការបោះចោលព័ត៌មានសម្ងាត់។ - ឯកសារយោង: [Contained: LiteLLM v1.107.0 Compromised](https://docs.litellm.ai/blog/security-incident-oct-21-2026) ### S42 — Google Brotli៖ កំណែសុវត្ថិភាពផ្លូវការ - គោលបំណង៖ ឯករាជ្យ Brotli 1.0.10 / 1.1.1 / 1.2.1 និងមូលដ្ឋានផ្ទៀងផ្ទាត់ច្បាប់ចម្លងដែលបានបង្កប់ឆ្លងភាសា។ - ឯកសារយោង: [Brotli releases](https://github.com/google/brotli/releases) ### S43 — mise៖ ប្រើពាក្យបញ្ជាឯកសារផ្លូវការ - គោលបំណង៖ បញ្ជាក់កំណែឧបករណ៍ និងពាក្យបញ្ជាអត្ថន័យនៃការកំណត់រចនាសម្ព័ន្ធសកល។ - ឯកសារយោង: [mise use](https://mise.jdx.dev/cli/use.html) ### S44 — PyPA: pip-គម្រោងផ្លូវការសវនកម្ម - គោលបំណង៖ Python ព្រំដែនគោលបំណង និងសមត្ថភាពនៃការត្រួតពិនិត្យភាពងាយរងគ្រោះដោយភាពអាស្រ័យ។ - ឯកសារយោង: [pip-audit](https://github.com/pypa/pip-audit) ### S45 — Python៖ ឯកសារតម្រងការស្រង់ចេញ tarfile - គោលបំណង៖ យុទ្ធសាស្ត្រទិន្នន័យ ការផ្លាស់ប្តូរឥរិយាបថលំនាំដើម និងការរឹតបន្តឹងដែលមិនអាចជំនួសប្រអប់ខ្សាច់បានទេ។ - ឯកសារយោង: [tarfile extraction filters](https://docs.python.org/3/library/tarfile.html#extraction-filters) ### S46 — Node.js៖ យន្តការបដិសេធ CA កម្រិតមធ្យម - គោលបំណង៖ ដំណើរការខ្សែសង្វាក់ការជឿទុកចិត្តដែលទាក់ទងនឹង eMudhra នេះមិនស្មើនឹងការធ្វើឱ្យកូដកម្មមិនត្រឹមត្រូវនៃវិញ្ញាបនបត្រឫសគល់ទាំងអស់។ - ឯកសារយោង: [Node.js PR #66871](https://github.com/nodejs/node/pull/66871) ### S47 — CPython៖ SNI UAF កំណត់ចំណាំ និងជួសជុលបច្ចេកទេស - គោលបំណង៖ វដ្តជីវិតយោង លក្ខខណ្ឌសាងសង់ពិសេស និងការតាមដានសាខា។ - ឯកសារយោង: [official issue #156293](https://github.com/python/cpython/issues/156293) - ឯកសារយោង: [official patch PR #158504](https://github.com/python/cpython/pull/158504) - ឯកសារយោង: [3.15 Backfill PR #158514](https://github.com/python/cpython/pull/158514) ## ការប្រឹក្សាថែទាំសុវត្ថិភាព មិនប្រាកដថាការផ្លាស់ប្តូរការជឿទុកចិត្តលើវិញ្ញាបនបត្រប៉ះពាល់ដល់ប្រព័ន្ធរបស់អ្នកយ៉ាងដូចម្តេច? យើងអាចជួយវាយតម្លៃអតិថិជនដែលរងផលប៉ះពាល់ និងរៀបចំផែនការធ្វើបច្ចុប្បន្នភាពសុវត្ថិភាព។ [ពិភាក្សាអំពីបច្ចុប្បន្នភាពសុវត្ថិភាព]() [ទំព័រដើម]() · [សន្ទស្សន៍មាតិកា]() KeenDigit LLC · លេខសម្គាល់ឯកសារ Wyoming: 2026-002106155 [ផ្ទៀងផ្ទាត់ជាមួយរដ្ឋលេខាធិការ Wyoming]() © 2026 KeenDigit LLC · Sheridan, Wyoming, សហរដ្ឋអាមេរិក · រក្សាសិទ្ធិគ្រប់យ៉ាង។