Node.js, Java, Python: സമീപകാല കേടുപാടുകളും പരിഹാര മാർഗ്ഗനിർദ്ദേശവും

2026 ഒക്ടോബർ 23 വരെ പരിശോധിച്ച ഉറവിടങ്ങൾ (UTC) കവറേജ് കാലയളവ്: ജൂലൈ 25-ഒക്ടോബർ 23, 2026, സെപ്റ്റംബർ മുതൽ ഒക്ടോബർ വരെയുള്ള പുതിയ അറിയിപ്പുകളിലും തുടർന്നുള്ള പാച്ചുകളിലും ശ്രദ്ധ കേന്ദ്രീകരിക്കുന്നു. പ്രേക്ഷകർ: Node.js, Java, Python സേവനങ്ങൾ, കണ്ടെയ്‌നറുകൾ, പൈപ്പ് ലൈനുകളും വികസന പരിതസ്ഥിതികളും പരിപാലിക്കുന്ന എഞ്ചിനീയർമാരും സുരക്ഷാ പ്രതികരണങ്ങളും.

ഈ ലേഖനം Node.js, Java, Python റൺടൈമുകൾ, സ്റ്റാൻഡേർഡ് ലൈബ്രറികൾ, സാധാരണ സെർവർ ചട്ടക്കൂടുകളും ഡിപൻഡൻസികളും എന്നിവയിലെ സമീപകാല സുരക്ഷാ അപകടങ്ങളെ സംഗ്രഹിക്കുന്നു, കൂടാതെ ഇംപാക്റ്റ് സ്കോപ്പ്, നിശ്ചിത പതിപ്പുകൾ, താൽക്കാലിക ലഘൂകരണ നടപടികൾ, പാച്ച് തിരഞ്ഞെടുക്കൽ, സ്ഥിരീകരണ രീതികൾ എന്നിവ നൽകുന്നു.

ഘടക പതിപ്പുകൾ, പ്രവർത്തനക്ഷമമാക്കിയ സവിശേഷതകൾ, ആക്‌സസ് ചെയ്യാവുന്ന എൻട്രി പോയിൻ്റുകൾ എന്നിവയ്‌ക്കെതിരായ സ്വാധീനം വിലയിരുത്തുക. ദുർബലതാ വസ്തുതകൾ ഔദ്യോഗിക ഉപദേശങ്ങളിൽ നിന്നാണ് വരുന്നത്; നേരത്തെയുള്ള പാച്ച് റിലീസ് വ്യക്തമായി രേഖപ്പെടുത്തിയിട്ടില്ലെങ്കിൽ തീയതികൾ പൊതു വെളിപ്പെടുത്തലിനെ സൂചിപ്പിക്കുന്നു. സ്ഥിരീകരിക്കാത്ത ചൂഷണ വ്യവസ്ഥകളോ CVSS സ്കോറുകളോ കാട്ടിലെ ചൂഷണമോ ഞങ്ങൾ അനുമാനിക്കുന്നില്ല. വിന്യാസ ഉപദേശം നടപ്പിലാക്കുന്നതിനുള്ള മാർഗ്ഗനിർദ്ദേശമായി തിരിച്ചറിയുന്നു.

TL;DR: പരിഹാര മുൻഗണനകൾ

ആദ്യം സേവനം യഥാർത്ഥത്തിൽ ഹോസ്റ്റ് ചെയ്യുന്ന റൺടൈം അപ്ഡേറ്റ് ചെയ്യുക. അനുബന്ധം അപ്ഡേറ്റ് ചെയ്യുക Node.js കുറഞ്ഞത് ശാഖ 22.23.4 / 24.22.1 / 26.12.1 . ഉപയോഗിക്കുന്ന സേവനങ്ങൾ Node 24 വരെ അപ്ഗ്രേഡ് ചെയ്യാം 24.22.1 അതേ പ്രധാന പതിപ്പിലോ പിന്നീടുള്ള പതിപ്പിലോ അതിൽ സമാന പരിഹാരങ്ങൾ അടങ്ങിയിരിക്കുന്നു. S1 S2
അപ്ഡേറ്റ് Node ആപ്ലിക്കേഷൻ ഡിപൻഡൻസികൾ പ്രത്യേകം. വേണ്ടി Next.js , ഉപയോഗിക്കുക 15.5.28 / 16.4.1 നവീകരണ അടിസ്ഥാനമായി; ഉപയോഗിക്കുമ്പോൾ React Server Components സ്വതന്ത്രമായി, യഥാർത്ഥ ഇൻസ്റ്റാൾ പരിശോധിക്കുക react-server-dom-* പാക്കേജ്. മാത്രം അപ്ഡേറ്റ് ചെയ്യുന്നു Node ഈ ചട്ടക്കൂടിലെ കേടുപാടുകൾ ബൈനറി ഉൾക്കൊള്ളുന്നില്ല. S8 S9 S10 S11 S12
Java : അപ്ഡേറ്റുകളുടെ രണ്ട് റൗണ്ടുകളും കവർ ചെയ്യുക. ഒക്ടോബർ 20 രണ്ടും ഉൾക്കൊള്ളുന്ന ഒരു വെണ്ടർ ബിൽഡ് ഇൻസ്റ്റാൾ ചെയ്യുക CPU കൂടാതെ ഒക്ടോബർ 21 CVE-2026-91403 എമർജൻസി സർട്ടിഫിക്കറ്റ്-ട്രസ്റ്റ് ഫിക്സ്. വിഭാഗം കാണുക 2.2 വേണ്ടി Oracle JDK 11 -27 ഔട്ട്-ഓഫ്-ബാൻഡ് പതിപ്പുകൾ; സ്വന്തം സുരക്ഷാ പാക്കേജുകൾക്കും പൂർണ്ണ ബിൽഡ് നമ്പറുകൾക്കുമെതിരെ മറ്റ് വിതരണങ്ങൾ പരിശോധിക്കുക. അനുബന്ധം അപ്ഡേറ്റ് ചെയ്യുക Tomcat ശാഖയിലേക്ക് 9.0.123 / 10.1.61 / 11.0.27 . S16 S17 S18 S20 S21 S22 S23
Python : ഇൻ്റർപ്രെറ്റർ, ആപ്ലിക്കേഷൻ പാക്കേജുകൾ, സർട്ടിഫിക്കറ്റ് പാക്കേജുകൾ എന്നിവ പ്രത്യേകം അപ്ഡേറ്റ് ചെയ്യുക. വിഭാഗം കാണുക 2.3 ഇൻ്റർപ്രെറ്റർ അടിസ്ഥാനരേഖകൾക്കായി; certifi ശുപാർശ ചെയ്യുന്നു ≥ 2026.10.19 , pip ≥ 26.2.2 , ഉപയോഗിക്കുമ്പോൾ uv ≥ 0.13.4 . നിലവിലുള്ള എല്ലാ വെൻവിയും പരിശോധിക്കേണ്ടതുണ്ട്. വേണ്ടി wrap_bio() ബന്ധപ്പെട്ട കോഡുകൾ, ശരിയും ശൂന്യവുമല്ല server_hostname കൂടി കടന്നുപോകണം. S29 S30 S31 S33 S35 S36 S37
പെട്ടെന്നുള്ള നവീകരണം അസാധ്യമാണെങ്കിൽ, പ്രസക്തമായ എൻട്രി പോയിൻ്റുകളിൽ എക്സ്പോഷർ കുറയ്ക്കുക. വിശ്വാസയോഗ്യമല്ലാത്തത് നിർത്തുന്നതിന് മുൻഗണന നൽകുക Brotli ഡീകോഡിംഗ്, ബാധിച്ച ഇമേജ്/പേജിംഗ്/ആർക്കൈവിംഗ് പ്രോസസ്സിംഗ്, ഐസൊലേഷൻ പ്രശ്നം LDAP അല്ലെങ്കിൽ പ്രാമാണീകരണ എൻട്രികൾ; സൂക്ഷിക്കുന്നു TLS സർട്ടിഫിക്കറ്റുകളും ഹോസ്റ്റ്നാമങ്ങളും പരിശോധിച്ചു. ഇൻബൗണ്ട് WAF ക്ഷുദ്രകരമായ കംപ്രസ് ചെയ്ത പ്രതികരണങ്ങൾ വലിച്ചെടുക്കുന്ന ആപ്ലിക്കേഷനുകൾ പോലെയുള്ള ഔട്ട്ബൗണ്ട് പാതകൾ മറയ്ക്കാൻ കഴിയില്ല. S3 S11 S25 S27 S30 S32
പുനർനിർമ്മിക്കുക, പഴയ പ്രോസസ്സുകൾ മാറ്റിസ്ഥാപിക്കുക, യഥാർത്ഥ സേവന പാതകളിലൂടെ സ്ഥിരീകരിക്കുക. ലോക്ക് ഫയലും ഇമേജ് ഡൈജസ്റ്റും സംരക്ഷിക്കുക, ആപ്ലിക്കേഷനും ചിത്രവും പുനർനിർമ്മിക്കുക, എല്ലാ തൊഴിലാളികൾക്കും/JVM/കണ്ടെയ്‌നറുകൾക്ക് പകരമുള്ളവ പുറത്തിറക്കുക; യഥാർത്ഥ പ്രക്രിയ, ഡിപൻഡൻസി ട്രീ, ട്രസ്റ്റ് സ്റ്റോർ, ബിസിനസ് റിഗ്രഷൻ ടെസ്റ്റുകൾ എന്നിവ പരിശോധിക്കുക. ഒരു പുതിയ കമാൻഡ്-ലൈൻ പതിപ്പ് മാത്രം പ്രതിവിധി പൂർത്തിയായി എന്ന് സ്ഥാപിക്കുന്നില്ല.
LiteLLM 1.107.0 ഇൻസ്‌റ്റാൾ ചെയ്യുകയോ പ്രവർത്തിപ്പിക്കുകയോ ചെയ്‌താൽ, സംഭവ-പ്രതികരണ നടപടിക്രമങ്ങൾ പാലിക്കുക. ഒക്ടോബർ 21-ന് റിലീസ് ഒത്തുതീർപ്പ് പ്രോജക്റ്റ് സ്ഥിരീകരിച്ചു. ബാധിതമായ ചുറ്റുപാടുകളെ ഒറ്റപ്പെടുത്തുക, വൃത്തിയുള്ള അന്തരീക്ഷത്തിൽ നിന്ന് അന്വേഷിക്കുക, തുറന്നുകാട്ടപ്പെട്ട ക്രെഡൻഷ്യലുകൾ പുനർനിർമ്മിക്കുക, തിരിക്കുക. ആദ്യം പരിശോധിക്കുന്നതിനായി Python/pip സംശയാസ്പദമായ അന്തരീക്ഷത്തിൽ ആരംഭിക്കരുത്. വിശദാംശങ്ങൾക്ക് സെക്ഷൻ 9 കാണുക. S41

1. ദുർബലത അവലോകനവും അപകടസാധ്യത വിലയിരുത്തലും

1.1 യഥാർത്ഥ എക്സ്പോഷർ വഴി പരിഹാരത്തിന് മുൻഗണന നൽകുക

താഴെയുള്ള വിന്യാസ മുൻഗണനകൾ നടപ്പിലാക്കൽ മാർഗ്ഗനിർദ്ദേശമാണ്. Apache-ൻ്റെ Important റേറ്റിംഗ് ഉൾപ്പെടെ, തീവ്രത ലേബലുകൾ ഓരോ വെണ്ടറെയും പിന്തുടരുന്നു. CVSS 3.1, 4.0 എന്നിവ വ്യത്യസ്ത സ്‌കോറിംഗ് സിസ്റ്റങ്ങളാണ്; അവയിലുടനീളമുള്ള പ്രശ്‌നങ്ങളെ സ്‌കോർ ഉപയോഗിച്ച് മാത്രം റാങ്ക് ചെയ്യരുത്.

ആവാസവ്യവസ്ഥ / പാളി	പ്രധാന പ്രശ്നങ്ങൾ	ഔദ്യോഗിക ഗ്രേഡ് അല്ലെങ്കിൽ പരിശോധിച്ച സ്കോർ	മുൻഗണനാ വിന്യാസം
Node.js നേറ്റീവ് ഡിപൻഡൻസി	CVE-2026-111497: Brotli പരിധിക്ക് പുറത്താണ് എഴുതിയിരിക്കുന്നത്, കൂടാതെ RCE എന്ന അപകടസാധ്യതയുണ്ട്	Node：High	ബാഹ്യ അഭ്യർത്ഥന ബോഡിയിലോ ബാഹ്യ പ്രതികരണത്തിലോ Brotli ഡാറ്റ S1 S3 ഡീകോഡ് ചെയ്യുക
Node.js TLS / DNS	CVE-2026-105482, 105483, 106069: പാഴ്‌സിംഗും ഐഡൻ്റിറ്റി പരിശോധനയും പൊരുത്തമില്ലാത്തതാണ്	High	URL ക്രാൾ, പ്രോക്സി, Webhook, ഡൈനാമിക് ടാർഗെറ്റ് വിലാസം S1 S5 S6
Node.js HTTP/2	CVE-2026-56846, 56848: മെമ്മറി തീർന്നു, UAF	High	Node നേരിട്ട് വിശ്വസനീയമല്ലാത്ത HTTP/2 ട്രാഫിക് S7 കൈകാര്യം ചെയ്യുന്നു
React / Next.js	RSC / `use cache` typed arrays RCE	Critical；CVSS 4.0 9.5	സെർവർ RSC, ബന്ധപ്പെട്ട കാഷെ ഘടകങ്ങളും ഡാറ്റ പാത്തും S9 S10
Next.js ഇമേജ് ഒപ്റ്റിമൈസേഷൻ	CVE-2026-96889: SVG ഇമേജ് പ്രോസസ്സിംഗ് RCE	Critical；CVSS 4.0 9.5	വിശ്വസനീയമല്ലാത്ത ചിത്രങ്ങൾ കൈകാര്യം ചെയ്യാൻ കഴിയുന്ന glibc Linux-ലെ സംഭവങ്ങൾ S11
Next.js Server Actions	പ്രത്യേകം തയ്യാറാക്കിയ അഭ്യർത്ഥന CPU തീർന്നുപോകാൻ കാരണമാകുന്നു	High；CVSS 4.0 8.2	App Router കൂടാതെ ഒരു Server Action S12 എങ്കിലും
Java TLS ട്രസ്റ്റ്	CVE-2026-91403: ബാധിച്ച ഇൻ്റർമീഡിയറ്റ് CA വിശ്വസിക്കുന്നത് തുടരുക	CVSS 3.1 9.1	TLS/API സാഹചര്യം S17 ബാധിച്ച ട്രസ്റ്റ് ചെയിൻ ഉപയോഗിക്കുന്നു
Tomcat	JNDIRealm പ്രാമാണീകരണ ബൈപാസ്, HTTP/2 ക്രോസ്-അഭ്യർത്ഥന മിക്സ്-അപ്പുകൾ, AJP പ്രതികരണ ചോർച്ച	Important	Realm / Connector / async Servlet പാത്ത് S21 S22 S23
Spring for GraphQL	CVE-2026-59285: പേജിംഗ് ഡീസിയലൈസേഷൻ RCE	High	Jackson 2 + Connection പേജിംഗ് + ചൂഷണം ചെയ്യാവുന്ന ക്ലാസ്പാത്ത് S25
Spring Security	CVE-2026-59270: ഉൾച്ചേർത്ത LDAP അറിയപ്പെടുന്ന മാനേജ്‌മെൻ്റ് ഐഡൻ്റിറ്റി വെളിപ്പെട്ടു	Critical	ഉൾച്ചേർത്ത LDAP പ്രവർത്തനക്ഷമമാക്കി, ആക്രമണകാരിക്ക് S27 ലിസണിംഗ് പോർട്ട് ആക്സസ് ചെയ്യാവുന്നതാണ്
CPython `ssl`	CVE-2026-19445: SNI സന്ദർഭ സ്വിച്ചിംഗ് ഫലങ്ങൾ UAF-ൽ	Critical	Python TLS സ്വയം അവസാനിപ്പിക്കുകയും സന്ദർഭ ജീവിത ചക്രം അവസ്ഥ S29 പാലിക്കുകയും ചെയ്യുന്നു
CPython `ssl`	CVE-2026-19553: ഹോസ്റ്റ്നാമം നഷ്‌ടപ്പെടുമ്പോൾ സ്ഥിരീകരണം ഒഴിവാക്കുക	High	`wrap_bio()` / ബന്ധപ്പെട്ട അസിൻസിയോ കോൾ നഷ്‌ടമായ പ്രതീക്ഷിക്കുന്ന ഹോസ്റ്റ് നാമം S30
CPython `tarfile`	CVE-2026-82049: ഹാർഡ് ലിങ്കും പ്രതീകാത്മക ലിങ്ക് കോമ്പിനേഷൻ ബൈപാസും	High	വിശ്വസനീയമല്ലാത്ത ടാർ ആർക്കൈവ് S32 സ്വയമേവ എക്‌സ്‌ട്രാക്‌റ്റ് ചെയ്യുക
Django / GeoDjango	CVE-2026-15307: സ്പേഷ്യൽ ക്വറി റൈറ്റ് ഫയൽ, SSRF, RCE വ്യവസ്ഥയിൽ	High	വിശ്വസനീയമല്ലാത്ത ഇൻപുട്ട് S38 സ്വീകരിക്കുന്ന സ്പേഷ്യൽ അന്വേഷണങ്ങൾ അല്ലെങ്കിൽ ബന്ധപ്പെട്ട അഡ്മിനിസ്ട്രേഷൻ ഇൻ്റർഫേസുകൾ
Python സർട്ടിഫിക്കറ്റ് ആശ്രിതത്വം	certifi: emSign അനുബന്ധ സർട്ടിഫിക്കറ്റ് അവിശ്വാസം	Critical; GHSA, ഒന്നും അറിയില്ല CVE	TLS ക്ലയൻ്റും പാക്കേജ് മാനേജ്മെൻ്റ് ടൂളും S36 S37 ഇപ്പോഴും ബാധിച്ച CA bundle ഉപയോഗിക്കുന്നു

ചുരുക്കെഴുത്തുകൾ: RCE എന്നത് റിമോട്ട് കോഡ് എക്‌സിക്യൂഷനെയും UAF എന്നത് ഉപയോഗത്തിന് ശേഷം സൗജന്യത്തെയും SSRF എന്നത് സെർവർ സൈഡ് അഭ്യർത്ഥന വ്യാജത്തെയും സൂചിപ്പിക്കുന്നു. RCE-ൻ്റെ നേരിട്ടുള്ള അനുമതികൾ സാധാരണയായി ആപ്ലിക്കേഷൻ ഹോസ്റ്റുചെയ്യുന്ന പ്രക്രിയയുടെ അനുമതികളാണ്, അവ സ്വയമേവ റൂട്ട് അനുമതികൾക്ക് തുല്യമാകാൻ കഴിയില്ല.

ശുപാർശ ചെയ്യുന്ന ക്രമം: ആദ്യം RCE കൈകാര്യം ചെയ്യുന്നു, ഇത് ബാഹ്യമായി എത്തിച്ചേരാവുന്നതും വ്യവസ്ഥകൾ, പ്രാമാണീകരണ ബൈപാസ്, ക്രോസ്-യൂസർ ഡാറ്റ ചോർച്ച, സർട്ടിഫിക്കറ്റ് ആധികാരികത പ്രശ്നങ്ങൾ എന്നിവ പാലിക്കുന്നു; അതേ സമയം, പൊതുജനങ്ങൾ അഭിമുഖീകരിക്കുന്ന DoS എൻട്രി പോയിൻ്റിനായി അപ്‌ഡേറ്റുകൾ ഷെഡ്യൂൾ ചെയ്യുക. ചൂഷണക്ഷമത തെളിയിക്കാൻ ഉൽപ്പാദനത്തിൽ ആക്രമണ പേലോഡുകൾ പ്രവർത്തിപ്പിക്കേണ്ടതില്ല. ആശ്രിതത്വങ്ങൾ നിലവിലുണ്ട്, കോഡ് പാതകൾ എത്തിച്ചേരാനാകും, ആക്രമണ സാഹചര്യങ്ങൾ പാലിക്കപ്പെടുന്നു. ഇവ മൂന്നും പ്രത്യേകം പരിശോധിക്കേണ്ട വിഷയങ്ങളാണ്.

1.2 മൂന്ന് എളുപ്പത്തിൽ ആശയക്കുഴപ്പത്തിലാക്കിയ അതിരുകൾ

റൺടൈമുകളും ഡിപൻഡൻസികളും പ്രത്യേകം നവീകരിക്കുക. എന്നതിനായുള്ള സുരക്ഷാ അപ്‌ഡേറ്റുകൾ Node , JDK , CPython യുടെ ഒറ്റപ്പെട്ട ഇൻസ്റ്റാളേഷനുകൾ യാന്ത്രികമായി നന്നാക്കില്ല Next.js , Spring , Django , certifi അല്ലെങ്കിൽ നേറ്റീവ് എക്സ്റ്റൻഷനുകൾ.
remediation ത്രെഷോൾഡ് നിലവിലെ വിന്യാസ ബേസ്‌ലൈനിൽ നിന്ന് വ്യത്യസ്തമാണ്. ഓഗസ്റ്റിലെ ഒരു അപകടസാധ്യതയ്ക്കുള്ള ആദ്യ പാച്ച് സെപ്റ്റംബർ മുതൽ ഒക്ടോബർ വരെയുള്ള പുതിയ പ്രശ്‌നങ്ങൾ കവർ ചെയ്യുമെന്ന് ഉറപ്പില്ല; സെക്ഷൻ 2 നടപ്പിലാക്കൽ ലക്ഷ്യമായി പരിശോധിച്ച തുടർന്നുള്ള അപ്‌ഡേറ്റുകൾ ഉപയോഗിക്കുന്നു.
ഒരു യഥാർത്ഥ വിതരണ ശൃംഖല വിട്ടുവീഴ്ചയിൽ നിന്ന് ഒരു അപകടസാധ്യത വേർതിരിക്കുക. പൊതുവായ കേടുപാടുകൾക്കായി, പാച്ചുകൾ ഭാവിയിലെ ആക്രമണ പാതകളെ ഇല്ലാതാക്കുന്നു; ക്ഷുദ്രകരമായ പാക്കേജുകൾ പ്രവർത്തിപ്പിക്കുമ്പോൾ, ക്രെഡൻഷ്യലുകളുടെയും സ്ഥിരതയുടെയും സ്വാധീനം അന്വേഷിക്കേണ്ടതുണ്ട്. വിഭാഗം 9-ൻ്റെ LiteLLM ഔദ്യോഗികമായി സ്ഥിരീകരിച്ച ഇവൻ്റാണ്. S41

കാട്ടിൽ സ്ഥിരീകരിക്കപ്പെട്ട ചൂഷണം ഉണ്ടോ എന്നത് ഔദ്യോഗിക വെളിപ്പെടുത്തലിൻ്റെ അടിസ്ഥാനത്തിലായിരിക്കണം. കച്ചവടക്കാരൻ ചൂഷണ പ്രവർത്തനങ്ങളെക്കുറിച്ച് പരാമർശിച്ചിട്ടില്ല, ആക്രമണമില്ലെന്ന് തെളിയിക്കാൻ കഴിയില്ല; യഥാർത്ഥ ആക്രമണ പ്രതലത്തെ അടിസ്ഥാനമാക്കി പ്രതിവിധി നടത്തണം.

2. സ്ഥിരമായ പതിപ്പിൻ്റെയും വിന്യാസ അടിസ്ഥാനത്തിൻ്റെയും ദ്രുത പരിശോധന

അവലംബം: 2.1 Node.js、React、Next.js

ഘടകം/ശാഖ	ശുപാർശ ചെയ്ത പതിപ്പ് അടിസ്ഥാനരേഖ	ഉപയോഗത്തിനുള്ള നിർദ്ദേശങ്ങൾ
Node.js 22.x	22.23.4	സെക്യൂരിറ്റി റിലീസ് S1 S2 ഒക്ടോബർ 21-ന്
Node.js 24.x	24.22.1	24.x ബ്രാഞ്ചിന് ബാധകമാണ്; 24.22.0-ൽ ഒക്ടോബർ 21-ലെ സുരക്ഷാ പാച്ച് S1 S2 അടങ്ങിയിട്ടില്ല
Node.js 26.x	26.12.1	അതേ ബാച്ചിലെ സുരക്ഷാ റിലീസ് S1 S2
Node.js 20 ഉം മുമ്പത്തെ അപ്‌സ്ട്രീം ശാഖകളും	പിന്തുണയ്ക്കുന്ന ഒരു ശാഖയിലേക്ക് മൈഗ്രേറ്റ് ചെയ്യുക	Node 20 ഈ അപ്‌സ്ട്രീം പരിഹരിക്കൽ അംഗീകരിക്കുന്നില്ല; വെണ്ടർ വിപുലീകൃത പിന്തുണ S3 പ്രത്യേകം പരിശോധിച്ചിരിക്കണം
Next.js 15.x	15.5.28	ഒക്ടോബർ 14 S8-ന് അപ്ഡേറ്റ് ചെയ്തു
Next.js 16.x	16.4.1	S8-ന് മുകളിലുള്ളത് പോലെ തന്നെ
സ്വതന്ത്ര RSC 19.0 / 19.1 / 19.2 / 19.3 ശാഖ	19.0.9 / 19.1.10 / 19.2.9 / 19.3.1	മൂന്ന് `react-server-dom-*` പാക്കേജുകൾ വെവ്വേറെ പരിശോധിക്കുക; മുകളിലെ പാളി `react` S10 നോക്കരുത്
Next യഥാർത്ഥത്തിൽ `sharp` ലോഡ് ചെയ്തു	≥0.35.5	SVG അപകടസാധ്യതയ്ക്കുള്ള ഔദ്യോഗിക താൽക്കാലിക പരിഹാര വ്യവസ്ഥകൾ; മറ്റ് Next.js പാച്ചുകൾ S11 മാറ്റിസ്ഥാപിക്കുന്നില്ല

Node ഒക്ടോബറിലെ കേടുപാടുകൾക്കായി ബാധിത മെയിൻ്റനൻസ് ബ്രാഞ്ചുകളെ ഔദ്യോഗികമായി ലിസ്റ്റ് ചെയ്യുന്നു, എന്നാൽ തുടക്കത്തിൽ അവതരിപ്പിച്ച പാച്ച് പതിപ്പ് ഇനം നൽകുന്നില്ല, അതിനാൽ മെയിൻ്റനൻസ് ബ്രാഞ്ച് ശ്രേണിയെ മാത്രം അടിസ്ഥാനമാക്കി ഓരോ അപകടസാധ്യതയുടെയും കൃത്യമായ ആരംഭ പതിപ്പ് നിർണ്ണയിക്കാൻ കഴിയില്ല. വിന്യസിക്കുമ്പോൾ, അതേ ബ്രാഞ്ചിൻ്റെ മുകളിലെ പതിപ്പ് അല്ലെങ്കിൽ അതേ പരിഹാരങ്ങൾ അടങ്ങിയതായി സ്ഥിരീകരിച്ച തുടർന്നുള്ള പതിപ്പ് ഉപയോഗിക്കുന്നതിന് മുൻഗണന നൽകുക.

2.2 Java: ഒക്ടോബർ CPU പ്ലസ് ഔട്ട്-ഓഫ്-ബാൻഡ് സർട്ടിഫിക്കറ്റ് അപ്ഡേറ്റ്

ഈ പട്ടിക Oracle JDK-ന് ബാധകമാണ്. രണ്ടാമത്തെ കോളം ഒക്ടോബർ 20 CPU മാത്രം ഉൾക്കൊള്ളുന്നു; മൂന്നാമത്തേതിൽ ഒക്ടോബർ 21-ന് പുറത്തുള്ള ബാൻഡ് റിലീസ് ഉൾപ്പെടുന്നു. CPU പതിപ്പുകൾ മാത്രം ഇവിടെ ചർച്ച ചെയ്ത എല്ലാ Java അപകടസാധ്യതകളും ഉൾക്കൊള്ളുന്നില്ല. S16 S17 S18

ശാഖ	ഒക്ടോബർ 20 CPU	Oracle ഒക്ടോബർ 21-ന് ബാൻഡിന് പുറത്ത് പുറത്തിറങ്ങി
11	11.0.33	11.0.33.0.2
17	17.0.21	17.0.21.0.2
21	21.0.13	21.0.13.0.2
25	25.0.5	25.0.5.0.2
27	27.0.1	27.0.1.0.2
8	8u511	പൊതു റിലീസ് പട്ടിക ഇപ്പോഴും 8u511 കാണിക്കുന്നു; നിർദ്ദിഷ്ട സെക്യൂരിറ്റി ബിൽഡ്, ട്രസ്റ്റ് ചെയിൻ റിപ്പയർ എന്നിവ പരിശോധിക്കേണ്ടതാണ്, ഹ്രസ്വ പതിപ്പ് നമ്പർ മാത്രം അടിസ്ഥാനമാക്കി നിർണ്ണയിക്കാൻ കഴിയില്ല

**Java 8 പൂർണ്ണ ബിൽഡ് വിവരങ്ങൾക്കെതിരെ പരിശോധിക്കേണ്ടതുണ്ട്:**Oracle അലേർട്ട് 8u511 ഒരു ബാധിത പതിപ്പായി ലിസ്റ്റുചെയ്യുന്നു, റിലീസ് ലിസ്റ്റ് അതേ ഹ്രസ്വ നാമത്തിൽ തുടർന്നുള്ള അപ്‌ഡേറ്റുകൾ ലിസ്റ്റുചെയ്യുന്നു. “8u511” ഹ്രസ്വ പതിപ്പ് നമ്പറിനെ മാത്രം അടിസ്ഥാനമാക്കി പാച്ച് സ്റ്റാറ്റസ് വേർതിരിച്ചറിയാൻ കഴിയില്ല. നിർദ്ദിഷ്ട സുരക്ഷാ ബിൽഡും ട്രസ്റ്റ് ചെയിൻ പരിഹാരങ്ങളും നിങ്ങൾ സ്ഥിരീകരിക്കണം. S17 S18

Temurin , Corretto , Zulu , Microsoft Build of OpenJDK , പതിപ്പ് റിലീസ് OpenJDK , മുതലായവ, അവയുടെ യോജിച്ച അറിയിപ്പുകളും പൂർണ്ണമായ പാക്കേജ്/ബിൽഡ് നമ്പറുകളും അനുസരിച്ച് പരിശോധിക്കുക. ഉദാഹരണത്തിന്, ഔദ്യോഗിക റിലീസ് റെക്കോർഡ് Adoptium പ്രസക്തമായ ബിൽഡ് ചേർക്കാൻ വീണ്ടും പാക്കേജ് ചെയ്തതായി പ്രസ്താവിക്കുന്നു eMudhra പരിഹരിക്കുക; അപ്‌സ്ട്രീം പതിപ്പിൻ്റെ അതേ പേര് പാക്കേജിൻ്റെ ഉള്ളടക്കം ഒന്നുതന്നെയാണെന്ന് അർത്ഥമാക്കുന്നില്ല. ദി .0.2 എന്നതിനുള്ള പ്രത്യയ നിയമങ്ങൾ Oracle മറ്റ് പ്രസാധകർക്ക് യാന്ത്രികമായി പ്രയോഗിക്കാൻ കഴിയില്ല. S20

Java ആപ്ലിക്കേഷൻ ഘടകങ്ങൾ	ശുപാർശ ചെയ്ത പതിപ്പ് അടിസ്ഥാനരേഖ	അഭിപ്രായങ്ങൾ
Tomcat 9 / 10.1 / 11	9.0.123 / 10.1.61 / 11.0.27	ബ്രാഞ്ച് അനുസരിച്ച് ബ്രാഞ്ച് പരിശോധിക്കുക; Tomcat 10.0 അറ്റകുറ്റപ്പണി നിർത്തി S21 S22 S23
Spring for GraphQL 2.0.x	2.0.5（OSS）	വാണിജ്യ പിന്തുണയും 2.0.4.1 S25 ആണ്
Spring Security 7.1 / 7.0	7.1.1 / 7.0.7（OSS）	ഓഗസ്റ്റിൽ പ്രഖ്യാപിച്ച മിനിമം ഫിക്സ് പതിപ്പുമായി യോജിക്കുന്നു; വിന്യാസത്തിന് മുമ്പ് നിങ്ങൾ തുടർന്നുള്ള സുരക്ഷാ ബുള്ളറ്റിൻ S27 S28 പരിശോധിക്കേണ്ടതുണ്ട്
Spring Security 6.5 / 6.4 / 5.8 / 5.7	6.5.12 / 6.4.19 / 5.8.28 / 5.7.26	പ്രഖ്യാപനം ഒരു വാണിജ്യ പിന്തുണ പരിഹാരമായി പട്ടികപ്പെടുത്തിയിരിക്കുന്നു; അനുബന്ധ പിന്തുണ ഇല്ലെങ്കിൽ മൈഗ്രേഷൻ വിലയിരുത്തപ്പെടുന്നു, കൂടാതെ Maven Central സൗജന്യ S27-ന് ലഭ്യമാണെന്ന് കരുതാനാവില്ല

Spring അപ്‌ഗ്രേഡുകൾ പ്രോജക്റ്റിൻ്റെ Spring Boot BOM, Java മിനിമം പതിപ്പും അനുയോജ്യത ലൈനുകളും മാനിക്കണം. ഒരു പാച്ച് ലഭിക്കാൻ എല്ലാ Spring മൊഡ്യൂളുകളും ഒരേ നമ്പറിലേക്ക് നേരിട്ട് നിർബന്ധിക്കരുത്.

2.3 CPython, Django, സർട്ടിഫിക്കറ്റ് ഡിപൻഡൻസികൾ

ചുവടെയുള്ള പട്ടികയുടെ രണ്ടാമത്തെ കോളം സെപ്റ്റംബറിൽ വെളിപ്പെടുത്തിയ TLS ഇഷ്യൂവിൽ ശ്രദ്ധ കേന്ദ്രീകരിക്കുന്നു; tarfile-നുള്ള ബ്രാഞ്ച് വ്യത്യാസങ്ങൾ 5.3. വിഭാഗത്തിൽ കാണിച്ചിരിക്കുന്നു ഒക്ടോബർ 21 റിലീസുകൾ ബണ്ടിൽ ചെയ്ത സർട്ടിഫിക്കറ്റ് ടൂളിംഗും അപ്ഡേറ്റ് ചെയ്തിട്ടുണ്ട്, അതിനാൽ അവസാന നിരയിൽ പിന്നീടുള്ള വിന്യാസ അടിസ്ഥാനരേഖകൾ ഉൾപ്പെടുന്നു. S29 S30 S33 S35

CPython ശാഖ	സെപ്തംബർ സെക്യൂരിറ്റി ബാച്ച് മിനിമം പതിപ്പ്	ശുപാർശ ചെയ്യുന്ന വിന്യാസ അടിസ്ഥാനരേഖ
3.10	3.10.22	അപ്‌സ്ട്രീമിൽ നിന്നുള്ള അവസാന റിലീസ്, EOL; മൈഗ്രേഷൻ ക്രമീകരിക്കുക അല്ലെങ്കിൽ റിലീസ് എക്സ്റ്റൻഷൻ പിന്തുണ S34 പരിശോധിക്കുക
3.11	3.11.17	3.11.17, കൂടാതെ ഓരോ പരിതസ്ഥിതിയിലും വ്യക്തിഗതമായി pip/certifi അപ്‌ഡേറ്റ് ചെയ്യുക
3.12	3.12.15	3.12.15, കൂടാതെ ഓരോ പരിതസ്ഥിതിയിലും വ്യക്തിഗതമായി pip/certifi അപ്‌ഡേറ്റ് ചെയ്യുക
3.13	3.13.16	3.13.17
3.14	3.14.8	3.14.9
3.15	അവസാന 3.15.0 റിലീസിൽ TLS ഫിക്സുകൾ S31 S47 ഉൾപ്പെടുന്നു	3.15.1

3.11, 3.12 എന്നിവയുടെ അപ്‌സ്ട്രീം സുരക്ഷാ പതിപ്പുകൾ സോഴ്‌സ് കോഡിൽ മാത്രമേ റിലീസ് ചെയ്യാവൂ; ഓപ്പറേറ്റിംഗ് സിസ്റ്റം പാക്കേജ് ഉപയോഗിക്കുമ്പോൾ, വെണ്ടറുടെ ബാക്ക്‌പോർട്ട് ഉപദേശവും പൂർണ്ണമായ പാക്കേജ് പതിപ്പും പരിശോധിക്കുക, കൂടാതെ സിസ്റ്റം Python സ്വയം കംപൈൽ ചെയ്ത പതിപ്പ് ഉപയോഗിച്ച് നിർബന്ധിതമായി മാറ്റിസ്ഥാപിക്കേണ്ട ആവശ്യമില്ല. S33 S34

സ്വതന്ത്ര ആശ്രിതത്വം	ശുപാർശ ചെയ്ത പതിപ്പ് അടിസ്ഥാനരേഖ	വിവരണം
Django 5.2 / 6.0 / 6.1	5.2.18 / 6.0.9 / 6.1.2	ഒക്ടോബർ 6-ന് S38 S39 തുടർന്നുള്ള തിരുത്തൽ ഉൾപ്പെടുത്തുക
certifi	≥2026.10.19	GHSA പ്രാരംഭ പാച്ച് .18 ആണ്; ബാധിക്കാത്ത സർട്ടിഫിക്കറ്റുകൾക്ക് അനുയോജ്യത നിലനിർത്താൻ PSF .19 ശുപാർശ ചെയ്യുന്നു S36 S37
pip	≥26.2.2	certifi-ൻ്റെ ബിൽറ്റ്-ഇൻ കോപ്പി S35 S37 പ്രത്യേകം അപ്‌ഡേറ്റ് ചെയ്യേണ്ടതുണ്ട്
uv (ഉപയോഗിക്കുകയാണെങ്കിൽ)	≥0.13.4	യഥാർത്ഥ ഇൻസ്റ്റലേഷൻ രീതി അനുസരിച്ച് S37 അപ്ഡേറ്റ് ചെയ്യുക

ഈ ബേസ്‌ലൈനുകൾ ലിസ്‌റ്റ് ചെയ്‌ത പരിഹാരങ്ങൾ ഉൾക്കൊള്ളുന്നു. tar_filter-ലെ മറ്റൊരു ഇടത്തരം തീവ്രത പ്രശ്‌നം ഒക്ടോബർ 22-ന് വെളിപ്പെടുത്തി. 2026 ഒക്ടോബർ 23 മുതൽ, ഈ പരിഹാരം അടങ്ങിയ ഒരു ഔദ്യോഗിക മെയിൻ്റനൻസ് പതിപ്പ് ഇതുവരെ സ്ഥിരീകരിച്ചിട്ടില്ല; അതിനാൽ, 3.13.17 / 3.14.9 / 3.15.1 എല്ലാ ടാർഫൈൽ പ്രശ്‌നങ്ങളും ഉൾപ്പെടുത്തിയതായി കണക്കാക്കാനാവില്ല. വിഭാഗം 5.4. S40 കാണുക

2.4 വിതരണ ബാക്ക്‌പോർട്ടുകൾ പരിശോധിക്കുന്നു

Ubuntu, Debian, RHEL എന്നിവയ്ക്കും മറ്റ് സോഫ്റ്റ്‌വെയർ പാക്കേജുകൾക്കും ബാധകമായ നടപ്പാക്കൽ തത്വങ്ങൾ:

ഓപ്പറേറ്റിംഗ് സിസ്റ്റം പതിപ്പ്, റിപ്പോസിറ്ററി ഉറവിടം, പൂർണ്ണ പാക്കേജ് പതിപ്പ്, വെണ്ടർ സെക്യൂരിറ്റി ബുള്ളറ്റിൻ നമ്പർ എന്നിവ രേഖപ്പെടുത്തുക.
ഉപദേശം നിർദ്ദിഷ്‌ട CVE ഉൾക്കൊള്ളുന്നുവെന്നും പ്രസക്തമായ വിതരണ റിലീസിനായി ഒരു നിശ്ചിത പാക്കേജ് തിരിച്ചറിയുന്നുവെന്നും സ്ഥിരീകരിക്കുക.
അപ്‌സ്ട്രീം ഷോർട്ട് പതിപ്പ് മാത്രമല്ല, യഥാർത്ഥ റണ്ണിംഗ് പ്രോസസ്സ് ലോഡ് ചെയ്ത ബൈനറികൾ/ലൈബ്രറികൾ താരതമ്യം ചെയ്യുക.
ഒരു വെണ്ടർ പാച്ചിൻ്റെ തെളിവുകൾ ഇല്ലെങ്കിൽ, അത് “സ്ഥിരീകരിക്കാൻ” വിട്ടേക്കുക, പതിപ്പ് നമ്പർ പഴയതോ പുതിയതോ ആണെന്നുള്ള ഏക നിഗമനമായി അത് എടുക്കരുത്.

apt/RPM പാക്കേജ് പതിപ്പുകളിലും വ്യത്യസ്ത വിതരണങ്ങളുടെ ബാക്ക്‌പോർട്ട് തന്ത്രങ്ങളിലും വ്യത്യാസങ്ങളുണ്ട്. ഓരോ വിതരണത്തിൻ്റെയും സുരക്ഷാ ബുള്ളറ്റിനും പൂർണ്ണമായ പാക്കേജ് പതിപ്പും നിലനിൽക്കണം.

3. Node.js / JavaScript ഇക്കോസിസ്റ്റം: കാരണങ്ങളുടെ വിശകലനവും പരിഹാരവും

3.1 CVE-2026-111497: Brotli നേറ്റീവ് ഡീകോഡർ ഔട്ട്-ഓഫ്-ബൗണ്ട്സ് റൈറ്റ്

വെളിപ്പെടുത്തൽ: 2026-10-21; Node ഔദ്യോഗിക ഗ്രേഡ്: High. Node 22.x, 24.x, 26.x-ൻ്റെ ബാധിക്കപ്പെട്ട ബിൽഡുകൾക്ക് 2.1 എന്ന പാച്ച് വിഭാഗം ഇൻസ്റ്റാൾ ചെയ്യേണ്ടതുണ്ട്. Node പ്രഖ്യാപനം ഒരു സംഖ്യാപരമായ CVSS സ്കോർ ലിസ്റ്റ് ചെയ്യുന്നില്ല. S1

വികലമായ Brotli കംപ്രസ് ചെയ്‌ത സ്ട്രീം കൈകാര്യം ചെയ്യുമ്പോൾ നേറ്റീവ് ഡീകോഡിംഗ് ലോജിക്കിലാണ് പ്രശ്‌നം സംഭവിക്കുന്നത്, ഇത് പരിധിക്ക് പുറത്തുള്ള റൈറ്റുകളിലേക്ക് നയിച്ചേക്കാം. Vercel-ൻ്റെ ഔദ്യോഗിക വിവരണം, ഗവേഷണ പ്രദർശനത്തിൽ പ്രോസസ്സ് മെമ്മറി ലീക്കുകളും കമാൻഡ് എക്‌സിക്യൂഷനും ഉൾപ്പെടുന്നുവെന്ന് സ്ഥിരീകരിക്കുന്നു. ഒരു ആക്രമണകാരിക്ക് ഡീകോഡറിൽ എത്താൻ കഴിയുമോ എന്നത് അത് നിയന്ത്രിക്കുന്ന ഡാറ്റയെ ആപ്പ് അല്ലെങ്കിൽ ഡിപൻഡൻസി യഥാർത്ഥത്തിൽ ഡീകോഡ് ചെയ്യുന്നുണ്ടോ എന്നതിനെ ആശ്രയിച്ചിരിക്കുന്നു. S3

രണ്ട് ദിശകളും ഒരേ സമയം പരിശോധിക്കേണ്ടതുണ്ട്:

inbound: The ഫ്രെയിംവർക്ക് അല്ലെങ്കിൽ മിഡിൽവെയർ ഉപയോക്താവ് സമർപ്പിച്ച Brotli അഭ്യർത്ഥന ബോഡി സ്വയമേവ ഡീകംപ്രസ്സ് ചെയ്യുന്നു.
**outbound:**HTTP ക്ലയൻ്റുകൾ, ഇമേജ് ഗ്രാബർമാർ തുടങ്ങിയവ. ആക്രമണകാരി-നിയന്ത്രിത ഉറവിടങ്ങൾ ആക്‌സസ് ചെയ്യുകയും തിരികെ നൽകിയ ഉള്ളടക്കം സ്വയമേവ വിഘടിപ്പിക്കുകയും ചെയ്യുന്നു.

ബ്രൗസറുകളിലേക്ക് അയച്ച പ്രതികരണങ്ങളുടെ Brotli കംപ്രഷൻ പ്രവർത്തനരഹിതമാക്കുന്നത് ഒരു ഡീകോഡിംഗ് എൻട്രി പോയിൻ്റ് നീക്കം ചെയ്യില്ല. ഇൻബൗണ്ട് WAF പരിരക്ഷയും ബാഹ്യ പ്രതികരണങ്ങൾ ലഭ്യമാക്കുന്നതും ഡീകോഡ് ചെയ്യുന്നതുമായ ആപ്ലിക്കേഷനുകളെ ഉൾക്കൊള്ളുന്നില്ല. S3

**Patch ദിശ:**Node Brotli അപ്‌സ്‌ട്രീം ഫിക്സ് നേറ്റീവ് ഡിപൻഡൻസിയിലേക്ക് നീക്കുക, കൂടാതെ നിയമവിരുദ്ധമായ ഡീകോഡിംഗ് സ്റ്റാറ്റസ് പരിശോധനയും പിശക് പ്രചരിപ്പിക്കലും അനുബന്ധമായി നൽകുക. ഒരു സ്വയം സമാഹരിച്ച പതിപ്പ് പരിപാലിക്കുമ്പോൾ, നിങ്ങൾ ഔദ്യോഗിക സെക്യൂരിറ്റി റിലീസ് അല്ലെങ്കിൽ പൊരുത്തപ്പെടുന്ന ബ്രാഞ്ചിൻ്റെ പൂർണ്ണമായ പാച്ച് ഉപയോഗിക്കണം. നിങ്ങൾക്ക് JavaScript പാക്കേജിൻ്റെ പതിപ്പ് പ്രസ്താവന മാറ്റാൻ കഴിയില്ല. S4

ഇടക്കാല നടപ്പാക്കൽ നിർദ്ദേശങ്ങൾ: അനാവശ്യമായ വിശ്വസനീയമല്ലാത്ത Brotli ഡീകോഡിംഗ് നിർത്തുക; മിഡിൽവെയറിൻ്റെയും HTTP ക്ലയൻ്റിൻ്റെയും ഓട്ടോമാറ്റിക് ഡീകംപ്രഷൻ സ്വഭാവം പരിശോധിക്കുക; ബിസിനസ്സ് ഈ ഫോർമാറ്റ് സ്വീകരിക്കണമെങ്കിൽ, പാച്ച് ചെയ്ത പരിതസ്ഥിതിയിൽ പ്രോസസ്സിംഗ് എത്രയും വേഗം പൂർത്തിയാക്കുക. Accept-Encoding ക്രമീകരിക്കുന്നത് ഒരു ചർച്ചയുടെ ഒരു പ്രവൃത്തി മാത്രമാണ്, ക്ഷുദ്രകരമായ പ്രതികരണം തടഞ്ഞുവെന്നതിൻ്റെ തെളിവായി ഒറ്റയ്ക്ക് നിൽക്കരുത്.

3.2 TLS / DNS മൂന്ന് High: സ്ഥിരീകരണ ഒബ്‌ജക്റ്റ് യഥാർത്ഥ ലക്ഷ്യവുമായി പൊരുത്തപ്പെടുന്നില്ല

2.1. S1 എന്ന വിഭാഗത്തിൽ സജ്ജീകരിച്ചിരിക്കുന്ന ഔദ്യോഗിക നവീകരണ പരിധി സഹിതം ഇവ മൂന്നും ഒക്ടോബർ 21-ന് വെളിപ്പെടുത്തി.

ഐഡൻ്റിഫയർ	പ്രശ്നം സ്ഥിരീകരിച്ചു	ബാധിച്ച ശാഖകൾ
CVE-2026-105482	`dns.resolve` NUL അടങ്ങിയ പേരുകളുടെ വെട്ടിച്ചുരുക്കൽ	22.x / 24.x / 26.x
CVE-2026-105483	പൂർണ്ണ വീതിയുള്ള സംഖ്യാ രൂപത്തിൽ IP സർട്ടിഫിക്കറ്റ് ഹോസ്റ്റ്നാമം പരിശോധന മറികടക്കാൻ കാരണമാകുന്നു	24.x / 26.x
CVE-2026-106069	IP ആയി വ്യാഖ്യാനിക്കാവുന്ന ഹോസ്റ്റ്നാമം TLS പരിശോധനാ ബൈപാസിൽ കലാശിക്കുന്നു	22.x / 24.x / 26.x

DNS മുകളിലെ പാളി പരിശോധിച്ച സ്ട്രിംഗ് യഥാർത്ഥത്തിൽ താഴത്തെ പാളി പാഴ്‌സ് ചെയ്ത പേരിൽ നിന്ന് വ്യത്യസ്തമാണ് എന്നതാണ് പ്രശ്നത്തിൻ്റെ സാരം. പാഴ്‌സിംഗ് എൻട്രിയിൽ ഔദ്യോഗിക പാച്ച് NUL നിരസിക്കുകയും റിഗ്രഷൻ കവറേജ് ചേർക്കുകയും ചെയ്യുന്നു. S6

TLS രണ്ട് ഇനങ്ങളിൽ പേര് നോർമലൈസേഷൻ, IP വ്യാഖ്യാനത്തിൻ്റെ സ്ഥിരത, സർട്ടിഫിക്കറ്റ് പൊരുത്തപ്പെടുത്തൽ എന്നിവ ഉൾപ്പെടുന്നു. സർട്ടിഫിക്കറ്റ് ഡൊമെയ്ൻ ഐഡൻ്റിറ്റിയുമായി യഥാർത്ഥ IP എൻഡ്‌പോയിൻ്റിനെ ആശയക്കുഴപ്പത്തിലാക്കുന്നത് ഒഴിവാക്കാൻ നിലവാരമില്ലാത്ത IP ഇൻപുട്ട് നിരസിക്കപ്പെടുകയോ ശരിയായി കൈകാര്യം ചെയ്യുകയോ ചെയ്യുന്ന തരത്തിൽ പാച്ച് ചെയ്യുക. S5

-നുള്ള യഥാർത്ഥ ട്രബിൾഷൂട്ടിംഗ് നിർദ്ദേശങ്ങൾ: സ്വീകരിക്കുന്ന ഉപയോക്താവിൻ്റെ കോഡ് URL, ഡൈനാമിക് പ്രോക്സി ടാർഗെറ്റ് അല്ലെങ്കിൽ Webhook വിലാസം പരിശോധിക്കുന്നതിന് മുൻഗണന നൽകുന്നു; ഏകീകൃത സ്റ്റാൻഡേർഡൈസേഷനും ലിസ്റ്റ് ജഡ്ജ്മെൻ്റ് അനുവദിക്കുന്നതും, NUL/നിയന്ത്രണ പ്രതീകങ്ങൾ നിരസിക്കുന്നു, നിയമപരമായ IPv4, IPv6 സ്ഥിരീകരിക്കുന്നു, അന്തർദേശീയമാക്കിയ ഡൊമെയ്ൻ നാമങ്ങൾ ഇപ്പോഴും പ്രവർത്തിക്കുന്നു. SSRF കൂടുതൽ രൂപീകരിക്കാൻ കഴിയുമോ എന്നതിന് ലിങ്ക് തെളിവുകളുടെ പ്രയോഗം ആവശ്യമാണ്, അത് CVE എന്ന പേരിൽ നിന്ന് നേരിട്ട് മനസ്സിലാക്കാൻ കഴിയില്ല.

പോസ്റ്റ്-അപ്ഗ്രേഡ് ചെക്ക്സം പിശകുകൾ ഇല്ലാതാക്കാൻ NODE_TLS_REJECT_UNAUTHORIZED=0 അല്ലെങ്കിൽ rejectUnauthorized: false ഉപയോഗിക്കരുത്. വിലാസം, സർട്ടിഫിക്കറ്റ്, ബിസിനസ് കോൺഫിഗറേഷൻ എന്നിവ ശരിയാക്കണം.

3.3 ജൂലൈ HTTP/2 High-റിസ്‌ക്, പെർമിഷൻ മോഡൽ പ്രശ്നങ്ങൾ

ജൂലൈയിൽ വെളിപ്പെടുത്തിയ ഇനിപ്പറയുന്ന വിഷയങ്ങൾ ഇനിയും അന്വേഷണത്തിൽ ഉൾപ്പെടുത്തേണ്ടതുണ്ട്. വിന്യസിക്കുമ്പോൾ 2.1 വിഭാഗത്തിലെ ഒക്ടോബർ സെക്യൂരിറ്റി പതിപ്പ് ബേസ്‌ലൈൻ നേരിട്ട് ഉപയോഗിക്കാൻ ശുപാർശ ചെയ്യുന്നു. S7

CVE	കാരണങ്ങളും ഫലങ്ങളും	ആദ്യ സ്ഥിര പതിപ്പ്
CVE-2026-56846	നിലനിർത്തിയ HTTP/2 header ബ്ലോക്ക് `maxSessionMemory` ബഡ്ജറ്റിൽ ശരിയായി ഉൾപ്പെടുത്തിയിട്ടില്ല, കൂടാതെ മെമ്മറി എക്‌സ്‌ഹോസ്റ്റ് ചെയ്യും; ഇംപാക്ട് 22.x / 24.x	22.23.2 / 24.18.1
CVE-2026-56848	HTTP/2 പാക്കറ്റ് ശേഖരണ സമയത്ത് അയയ്ക്കുന്ന പാതയിലേക്ക് വീണ്ടും പ്രവേശിക്കുന്നു, ഇത് UAF കൂമ്പാരത്തിന് കാരണമാകുന്നു; ആഘാതം 22.x / 24.x / 26.x	22.23.2 / 24.18.1 / 26.5.1
CVE-2026-58043	`--permission` പാത്ത് പ്രിഫിക്‌സ് അതിർത്തി പൊരുത്തം വളരെ വിശാലമാണ്, കൂടാതെ അനുവദനീയമായ ലിസ്റ്റിന് പുറത്തുള്ള ഫയലുകൾ ആക്‌സസ് ചെയ്‌തേക്കാം.	മുകളിലുള്ള മൂന്ന് മെയിൻ്റനൻസ് ലൈനുകൾക്ക് സമാനമാണ്

മൂന്നും ഔദ്യോഗികമായി High ആണ്. HTTP/2 Node തന്നെയാണോ പ്രോസസ്സ് ചെയ്യുന്നത് എന്ന് പരിശോധിക്കുന്നതിന് ആദ്യ രണ്ട് ഇനങ്ങൾ മുൻഗണന നൽകുന്നു; അനുമതി മോഡൽ ഉപയോഗിക്കുമ്പോഴും ഈ അതിർത്തിയെ ആശ്രയിക്കുമ്പോഴും മൂന്നാമത്തെ ഇനത്തിന് അനുയോജ്യമായ അർത്ഥം മാത്രമേ ഉണ്ടാകൂ. അനുമതി മോഡൽ ഇനങ്ങളെയെല്ലാം ആധികാരികത ആവശ്യമില്ലാത്ത നെറ്റ്‌വർക്ക് RCE എന്ന് വിവരിക്കാൻ കഴിയില്ല. S7

ഒരു പ്രത്യേക, അപ്ഡേറ്റ് ചെയ്ത പ്രോക്സിയിൽ HTTP/2 താൽക്കാലികമായി അവസാനിപ്പിക്കുന്നതും ബാക്കെൻഡ് ഉറവിടങ്ങൾ പരിമിതപ്പെടുത്തുന്നതും എക്സ്പോഷർ കുറയ്ക്കുന്നതിനുള്ള ഒരു വിന്യാസ ഓപ്ഷനാണ്; റിസോഴ്‌സ് ക്വാട്ടകൾക്ക് റിസോഴ്‌സ് ക്ഷീണത്തിൻ്റെ അനന്തരഫലങ്ങൾ മാത്രമേ നിയന്ത്രിക്കാനാകൂ, കൂടാതെ UAF പാച്ച് ചെയ്യാൻ കഴിയില്ല.

3.4 ഒക്ടോബർ React / Next.js: രണ്ട് ഇനങ്ങൾ RCE, ഒരു ഇനം DoS

A. RCE RSC / `use cache` ഫംഗ്‌ഷനുകൾ ടൈപ്പ് ചെയ്‌ത അറേകൾ നൽകുന്നു

പൊതു തീയതി: 2026-10-14; Critical, CVSS 4.0 9.5. ഔദ്യോഗിക ഉപദേശക ഐഡൻ്റിഫയറുകൾ:

React：GHSA-xqc2-xf4c-x3h3。
Next.js：GHSA-673q-mjm6-r5xr。S9 S10

ദി React അപ്‌സ്ട്രീം പ്രശ്‌നത്തിൽ അറ്റാക്കർ-നിയന്ത്രിക്കാവുന്ന മൂല്യങ്ങൾ സംയോജിപ്പിച്ച് ഒന്നിലധികം ടൈപ്പ് ചെയ്‌ത അറേകൾ ഉൾപ്പെടുന്നു RSC പ്രതികരണം. മൂവരും ബാധിച്ചു react-server-dom-* പാക്കേജ് പതിപ്പുകൾ ആകുന്നു 19.0.0 — 19.0.8 , 19.1.0 — 19.1.9 , 19.2.0 — 19.2.8 , 19.3.0 ; അദ്ധ്യായം വിഭാഗം കാണുക 2.1. ശുദ്ധമായ ബ്രൗസർ-വശം React , അല്ലെങ്കിൽ പിന്തുണയ്ക്കുന്ന ഫ്രെയിംവർക്കുകൾ/പ്ലഗ്-ഇന്നുകൾ ഉപയോഗിക്കാത്ത ആപ്ലിക്കേഷനുകൾ RSC ഈ ഇനത്തിൻ്റെ പരിധിയിൽ വരരുത്. S10

Next.js താഴെയുള്ള അറിയിപ്പ് ലിസ്റ്റുകൾ 16.0.0 — 16.4.0 , ൽ പരിഷ്കരിച്ചു 16.4.1 ; രംഗം ആണ് App Router , Cache Components , ഒപ്പം use cache ഒന്നിലധികം ടൈപ്പ് ചെയ്‌ത അറേകൾ നൽകുന്ന ഫംഗ്‌ഷനുകൾ. ഔദ്യോഗികമായി വിശ്വസനീയമായ പൊതുവായ പരിഹാരമൊന്നുമില്ല, ബാധിത പതിപ്പുകളുടെ ഉപയോക്താക്കൾ കൃത്യസമയത്ത് നവീകരിക്കേണ്ടതുണ്ട്. പ്രോസസ്സിംഗ് അവസാനിപ്പിക്കാൻ “ഈ ഫംഗ്‌ഷൻ നിലവിലില്ലെന്ന് തോന്നുന്നു” എന്നതിനായുള്ള മാനുവൽ തിരയലുകളെ ആശ്രയിക്കുന്നത് ഉചിതമല്ല. S9

അവലംബം: B. SVG Image Optimization RCE

CVE-2026-96889/GHSA-2464-fhr4-w9xw, 2026-10-14, Critical, CVSS 4.0 9.5. ഇമേജ് ഒപ്റ്റിമൈസേഷനായി ഉപയോഗിക്കുന്ന അപ്‌സ്ട്രീം നേറ്റീവ് ലൈബ്രറിയിൽ The പ്രശ്നം സംഭവിക്കുന്നു. glibc Linux സാഹചര്യത്തിലാണ് RCE അപകടസാധ്യത നിലനിൽക്കുന്നതെന്ന് ഉദ്യോഗസ്ഥർ ചൂണ്ടിക്കാട്ടി. S11

ഔദ്യോഗിക പതിപ്പ് ഫീൽഡുകൾ ഇവയാണ്:

>=10.0.0 <=15.5.27；
>16.0.0 <=16.4.0。

16.x ബ്രാഞ്ചിനായി ഉദ്യോഗസ്ഥൻ >16.0.0 ൻ്റെ കർശനമായ ലോവർ ബൗണ്ട് ഉപയോഗിക്കുന്നു, എന്നാൽ 16.0.0 സുരക്ഷിതമാണെന്ന് തെളിയിക്കാൻ ഈ ശ്രേണി പ്രസ്താവന മതിയാകുന്നില്ല. യഥാർത്ഥ നവീകരണ ലക്ഷ്യം ഒരേപോലെ 15.5.28 / 16.4.1 ആണ്. S11

Next യഥാർത്ഥത്തിൽ മൂർച്ചയുള്ള ≥0.35.5 ലോഡ് ചെയ്യുന്നുണ്ടെന്ന് ഉറപ്പാക്കുക എന്നതാണ് ഔദ്യോഗിക താൽക്കാലിക പരിഹാരം. ലോക്ക് ഫയലുകൾ, നെസ്റ്റഡ് ഡിപൻഡൻസികൾ, ഡിപ്ലോയ്‌മെൻ്റ് ഇമേജുകൾ എന്നിവ പഴയ സംഭവങ്ങൾ നിലനിർത്തിയേക്കാം, അതിനാൽ sharp ഡിപൻഡൻസിയുടെ പുതിയ പതിപ്പ് മുകളിൽ ചേർത്താൽ മാത്രം പോരാ, അന്തിമ ഡിപൻഡൻസി ട്രീ പരിശോധിച്ച് പുനർനിർമ്മിക്കണം. S11

C. Server Actions CPU തീർന്നു

GHSA-p3m5-59mp-jv5r , 2026-10-14, High , CVSS 4.0 8.2 . Next ബാധിക്കുന്നു 13.0.0 — 15.5.27 , 16.0.0 — 16.4.0 , പരിഹരിക്കുന്നു 15.5.28 / 16.4.1 . വ്യവസ്ഥകളാണ് App Router കുറഞ്ഞത് ഒരെണ്ണമെങ്കിലും Server Action ; ക്ഷുദ്രകരമായ അഭ്യർത്ഥനകൾ നിലനിർത്താൻ കഴിയും CPU ഒരേ പ്രക്രിയയിൽ തുടർന്നുള്ള അഭ്യർത്ഥനകൾ തടയുന്ന, ദീർഘകാലത്തേക്ക് അധിനിവേശം. ഉള്ള അപേക്ഷകൾ Pages Router അല്ലെങ്കിൽ ഇല്ലാതെ Server Actions ഇത് ബാധിക്കില്ല. S12

നവീകരണത്തിന് പകരം വയ്ക്കാൻ കഴിയുന്ന ഒരു ഔദ്യോഗിക പരിഹാരവുമില്ല. നിരക്ക് പരിധികൾ, കൺകറൻസി പരിധികൾ, റിസോഴ്സ് ക്വാട്ടകൾ എന്നിവയ്ക്ക് കേടുപാടുകൾ കുറയ്ക്കാൻ കഴിയും, എന്നാൽ പാച്ച് സ്ഥിരീകരണത്തിനുള്ള ഒരു നിഗമനമായി ഉപയോഗിക്കാൻ കഴിയില്ല.

3.5 നേരത്തെ Next.js ഇതേ വിൻഡോയിൽ ഗുരുതരമായ പ്രശ്നം

ഓഗസ്റ്റ്-സെപ്റ്റംബർ പതിപ്പുകളിൽ ഇപ്പോഴും കുടുങ്ങിക്കിടക്കുന്ന വിന്യാസങ്ങൾ നഷ്‌ടപ്പെടുന്നത് ഒഴിവാക്കാൻ ഇനിപ്പറയുന്ന ഇനങ്ങൾ ഉദ്ദേശിച്ചുള്ളതാണ്; ഇപ്പോൾ പട്ടികയിലെ പഴയ ഫിക്സ് ത്രെഷോൾഡുകളിലേക്ക് നീങ്ങാൻ ശുപാർശ ചെയ്യുന്നില്ല.

തീയതി	ഐഡൻ്റിഫയർ / രംഗം	ആദ്യം ശരിയാക്കുക; നിലവിലെ പ്രവർത്തനം
2026-08-25	GHSA-2xp9-vwfh-vxw4: AVIF ഇമേജ് ഒപ്റ്റിമൈസേഷൻ നേറ്റീവ് ലൈബ്രറി RCE, Critical	15.5.24 / 16.3.3; ഇപ്പോൾ 15.5.28 / 16.4.1 S13
2026-08-25	CVE-2026-75604: RCE, Critical Pages Router, App Router എന്നിവ ഒരേസമയം Windows-ൽ ഉപയോഗിക്കുമ്പോൾ, Cache Components പ്രവർത്തനക്ഷമമല്ല; പതിപ്പുകൾ `>=13.4.0 <15.5.24`, `>=16.0.0 <16.3.3`	15.5.24 / 16.3.3; ഈ നിർദ്ദിഷ്ട Windows ലക്കം S14 Linux/macOS-നെ ബാധിക്കില്ല
2026-09-22	GHSA-vcvr-r3jv-pc5j: `next/og`-ലെ Node ഇമേജ്-ജനറേഷൻ പാത്ത് വിശ്വസനീയമല്ലാത്ത SVG, Critical പ്രോസസ്സ് ചെയ്യുന്നു; 16.2.0—16.3.5	16.3.6; Edge നടപ്പിലാക്കൽ ഈ ലക്കത്തിൻ്റെ പരിധിക്ക് പുറത്താണ്, കൂടാതെ 15.x ഈ RCE S15-ന് ബാധിക്കപ്പെട്ട ശാഖയല്ല

4. Java ഇക്കോസിസ്റ്റം: റൺടൈം ട്രസ്റ്റ്, കണ്ടെയ്നറുകൾ, ചട്ടക്കൂടുകൾ എന്നിവ പ്രത്യേകം കൈകാര്യം ചെയ്യുന്നു

4.1 JDK: സാധാരണ CPU, CVE-2026-91403 എന്നിവ രണ്ട്-ടയർ അപ്‌ഡേറ്റുകളാണ്

Java SE റിസ്ക് മാട്രിക്സ് Oracle CPU ഒക്‌ടോബർ 20-ന് 55 പുതിയ സുരക്ഷാ പാച്ചുകൾ ലിസ്‌റ്റ് ചെയ്യുന്നു, അവയിൽ 49 എണ്ണം ആധികാരികത കൂടാതെ നെറ്റ്‌വർക്കിൽ ഉപയോഗയോഗ്യമാണെന്ന് അടയാളപ്പെടുത്തിയിരിക്കുന്നു. ഇതിനർത്ഥം 55 Critical ഉണ്ടെന്ന് അർത്ഥമാക്കുന്നില്ല, ഓരോ Java വെബ് സേവനത്തിനും നേരിട്ട് ചൂഷണം ചെയ്യാവുന്ന 49 RCE പാതകൾ ഉണ്ടെന്ന് ഇതിനർത്ഥമില്ല; മാട്രിക്സിലെ ഘടകങ്ങൾ, API-കൾ, ഉപയോക്തൃ ഇടപെടലുകൾ, വിന്യാസ വ്യവസ്ഥകൾ എന്നിവയുമായി സംയോജിച്ച് ഇത് മനസ്സിലാക്കണം. S16

അടുത്ത ദിവസത്തെ CVE-2026-91403 (CVSS 3.1 9.1) മറ്റൊരു തരത്തിലുള്ള അപകടസാധ്യതകൾ കൈകാര്യം ചെയ്യുന്നു: eMudhra ഇവൻ്റുമായി ബന്ധപ്പെട്ട ഒരു കൂട്ടം ഇൻ്റർമീഡിയറ്റ് CA. ഇത് TLS പിയർ ആധികാരികതയെയും ആശയവിനിമയ രഹസ്യസ്വഭാവത്തെയും/സമഗ്രതയെയും ബാധിക്കുന്നു, ഇത് JVM മെമ്മറി അഴിമതിയുടെ അപകടസാധ്യതയായി വിവരിക്കാനാവില്ല. S17

Oracle അഡൈ്വസറി ഒക്ടോബർ 20-ന് പുറത്തിറക്കിയ പതിപ്പിനെ ബാധിച്ചതായി ലിസ്റ്റ് ചെയ്യുന്നു, അതിനാൽ ഒക്ടോബർ 21-ന് ബാൻഡിന് പുറത്തുള്ള അപ്‌ഡേറ്റും ഇൻസ്റ്റാൾ ചെയ്യേണ്ടതുണ്ട്. നിർദ്ദിഷ്ട പതിപ്പിനായി 2.2 വിഭാഗം കാണുക. GraalVM-ലും അനുബന്ധ ബാധിത ഉൽപ്പന്നങ്ങളുണ്ട്, കൂടാതെ നിശ്ചിത പതിപ്പ് അതിൻ്റെ എക്സ്ക്ലൂസീവ് സുരക്ഷാ ബുള്ളറ്റിന് വിധേയമായിരിക്കണം. S17 S18

താൽക്കാലിക ഔദ്യോഗിക നടപടികൾ: ആദ്യം ബാക്കപ്പ് ചെയ്യുക, തുടർന്ന് യഥാർത്ഥത്തിൽ ഉപയോഗിക്കുന്ന ഓരോ ട്രസ്റ്റ്സ്റ്റോറിൽ നിന്നും നിർദ്ദിഷ്ട റൂട്ട് സർട്ടിഫിക്കറ്റ് നീക്കം ചെയ്യുക:

emSign ECC Root CA - G3, Oracle അപരനാമം emsigneccrootcag3 [jdk].
AAA Certificate Services, Oracle അപരനാമം comodoaaaca [jdk]. S19

JDK 11 ഉം അതിനുശേഷവും, ഔദ്യോഗിക ഉദാഹരണം ഇതാണ്:

keytool -delete -cacerts -alias "emsigneccrootcag3 [jdk]"
keytool -delete -cacerts -alias "comodoaaaca [jdk]"

ഈ കമാൻഡുകൾക്കായി ടാർഗെറ്റ് JDK**-ൽ നിന്ന്**keytool ഉപയോഗിക്കുക, അവ ആപ്ലിക്കേഷൻ്റെ യഥാർത്ഥ ട്രസ്റ്റ് സ്റ്റോറിലാണ് പ്രവർത്തിക്കുന്നതെന്ന് സ്ഥിരീകരിക്കുക. Java 8 jre/lib/security/cacerts എന്നതിന് അനുയോജ്യമായ പാത ഉപയോഗിക്കുന്നു; ട്രസ്റ്റ്സ്റ്റോർ ഇഷ്‌ടാനുസൃതമാക്കുന്നത് പ്രത്യേകം കൈകാര്യം ചെയ്യണം, മറ്റ് പ്രസാധകർക്ക് വ്യത്യസ്ത അപരനാമങ്ങൾ ഉണ്ടായിരിക്കാം. റൂട്ട് സർട്ടിഫിക്കറ്റ് നീക്കംചെയ്യുന്നത് നിരസിക്കലിൻ്റെ വ്യാപ്തി വർദ്ധിപ്പിക്കും, കൂടാതെ റിഗ്രഷൻ-ടെസ്റ്റ് നിയമാനുസൃത സേവന സർട്ടിഫിക്കറ്റ് ശൃംഖലകൾ. S19

അസാധുവാക്കൽ പരിശോധന പ്രവർത്തനക്ഷമമാക്കാനുള്ള ഓപ്‌ഷനും ഉദ്യോഗസ്ഥൻ നൽകുന്നു, എന്നാൽ ഫലം യഥാർത്ഥ TLS നടപ്പിലാക്കൽ, അസാധുവാക്കൽ സേവന എത്തിച്ചേരൽ, പരാജയ തന്ത്രം എന്നിവയെ ആശ്രയിച്ചിരിക്കുന്നു. പൊതുവായ വിന്യാസങ്ങൾക്കായി, എല്ലാ TLS ലൈബ്രറികളും ശരിയാക്കിയിട്ടുണ്ട് എന്നതിൻ്റെ തെളിവായി രണ്ട് JVM സ്വിച്ചുകൾ പരിഗണിക്കുന്നത് ഒഴിവാക്കാൻ പൂർണ്ണ വെണ്ടർ അപ്‌ഡേറ്റുകൾ ഇൻസ്റ്റാൾ ചെയ്യുന്നതിന് മുൻഗണന നൽകുക.

4.2 Tomcat: പ്രാമാണീകരണ ബൈപാസും ക്രോസ്-യൂസർ അഭ്യർത്ഥന ഒറ്റപ്പെടലും

ഇനിപ്പറയുന്ന മൂന്ന് ഇനങ്ങൾ 2026-10-20-ൽ പ്രസിദ്ധീകരിച്ചു; നന്നാക്കിയ പതിപ്പ് എൻട്രി October 12 തീയതിയിലാണ്. Apache-ൻ്റെ ഔദ്യോഗിക ഗ്രേഡ് Important ആണ്. S21 S22 S23

CVE	സ്ഥിരീകരിച്ച ബാധിത പതിപ്പുകൾ	ആവശ്യമായ സാഹചര്യങ്ങൾ/ഫലങ്ങൾ
CVE-2026-101296	9.0.0.M1—9.0.122；10.1.0-M1—10.1.60；11.0.0-M1—11.0.26	JNDIRealm നോൺ-GSSAPI SASL പ്രാമാണീകരണ സംവിധാനം കോൺഫിഗർ ചെയ്യുന്നു, ക്രെഡൻഷ്യൽ പരിശോധന കാണുന്നില്ല, കൂടാതെ തെറ്റായ പാസ്‌വേഡുകളും കടന്നുപോകാം
CVE-2026-101356	9.0.118—9.0.122；10.1.55—10.1.60；11.0.22—11.0.26	HTTP/2-ൻ്റെ അസിൻക്രണസ് സെർവ്‌ലെറ്റ് പിശക് കൈകാര്യം ചെയ്യുന്നത് ഒബ്‌ജക്റ്റുകൾ തെറ്റായി റീസൈക്കിൾ ചെയ്യുന്നു/പുനരുപയോഗിക്കുന്നു, ഇത് ഉപയോക്താക്കൾക്കിടയിൽ അഭ്യർത്ഥനകളോ പ്രതികരണങ്ങളോ ഇടകലർത്തുന്നു
CVE-2026-103119	11.0.0-M25—11.0.26 മാത്രം സ്ഥിരീകരിക്കുക	വലിയ AJP നോൺ-ബ്ലോക്കിംഗ് റൈറ്റുകൾ ഒരു ബഫർ വായിക്കുന്നതിന് കാരണമാകും, പിന്നീടുള്ള അഭ്യർത്ഥനകളിൽ മുമ്പത്തെ പ്രതികരണ ഡാറ്റ വെളിപ്പെടുത്തുന്നു.

അനുബന്ധ പരിഹാരം 9.0.123 / 10.1.61 / 11.0.27 ആണ്; AJP പ്രഖ്യാപനം അനുസരിച്ച് Tomcat 11 ആയി മാത്രമേ ലിസ്‌റ്റ് ചെയ്‌തിട്ടുള്ളൂ, ഒരേ പ്രശ്‌നമുള്ള മൂന്ന് ശാഖകളിലേക്ക് വികസിപ്പിക്കാൻ കഴിയില്ല. S21 S22 S23

JNDIRealm പാച്ച് യഥാർത്ഥ പ്രാമാണീകരണ പ്രക്രിയയിൽ ഒരു പരിശോധന വിടവ് പരിഹരിക്കുന്നു, ഇവിടെ “അപ്ലിക്കേഷൻ ലോഗിൻ ഇൻ്റർഫേസ് സാധാരണമാണെന്ന് തോന്നുന്നു” പരിശോധനയ്ക്ക് പകരം ഉപയോഗിക്കാൻ കഴിയില്ല. സേവനത്തിൻ്റെ യഥാർത്ഥ കോൺഫിഗറേഷനായി Realm, SASL മെക്കാനിസങ്ങൾ പരിശോധിക്കേണ്ടതാണ്, കൂടാതെ തെറ്റായ പാസ്‌വേഡുകൾക്കായി ടെസ്റ്റുകൾ പരാജയപ്പെടുകയും വേണം. S24

ഇടക്കാല നിർവ്വഹണ നിർദ്ദേശങ്ങൾ: ബാധിച്ച പ്രാമാണീകരണ പാത വേർതിരിച്ചെടുക്കുക; ബിസിനസ്സ് അനുവദിക്കുമ്പോൾ Tomcat-ൻ്റെ HTTP/2 പ്രോസസ്സിംഗ് താൽക്കാലികമായി നിർത്തുക; ഉപയോഗശൂന്യമായ AJP അടയ്ക്കുക. AJP പോർട്ടിലേക്കുള്ള നേരിട്ടുള്ള ആക്‌സസ് പരിമിതപ്പെടുത്തുന്നത് നിയമപരമായ ഫ്രണ്ട് പ്രോക്‌സി വഴി പ്രവേശിക്കുന്ന ട്രാഫിക്കിനെ ബാധിക്കില്ലെന്ന് തെളിയിക്കാൻ കഴിയില്ല. ഔദ്യോഗിക അപ്‌ഡേറ്റിന് ശേഷം, ഐഡൻ്റിറ്റികളും പ്രതികരണങ്ങളും തമ്മിൽ ക്രോസ്-ടോക്ക് ഇല്ലെന്ന് സ്ഥിരീകരിക്കുന്നതിന് രണ്ട് സ്വതന്ത്ര ഉപയോക്താക്കളിൽ നിന്നുള്ള അസമന്വിത സമകാലിക അഭ്യർത്ഥനകൾ പരിശോധിക്കേണ്ടതാണ്.

അവലംബം: 4.3 Spring for GraphQL：CVE-2026-59285

പൊതു തീയതി: 2026-08-20; High. ബാധിച്ച 2.0.0—2.0.4, നന്നാക്കിയ 2.0.5 (OSS) അല്ലെങ്കിൽ 2.0.4.1 (വാണിജ്യ പിന്തുണ). S25

പേജിംഗ് അന്വേഷണങ്ങളിലെ സുരക്ഷിതമല്ലാത്ത ഡീഷണലൈസേഷൻ അപകടസാധ്യതയാണിത്. ഇനിപ്പറയുന്ന വ്യവസ്ഥകൾ ഒരേ സമയം പാലിക്കണം എന്നതാണ് ഔദ്യോഗിക ആവശ്യം:

Spring for GraphQL ഉപയോഗിക്കുക.
Jackson 2.x ഉപയോഗിച്ച് JSON ഡിസീരിയലൈസ് ചെയ്യുക.
പുറം ലോകത്തിന് കണക്ഷൻ പേജിംഗ് ഫീൽഡ് നൽകുക.
തൽക്ഷണം അല്ലെങ്കിൽ ഡീരിയലൈസേഷൻ സമയത്ത് അപ്രതീക്ഷിത ലോജിക്ക് നടത്താൻ കഴിയുന്ന പ്രത്യേക ക്ലാസുകൾ ക്ലാസ്പാത്തിൽ അടങ്ങിയിരിക്കുന്നു.

വ്യവസ്ഥകൾ പാലിക്കുമ്പോൾ ക്ഷുദ്രകരമായ GraphQL അഭ്യർത്ഥന RCE-ന് കാരണമായേക്കാം. “ജാക്‌സൺ ഉപയോഗിക്കുന്ന എല്ലാ Java പ്രോഗ്രാമുകളും ചൂഷണം ചെയ്യാം” എന്നതിലേക്ക് ഇത് ചുരുക്കാൻ കഴിയില്ല. S25

എന്തുകൊണ്ട് 2.0.4 അപര്യാപ്തമാണ്: ജൂണിൽ, CVE-2026-41699 2.0.4 പോലെയുള്ള പാച്ച് ബേസ്‌ലൈനുകൾ നൽകിയിരുന്നു, ഓഗസ്റ്റിലെ പ്രഖ്യാപനത്തിൽ 2.0.4 സ്വാധീനം വ്യക്തമായി ഉൾപ്പെടുത്തിയിട്ടുണ്ട്. അതിനാൽ, തുടർന്നുള്ള അറിയിപ്പുകൾ അനുസരിച്ച് റിപ്പയർ റെക്കോർഡ് അപ്ഡേറ്റ് ചെയ്യണം, കൂടാതെ പഴയ CVE ൻ്റെ ഏറ്റവും കുറഞ്ഞ പതിപ്പ് ഉപയോഗിക്കാൻ കഴിയില്ല. S26

അപ്‌ഗ്രേഡ് താൽക്കാലികമായി ലഭ്യമല്ലെങ്കിൽ, വിശ്വസനീയമല്ലാത്ത കോളർമാർക്ക് ആക്‌സസ് ചെയ്യാവുന്ന ബാധിത പേജിനേഷൻ ഫീൽഡുകൾ താൽക്കാലികമായി നിർത്തിവയ്ക്കാനാകും; ഡിസീരിയലൈസ് ചെയ്യാവുന്ന തരങ്ങളും ക്ലാസ് പാതകളും ചുരുക്കുന്നത് ഒരു ആഴത്തിലുള്ള നടപടിയാണ്. റിഗ്രഷനുകൾ നിയമപരമായ കഴ്‌സറുകൾ, പേജ് ചെയ്‌ത ഫലങ്ങൾ, ഒഴിവാക്കലുകൾ ഇൻപുട്ട് നിരസിക്കൽ എന്നിവ ഉൾക്കൊള്ളണം, കൂടാതെ അന്തിമ ആപ്ലിക്കേഷൻ JAR-നുള്ളിലെ യഥാർത്ഥ ഘടക പതിപ്പുകൾ പരിശോധിക്കുക.

4.4 Spring Security: CVE-2026-59270 ഉം അനുബന്ധ പ്രാമാണീകരണ അപകടസാധ്യതകളും

CVE-2026-59270, 2026-08-20, Critical. ഉൾച്ചേർത്ത UnboundIdContainer ഡിഫോൾട്ടായി അറിയപ്പെടുന്ന അഡ്മിനിസ്ട്രേറ്റർ ക്രെഡൻഷ്യലുകൾ രജിസ്റ്റർ ചെയ്യുകയും എല്ലാ നെറ്റ്‌വർക്ക് ഇൻ്റർഫേസുകളിലും കേൾക്കുകയും ചെയ്യുന്നു. ഘടകം പ്രവർത്തനക്ഷമമാക്കുകയും പോർട്ട് എത്തുകയും ചെയ്യുമ്പോൾ, ആക്രമണകാരിക്ക് ഡയറക്‌ടറി ഡാറ്റ വായിക്കാനോ പരിഷ്‌ക്കരിക്കാനോ കഴിയും; സാധാരണയായി Spring Security അവതരിപ്പിക്കുന്ന പ്രോജക്റ്റുകൾ LDAP യാന്ത്രികമായി വെളിപ്പെടുത്തില്ല. S27

ബാധിത പ്രദേശം:

ശാഖ	ബാധിച്ചു	ആദ്യം പരിഹരിക്കൽ/ഏറ്റെടുക്കൽ ചാനൽ
7.1	7.1.0	7.1.1 OSS; വാണിജ്യപരമായ 7.1.0.1
7.0	7.0.0—7.0.6	7.0.7 OSS; വാണിജ്യപരമായ 7.0.6.1
6.5 / 6.4	6.5.0—6.5.11；6.4.0—6.4.18	6.5.12/6.4.19, വാണിജ്യ
5.8 / 5.7	5.8.0—5.8.27；5.7.0—5.7.25	5.8.28/5.7.26, വാണിജ്യ

ഉറവിടം: S27. spring.ldap.embedded.* ഓട്ടോമാറ്റിക് കോൺഫിഗറേഷനും നേരിട്ടുള്ള തൽക്ഷണ കോഡും ട്രബിൾഷൂട്ട് ചെയ്യുക; നിർമ്മാണത്തിന് ആവശ്യമില്ലാത്തപ്പോൾ ഘടകം അടച്ച് യഥാർത്ഥ ശ്രവണ വിലാസം പരിശോധിക്കുക. ബിസിനസ്സിന് ശരിക്കും ആവശ്യമുള്ളപ്പോൾ, ആദ്യം കോളിംഗ് ഉറവിടങ്ങൾ പരിമിതപ്പെടുത്തുക, തുടർന്ന് ഘടകം അപ്‌ഗ്രേഡ് പൂർത്തിയാക്കുക.

ബന്ധപ്പെട്ട പ്രാമാണീകരണ പ്രശ്നം: CVE-2026-47841 ( High ). WebAuthn ഉപയോക്തൃ പ്രാമാണീകരണം സജ്ജീകരിച്ചിരിക്കുന്നു REQUIRED , ശേഷം HTTP വിതരണം ചെയ്ത സ്റ്റോറേജ് വഴിയാണ് സെഷൻ ക്രമീകരിച്ചിരിക്കുന്നത്, തെറ്റായ ഒബ്ജക്റ്റ് ഐഡൻ്റിറ്റി താരതമ്യം ആധികാരികത ആവശ്യകതയെ അസാധുവാക്കിയേക്കാം. ആക്രമണത്തിന് ആക്രമണകാരിക്ക് ഉപയോക്തൃ ഓതൻ്റിക്കേറ്റർ ഉപകരണം കൈവശം വയ്ക്കേണ്ടതുണ്ട്, ഉപകരണമില്ലാതെ അനിയന്ത്രിതമായ റിമോട്ട് ലോഗിൻ അല്ല. ൻ്റെ അനുബന്ധ ബാധിത പതിപ്പുകൾക്കായി 7.1 , 7.0 , 6.5 , ഒപ്പം 6.4 , പാച്ച് ബേസ്‌ലൈൻ മുകളിലെ പട്ടികയിലെ ഈ ശാഖകളുമായി പൊരുത്തപ്പെടുന്നു; സ്ഥിരീകരണം ക്രോസ്-നോഡ് സെഷനുകൾ ഉൾക്കൊള്ളണം, തുടർന്നും പിൻ/ബയോമെട്രിക് പരിശോധന ആവശ്യമാണ്. S28

5. Python ഇക്കോസിസ്റ്റം: ഇൻ്റർപ്രെറ്റർ, സ്റ്റാൻഡേർഡ് ലൈബ്രറി, ചട്ടക്കൂട്, സർട്ടിഫിക്കറ്റുകൾ

5.1 CVE-2026-19445: SSLContext UAF SNI കോൾബാക്കിൽ

പ്രസിദ്ധീകരണ തീയതി: 2026-09-30; PSF നില: Critical . ഇൻ Python സെർവർ TLS , sni_callback കണക്ഷൻ മറ്റൊന്നിലേക്ക് മാറ്റുന്നു SSLContext , കൂടാതെ യഥാർത്ഥ സന്ദർഭത്തിന് നിലനിൽക്കുന്ന മറ്റ് പരാമർശങ്ങൾ ഇല്ലാത്തപ്പോൾ, ആധികാരികമല്ല TLS ക്ലയൻ്റ് സേവനം ക്രാഷ് ചെയ്യാം അല്ലെങ്കിൽ റിലീസ് ചെയ്ത ഒബ്‌ജക്റ്റിൽ ഒരു പോയിൻ്ററിനെ വിളിക്കാം. S29

Python ഒബ്‌ജക്‌റ്റ് അടിസ്ഥാനമായ TLS കോൾബാക്ക് ജീവിത ചക്രവുമായി പൊരുത്തപ്പെടുന്നില്ല എന്നതാണ് കാതൽ. യഥാർത്ഥ സന്ദർഭം റിലീസ് ചെയ്‌തു, അണ്ടർലൈയിംഗ് ലെയർ ഇപ്പോഴും കോൾബാക്കിന് ആവശ്യമായ അവസ്ഥ നിലനിർത്തിയേക്കാം; റഫറൻസ് ലൈഫ് സൈക്കിൾ പരിഹരിക്കാൻ ഇൻ്റർപ്രെറ്റർ നേറ്റീവ് പാച്ച് ഉപയോഗിക്കേണ്ടതുണ്ട്. S47

Scope: Python ഒരു TLS ക്ലയൻ്റ് ആയി മാത്രം പ്രവർത്തിക്കുന്ന കോഡ് ഈ ഇനത്തെ ബാധിക്കില്ല; ശ്രവണ സോക്കറ്റിൻ്റെ സാധാരണ മോഡ്, പ്രഖ്യാപനത്തിൽ വിവരിച്ചിരിക്കുന്ന നിർദ്ദിഷ്ട പരാജയ പാതയിൽ പെടുന്നില്ല. Nginx TLS അവസാനിപ്പിച്ചതിന് ശേഷം, അത് പ്രാദേശിക HTTP-ലേക്ക് Python-ലേക്ക് കൈമാറുന്നു, കൂടാതെ Python നേരിട്ട് SNI കൈകാര്യം ചെയ്യുന്നു, ഇത് മറ്റൊരു ആക്രമണ പ്രതലമാണ്. S29

3.10—3.14 സ്ഥിര പതിപ്പിന് അനുസൃതമായി, 2.3. വിഭാഗം കാണുക 3.15 ൻ്റെ ഔദ്യോഗിക പതിപ്പ് നന്നാക്കി, കൂടാതെ 3.15.1 യഥാർത്ഥത്തിൽ തിരഞ്ഞെടുക്കാം. pip ഡിപൻഡൻസി അപ്‌ഡേറ്റ് ചെയ്‌താൽ മാത്രമേ വ്യാഖ്യാതാവിൻ്റെ _ssl നടപ്പിലാക്കൽ മാറ്റിസ്ഥാപിക്കാനാകില്ല. S33 S35 S47

ഔദ്യോഗിക താൽക്കാലിക ലഘൂകരണം: സെർവർ ലൈഫ് സൈക്കിളിൻ്റെ അവസാനം വരെ SNI കോൾബാക്ക് സജ്ജീകരിച്ചിട്ടുള്ള എല്ലാ SSLContext ലേക്കുള്ള ശക്തമായ റഫറൻസുകൾ സൂക്ഷിക്കുന്നു. ഇത് യഥാർത്ഥ ചലനാത്മക സൃഷ്ടിയും വഴി മാറുന്നതും മറയ്ക്കേണ്ടതുണ്ട്; ഇഷ്‌ടാനുസൃത OpenSSL 1.1.1 ബിൽഡ് ഔദ്യോഗിക ഇഷ്യൂ റെക്കോർഡിനൊപ്പം പുനരാലോചന വ്യവസ്ഥകളും പരിശോധിക്കുകയും അപ്‌ഡേറ്റുകൾ പൂർത്തിയാക്കുന്നതിന് മുൻഗണന നൽകുകയും വേണം. S29 S47

5.2 CVE-2026-19553: ഹോസ്റ്റ്നാമം ഫ്ലാഗ് ഓണാണ്, പക്ഷേ വിളിക്കുമ്പോൾ ഹോസ്റ്റ്നാമം കാണുന്നില്ല

പൊതു തീയതി: 2026-09-30; High.SSLContext.check_hostname=True, server_hostname-ൽ wrap_bio() പാസ്സാക്കിയില്ലെങ്കിൽ, യഥാർത്ഥ നടപ്പാക്കൽ ഹോസ്റ്റ്നാമം സ്ഥിരീകരണം നിശബ്ദമായി ഒഴിവാക്കിയേക്കാം. വിജയകരമായ സർട്ടിഫിക്കറ്റ് ചെയിൻ വെരിഫിക്കേഷൻ എന്നതിനർത്ഥം ടാർഗെറ്റ് ഡൊമെയ്ൻ നാമവും പൊരുത്തപ്പെട്ടു എന്നല്ല. S30

പരിഹാരത്തിന് രണ്ട് ഘട്ടങ്ങളും ആവശ്യമാണ്:

2.3. വിഭാഗത്തിൽ ലിസ്റ്റ് ചെയ്തിരിക്കുന്ന ഇൻ്റർപ്രെറ്റർ സെക്യൂരിറ്റി റിലീസ് ഇൻസ്റ്റാൾ ചെയ്യുക
wrap_bio(), അനുബന്ധ asyncio.create_connection() / loop.start_tls() പാത്തുകൾ പരിശോധിക്കുക, പ്രതീക്ഷിക്കുന്നതും ശൂന്യമല്ലാത്തതുമായ ഹോസ്റ്റ്നാമം വ്യക്തമായി കടന്നുപോകുക, സർട്ടിഫിക്കറ്റ് പരിശോധന ഓണാക്കി വയ്ക്കുക. S30

**ഒഴിവാക്കാനാവാത്ത അനുയോജ്യത വ്യത്യാസങ്ങൾ:**3.10, 3.11, 3.12 അനുയോജ്യതയ്ക്കായുള്ളതാണ്, ചില സന്ദർഭങ്ങളിൽ ഹോസ്റ്റ്നാമം നഷ്‌ടമായാൽ DeprecationWarning മാത്രമേ നൽകിയിട്ടുള്ളൂ; 3.13, പിന്നീട് ValueError ഉയർത്തുക. 3.12 ബാക്ക്‌പോർട്ടും None ശൂന്യമായ സ്ട്രിംഗുകളിൽ നിന്ന് വ്യക്തമായി വേർതിരിക്കുന്നു: None എന്നതിനായി ഒരു പുതിയ മുന്നറിയിപ്പ് ചേർത്തു, കൂടാതെ ശൂന്യമായ സ്ട്രിംഗുകൾക്ക് ഒരു പിശക് ഇപ്പോഴും റിപ്പോർട്ട് ചെയ്യപ്പെടുന്നു. അതിനാൽ, ലോ-ബ്രാഞ്ച് ഉപയോക്താക്കൾക്ക് യഥാർത്ഥത്തിൽ നഷ്‌ടമായ ഡൊമെയ്ൻ നെയിം സ്ഥിരീകരണം അപ്‌ഗ്രേഡുചെയ്യുന്നതിലൂടെ സ്വയമേവ പുനഃസ്ഥാപിക്കപ്പെട്ടുവെന്ന് അനുമാനിക്കാൻ കഴിയില്ല. S31 S33

ഒരു ടെസ്റ്റ് പരിതസ്ഥിതിയിൽ, പൊരുത്തമില്ലാത്ത ഹോസ്റ്റ്നാമമുള്ള ഒരു വിശ്വസനീയ-ചെയിൻ സർട്ടിഫിക്കറ്റ് ഉപയോഗിക്കുകയും യഥാർത്ഥ ആപ്ലിക്കേഷൻ TLS ക്ലയൻ്റ് നിരസിക്കുന്നുണ്ടെന്ന് സ്ഥിരീകരിക്കുകയും ചെയ്യുക. check_hostname ബൂളിയൻ മൂല്യം വായിക്കുന്നത് പൂർണ്ണമായ സ്വീകാര്യത നൽകുന്നില്ല.

5.3 CVE-2026-82049: ടാർഫിൽ ഫിൽട്ടറിലെ ലിങ്ക് കോമ്പിനേഷൻ ബൈപാസ്

പൊതു തീയതി: 2026-09-14; High . ഇൻ CPython 3.13 മുമ്പത്തെ അനുബന്ധ നിർവ്വഹണങ്ങൾ, വിശ്വസനീയമല്ലാത്ത ടാറിലെ ഹാർഡ് ലിങ്കുകളുടെയും പ്രതീകാത്മക ലിങ്കുകളുടെയും സംയോജനം മറികടക്കാൻ കഴിയും data / tar എക്‌സ്‌ട്രാക്ഷൻ ഫിൽട്ടർ, അൺപാക്കിംഗ് ട്രീയിലെ അൺപാക്കിംഗ് ഡയറക്‌ടറിക്ക് പുറത്തുള്ള ഫയലുകളുടെ ഉള്ളടക്കം തുറന്നുകാട്ടുന്നു, അല്ലെങ്കിൽ അവയുടെ അനുമതികളും പരിഷ്‌ക്കരണ സമയങ്ങളും പരിഷ്‌ക്കരിക്കുന്നു. S32

ഈ ദുർബലതയുടെ സ്ഥിരീകരിക്കപ്പെട്ട ആഘാതങ്ങളിൽ ഫയൽ ഉള്ളടക്കം എക്സ്പോഷറും മെറ്റാഡാറ്റ പരിഷ്ക്കരണവും ഉൾപ്പെടുന്നു; ബാഹ്യ ഫയൽ ഉള്ളടക്കത്തിൻ്റെ അനിയന്ത്രിതമായ പുനരാഖ്യാനമോ RCE ൻ്റെ നിരുപാധികമായ നടപ്പാക്കലോ തെളിയിക്കാൻ ഈ ആഘാതങ്ങൾ മാത്രം മതിയാകില്ല.

ൻ്റെ അനുബന്ധ പാച്ച് അടിസ്ഥാനരേഖകൾക്കായി 3.10 — 3.13 , വിഭാഗം കാണുക 2.3. Python 3.14 കാരണം ഈ പ്രത്യേക പ്രശ്നത്തിൽ നിന്ന് ഒഴിവാക്കിയിരിക്കുന്നു os.link() മുതൽ സ്വഭാവം മാറുന്നു 3.14.0b1 , അതിനാൽ ബാധിച്ച വ്യാപ്തി 3.10 — 3.13 മുകളിലുള്ള ശാഖ ബാധകമല്ല. S33

താത്കാലികവും ആഴത്തിലുള്ളതുമായ നടപടികൾ: വിശ്വസനീയമല്ലാത്ത ആർക്കൈവുകളുടെ സ്വയമേവ വേർതിരിച്ചെടുക്കൽ താൽക്കാലികമായി നിർത്തുന്നു; ബിസിനസ്സ് പ്രോസസ്സ് ചെയ്യേണ്ട സമയത്ത് ഒറ്റപ്പെട്ട ലോ-പ്രിവിലേജ് വർക്കർ പ്രോസസുകളും പുതിയ എക്സ്ക്ലൂസീവ് ഡയറക്ടറികളും ഉപയോഗിക്കുക, പ്രതീകാത്മക ലിങ്കുകൾ, ഹാർഡ് ലിങ്കുകൾ, ബിസിനസ്സ് വഴിയുള്ള ഉപകരണ എൻട്രികൾ എന്നിവ നിരസിക്കുക, ഫയലുകളുടെയും ഡീകംപ്രഷൻ ഉറവിടങ്ങളുടെയും എണ്ണം പരിമിതപ്പെടുത്തുക. ഇവ വിന്യാസ ശുപാർശകളാണ്.

filter="data" പൂർണ്ണ വിശ്വാസ തന്ത്രത്തേക്കാൾ പൊതുവായ വിശ്വസനീയമല്ലാത്ത ആർക്കൈവുകൾക്ക് അനുയോജ്യമാണ്, എന്നാൽ പഴയ പതിപ്പിലെ ഫിൽട്ടറിന് തന്നെ ഈ അപകടസാധ്യതയുണ്ട്, മാത്രമല്ല ഈ പരാമീറ്റർ ചേർക്കുന്നത് കൊണ്ട് മാത്രം അപ്ഡേറ്റ് മാറ്റിസ്ഥാപിക്കാനാകില്ല. ഫിൽട്ടർ ഒരു പൂർണ്ണ ഫയൽ സിസ്റ്റം സാൻഡ്ബോക്സും അല്ല. S32 S45

5.4 സപ്ലിമെൻ്ററി റിസ്ക്: CVE-2026-114583 (Medium) കൂടാതെ പാച്ച് റിലീസ് നില

PSF 2026-10-22-ൽ വെളിപ്പെടുത്തി, tarfile.tar_filter-ൻ്റെ നിർദ്ദിഷ്ട ലിങ്ക് പേരുകളുടെ പ്രോസസ്സിംഗ് മറികടക്കാൻ കഴിയും, ഇത് തുടർന്നുള്ള അംഗങ്ങളെ അൺപാക്കിംഗ് ഡയറക്‌ടറിക്ക് പുറത്ത് എഴുതാൻ അനുവദിക്കുന്നു. Medium. ഔദ്യോഗിക പരിഹാരം PR അന്ന് ലയിപ്പിച്ചു; 2026 ഒക്ടോബർ 23 വരെ, ഈ പ്രതിബദ്ധത അടങ്ങിയ ഔദ്യോഗിക മെയിൻ്റനൻസ് റിലീസൊന്നും സ്ഥിരീകരിച്ചിട്ടില്ല. S40

അതുകൊണ്ട്:

ഈ ഇനം Medium ആയി പ്രത്യേകം ലിസ്‌റ്റ് ചെയ്‌തിരിക്കുന്നു.
ഒക്‌ടോബർ 21-ന് പുറത്തിറങ്ങിയ ഇൻ്റർപ്രെറ്റർ പതിപ്പുകളിൽ ഈ പരിഹാരം ഉൾപ്പെടുത്തിയതായി കണക്കാക്കാനാവില്ല.
വിശ്വസനീയമല്ലാത്ത ആർക്കൈവുകൾ കൈകാര്യം ചെയ്യാൻ ഇപ്പോഴും filter="tar" ഉപയോഗിക്കുന്ന പ്രക്രിയ റിലീസ് ബാക്ക്‌പോർട്ട് ട്രാക്ക് ചെയ്യണം; ഈ പ്രോസസ്സിംഗ് പാത ഒരു ചെറിയ കാലയളവിലേക്ക് ഒറ്റപ്പെടുത്തുക അല്ലെങ്കിൽ താൽക്കാലികമായി നിർത്തുക. data-ലേക്ക് മാറുകയും ലിങ്കുകൾ നിരസിക്കുകയും ചെയ്യുമ്പോൾ, അത് ബിസിനസ്സ് ആവശ്യകതകൾ പാലിക്കുന്നുണ്ടെന്ന് നിങ്ങൾ സ്ഥിരീകരിക്കണം, കൂടാതെ ഫിൽട്ടർ മാറ്റുന്നത് നിരുപാധികമായ സാൻഡ്‌ബോക്‌സ് എന്ന് വിശേഷിപ്പിക്കാനാവില്ല.

5.5 GeoDjango: CVE-2026-15307 ഉം ഒക്ടോബറിലെ തുടർന്നുള്ള പരിഹാരങ്ങളും

2026-08-04, Django ഔദ്യോഗിക High. സ്പേഷ്യൽ അന്വേഷണം ചില സ്ട്രിംഗുകൾ/നിഘണ്ടുക്കൾ GDALRaster-ലേക്ക് പരോക്ഷമായി കൈമാറുന്നു, അല്ലെങ്കിൽ ഡ്രൈവർ നെറ്റ്‌വർക്ക് അഭ്യർത്ഥനകൾ എഴുതാം. നിർദ്ദിഷ്ട പാതകളും തുടർന്നുള്ള നിർവ്വഹണ വ്യവസ്ഥകളും ഉണ്ടാകുമ്പോൾ RCE രൂപീകരിച്ചേക്കാം. സ്‌പേഷ്യൽ ഫീൽഡ് മോഡൽ കാണാനുള്ള അനുമതികളുള്ള ജീവനക്കാർക്കും അഡ്‌മിൻ ചേഞ്ച്‌ലിസ്റ്റിലൂടെ ഈ പാത ആക്‌സസ് ചെയ്‌തേക്കാം. S38

പ്രാരംഭ പരിഹാരം 5.2.17 / 6.0.8 ആണ്, ഇത് സ്പേഷ്യൽ ലുക്കപ്പുകൾ സ്വീകരിക്കുന്ന ഇൻപുട്ട് തരങ്ങളെ പരിമിതപ്പെടുത്തുന്നു. ഈ മാറ്റം റാസ്റ്റർ പ്രകടിപ്പിക്കാൻ സ്ട്രിംഗ്/നിഘണ്ടു ഉപയോഗിക്കുന്നതിൻ്റെ യഥാർത്ഥ ബിസിനസിനെ ബാധിച്ചേക്കാം; വിശ്വസനീയമല്ലാത്ത ഇൻപുട്ട് GDALRaster-ലേക്ക് പൊതിയുക എന്നതിനർത്ഥം അത് സ്ഥിരീകരിക്കുക എന്നല്ല. S38

ഒക്ടോബർ 6ന്, CVE-2026-87890 (മിതമായ) അറ്റകുറ്റപ്പണികൾ ചെയ്തു: ബൈറ്റുകളിൽ പ്രകടിപ്പിക്കുന്ന വിആർടിക്ക് ബാഹ്യ ഉറവിടങ്ങളെ പരാമർശിക്കാനും ഇപ്പോഴും നെറ്റ്‌വർക്ക് അഭ്യർത്ഥനകൾ ട്രിഗർ ചെയ്യാനും കഴിയും; അതേ ദിവസം, നെസ്റ്റഡ് ജ്യാമിതി DoS സംരക്ഷണം CVE-2026-15830 ശക്തിപ്പെടുത്തുകയും ചെയ്തു. പുതിയ ഉയർന്ന അപകടസാധ്യത വിവരിക്കുന്നതിന് അവസാനത്തെ രണ്ടെണ്ണം അപ്‌ഗ്രേഡ് ചെയ്യാൻ കഴിയില്ല RCE , എന്നാൽ വിന്യാസത്തിൻ്റെ അടിസ്ഥാനരേഖ ആയിരിക്കണമെന്ന് സൂചിപ്പിക്കുക 5.2.18 / 6.0.9 / 6.1.2 . S39

നടപ്പിലാക്കൽ API, അഡ്മിനിസ്ട്രേഷൻ ഇൻ്റർഫേസ് എന്നിവയുടെ രണ്ട് എൻട്രി പോയിൻ്റുകൾ പരിശോധിക്കുന്നു, വിശ്വസനീയമല്ലാത്ത സ്പേഷ്യൽ ലുക്ക്അപ്പ്, ഫയൽ റൈറ്റ് അനുമതികൾ, ഔട്ട്ബൗണ്ട് ആക്സസ് എന്നിവ നിയന്ത്രിക്കുന്നു; അപ്ഡേറ്റ് ചെയ്ത ശേഷം, റിഗ്രഷൻ-ടെസ്റ്റ് സാധുവായ സ്പേഷ്യൽ അന്വേഷണങ്ങളും നിരോധിത ഇൻപുട്ടിൻ്റെ നിരസിക്കലും. GeoDjango ഉപയോഗിക്കാത്ത സാധാരണ Django ആപ്ലിക്കേഷനുകൾ ഈ RCE നിഗമനം നേരിട്ട് പ്രയോഗിക്കാൻ പാടില്ല.

5.6 certifi / pip: സർട്ടിഫിക്കറ്റ് ട്രസ്റ്റ് എല്ലാ പകർപ്പുകളും ഉൾക്കൊള്ളണം.

GHSA-6q48-6c7w-9gw2 , 2026-10-20, Critical , അറിയപ്പെടുന്നത് CVE പട്ടികപ്പെടുത്തിയിട്ടില്ല. ഇത് മൂലമുണ്ടാകുന്ന സർട്ടിഫിക്കറ്റ് അവിശ്വാസ അപ്‌ഡേറ്റാണ് eMudhra ഇൻ്റർമീഡിയറ്റ് CA സംഭവം. ഇത് HTTPS-ൻ്റെ ക്രിപ്‌റ്റോഗ്രാഫി മെക്കാനിസമായോ എല്ലാ റൂട്ട് സർട്ടിഫിക്കറ്റുകളും തകർന്നുവെന്നോ സംഗ്രഹിക്കാനാവില്ല. S36

certifi അഡൈ്വസറി യഥാർത്ഥത്തിൽ 2026.10.18 ഒരു പാച്ചായി ലിസ്റ്റ് ചെയ്തു; PSF പിന്നീട് വ്യക്തമായും 2026.10.19 ബാധിക്കാത്ത റൂട്ട് സർട്ടിഫിക്കറ്റുകളുമായുള്ള അനുയോജ്യത നിലനിർത്താൻ ശുപാർശ ചെയ്തു. പ്രവർത്തന അടിസ്ഥാനം .19 ആണ്. S36 S37

വേർതിരിച്ചറിയേണ്ടത് ആവശ്യമാണ്:

മെറ്റീരിയൽ സ്ഥാനം വിശ്വസിക്കുക	എന്തുകൊണ്ടാണ് നിങ്ങൾ പ്രത്യേകം പരിശോധിക്കേണ്ടത്
ഓപ്പറേറ്റിംഗ് സിസ്റ്റം CA പാക്കേജ്	ഇമേജ് അല്ലെങ്കിൽ ഹോസ്റ്റിനുള്ള സിസ്റ്റം ട്രസ്റ്റ് മെറ്റീരിയൽ
വെൻവിലെ certifi	CA bundle യഥാർത്ഥത്തിൽ ആപ്ലിക്കേഷനുകളോ അഭ്യർത്ഥനകളോ ഉപയോഗിക്കുന്നു.
pip അന്തർനിർമ്മിത certifi	ബാഹ്യമായി ഇൻസ്റ്റാൾ ചെയ്ത certifi-ൽ നിന്ന് വ്യത്യസ്തമായ ഒരു പകർപ്പാണ്
uv / മറ്റ് പാക്കേജിംഗ് ടൂളുകൾ	ഉപകരണത്തിൻ്റെ സ്വന്തം അപ്‌ഡേറ്റുകളും വിശ്വസനീയമായ ഉറവിടങ്ങളും പിന്തുടരുക
ഇഷ്‌ടാനുസൃതമാക്കിയ CA ഫയലുകൾ, പാക്കേജുചെയ്ത സ്നാപ്പ്ഷോട്ടുകൾ	സിസ്റ്റങ്ങൾക്കോ പാക്കേജുകൾക്കോ വേണ്ടിയുള്ള ഡിഫോൾട്ട് വിശ്വസനീയമായ ഉറവിടങ്ങളെ അസാധുവാക്കുന്നത് തുടരാം

മുകളിൽ പറഞ്ഞിരിക്കുന്നത് വ്യത്യസ്ത പാക്കേജിംഗ് ലൊക്കേഷനുകളെ അടിസ്ഥാനമാക്കിയുള്ള ഒരു ചെക്ക്‌ലിസ്റ്റാണ്. PSF-ന് അനുബന്ധ ഉപകരണങ്ങൾ, നിലവിലുള്ള വെർച്വൽ പരിതസ്ഥിതികൾ, ഇമേജ് പുനർനിർമ്മിക്കൽ എന്നിവ അപ്‌ഡേറ്റ് ചെയ്യേണ്ടതുണ്ട്; ഹോസ്റ്റ് CA അപ്‌ഡേറ്റ് ചെയ്യുന്നതിനോ ഇൻ്റർപ്രെറ്റർ വീണ്ടും ഇൻസ്റ്റാൾ ചെയ്യുന്നതിനോ എല്ലാ പകർപ്പുകളും പുതുക്കിയതായി തെളിയിക്കാൻ കഴിയില്ല. S35 S37

പഴയ pip സുരക്ഷിത ബൂട്ട്‌സ്‌ട്രാപ്പിൽ നിന്ന് അപ്‌ഗ്രേഡ് ചെയ്യുമ്പോൾ, PSF ഫിക്‌സ്‌ഡ് വീൽ, SHA-256 എന്നിവയ്‌ക്കുള്ള കമാൻഡുകൾ നൽകുന്നു, അനുബന്ധം S37 കാണുക. സർട്ടിഫിക്കറ്റ് പ്രശ്നങ്ങൾ മറികടക്കാൻ TLS പരിശോധന ഓഫാക്കരുത് അല്ലെങ്കിൽ --trusted-host ചേർക്കുക.

6. ഔപചാരികമായ പരിഹാര പ്രക്രിയ

ഇനിപ്പറയുന്ന കമാൻഡുകൾ സ്ഥിരീകരിച്ച വിശ്വസനീയമായ പരിതസ്ഥിതികൾക്കുള്ളതാണ്. എക്സിക്യൂട്ട് ചെയ്യുമ്പോൾ, നിലവിലുള്ള പാക്കേജ് മാനേജർ, ലോക്ക് ഫയൽ, പ്രോജക്റ്റിൻ്റെ വിന്യാസ പ്രക്രിയ എന്നിവ സംയോജിപ്പിച്ച് npm/pnpm/നൂൽ അല്ലെങ്കിൽ pip/uv/കവിത കലർത്തി വൈരുദ്ധ്യമുള്ള ലോക്ക് ഫയലുകൾ സൃഷ്ടിക്കുന്നത് ഒഴിവാക്കണം.

ആദ്യം ഒരു അപവാദം കൈകാര്യം ചെയ്യുക: സെക്ഷൻ 9-ൽ എൻവയോൺമെൻ്റ് അപഹരിക്കപ്പെട്ട പാക്കേജ് പ്രവർത്തിപ്പിച്ചിട്ടുണ്ടെന്ന് നിങ്ങൾ സംശയിക്കുന്നുവെങ്കിൽ, ആദ്യം അത് ഒറ്റപ്പെടുത്തുക, വൃത്തിയുള്ള അന്തരീക്ഷത്തിൽ നിന്ന് ഡിസ്കും ലോക്ക് ഫയലും ഇമേജ് റെക്കോർഡും പരിശോധിക്കുക; ഇനിപ്പറയുന്ന Python/pip കമാൻഡ് ആദ്യം പ്രവർത്തിപ്പിക്കരുത്. S41

6.1 യഥാർത്ഥ ട്രാഫിക്കുമായി പൊരുത്തപ്പെടാൻ കഴിയുന്ന ഒരു ലെഡ്ജർ സ്ഥാപിക്കുക

ഓരോ സേവനവും കുറഞ്ഞത് രേഖപ്പെടുത്തുന്നു:

ബാഹ്യ എൻട്രി പോയിൻ്റ്, റിവേഴ്സ് പ്രോക്സി, ഉത്ഭവ സൈറ്റിലേക്കുള്ള നേരിട്ടുള്ള കണക്ഷൻ പാത, പശ്ചാത്തല ക്യൂ/ഷെഡ്യൂൾ ചെയ്ത ജോലികൾ.
യഥാർത്ഥ സ്റ്റാർട്ടപ്പ് കമാൻഡ്, റണ്ണിംഗ് അക്കൗണ്ട്, ബൈനറി പാത്ത്, പ്രോസസ്സ് അല്ലെങ്കിൽ കണ്ടെയ്നർ ഐഡൻ്റിറ്റി.
റൺടൈം പൂർണ്ണ പതിപ്പ്, പ്രസാധകൻ/ശേഖരം, പാക്കേജിൻ്റെ പൂർണ്ണ പതിപ്പ് അല്ലെങ്കിൽ ഇമേജ് ഡൈജസ്റ്റ്.
ചട്ടക്കൂടും ട്രാൻസിറ്റീവ് ഡിപൻഡൻസികളും ലോക്ക് ഫയലുകളും നേറ്റീവ് ലൈബ്രറികളും ട്രസ്റ്റ് സ്റ്റോർ പാത്തുകളും.
അപകടസാധ്യത നിലവിലുണ്ടോ എന്നതുമായി ബന്ധപ്പെട്ട്, പാച്ച് ടാർഗെറ്റ്, റീസ്റ്റാർട്ട് സ്കോപ്പ്, ഉത്തരവാദിത്തമുള്ള വ്യക്തി, സ്ഥിരീകരണ ഫലം.

ഡവലപ്‌മെൻ്റ് മെഷീനുകൾ, സിഐ റണ്ണർമാർ, ബിൽഡ് കണ്ടെയ്‌നറുകൾ, ബാക്ക്‌ഗ്രൗണ്ട് ടാസ്‌ക്കുകൾ എന്നിവയും വിശ്വസനീയമല്ലാത്ത ഉള്ളടക്കത്തിലേക്കുള്ള അവരുടെ പാതകൾക്കനുസരിച്ച് പരിശോധിക്കണം; പൊതുജനങ്ങൾ അഭിമുഖീകരിക്കുന്ന വെബ് കണ്ടെയ്‌നർ മാത്രം അപ്‌ഡേറ്റ് ചെയ്യരുത്.

6.2 Node.js: ആദ്യം റൺടൈം നിർണ്ണയിക്കുക, തുടർന്ന് ആപ്ലിക്കേഷൻ ഡിപൻഡൻസികൾ അപ്ഡേറ്റ് ചെയ്യുക

യഥാർത്ഥ സേവന പരിതസ്ഥിതിയിൽ പരിശോധിക്കുക:

node -p 'JSON.stringify({execPath:process.execPath,node:process.version,openssl:process.versions.openssl,brotli:process.versions.brotli},null,2)'
npm ls next react react-dom react-server-dom-webpack react-server-dom-parcel react-server-dom-turbopack sharp --all
npm audit --omit=dev

node -p സേവനത്തിൻ്റെ യഥാർത്ഥ എക്സിക്യൂട്ടബിൾ ഉപയോഗിച്ചോ യഥാർത്ഥ കണ്ടെയ്‌നറിനുള്ളിലോ നടപ്പിലാക്കണം; ഇത് പുതുതായി സമാരംഭിച്ച പ്രക്രിയകൾ പരിശോധിക്കുന്നു, പഴയ തൊഴിലാളിയെ മാറ്റിസ്ഥാപിച്ചതായി സ്വയം തെളിയിക്കുന്നില്ല. യഥാർത്ഥ ലൈബ്രറി പതിപ്പ് സ്ട്രിംഗ് നിലനിർത്തിക്കൊണ്ട് Node-ന് ബിൽറ്റ്-ഇൻ Brotli-ലേക്ക് പാച്ച് ചേർക്കാൻ കഴിയും. അതിനാൽ, അത് നന്നാക്കിയിട്ടുണ്ടോ എന്ന് നിർണ്ണയിക്കാൻ process.versions.brotli-നെ മാത്രം ആശ്രയിക്കരുത്. നിങ്ങൾ ഇത് Node സുരക്ഷാ പതിപ്പുമായോ വെണ്ടറുടെ ബാക്ക്‌പോർട്ട് തെളിവുമായോ സംയോജിപ്പിക്കണം. S2 S4

യഥാർത്ഥ ഡിപൻഡൻസി ട്രീ കാണാൻ npm ls ഉപയോഗിക്കുന്നു; നഷ്‌ടമായ പാക്കേജുകൾ അല്ലെങ്കിൽ പിയർ വൈരുദ്ധ്യങ്ങൾ പൂജ്യമല്ലാത്ത എക്‌സിറ്റ് കോഡുകൾ സൃഷ്‌ടിച്ചേക്കാം, അതിനാൽ നിങ്ങൾ നിർദ്ദിഷ്ട ഔട്ട്‌പുട്ട് വായിക്കണം. npm audit ഒരു ആശ്രിത പരിശോധന സഹായമായി ഉപയോഗിക്കുന്നു, കൂടാതെ Node ബൈനറി, നേറ്റീവ് ലൈബ്രറി പരിശോധന എന്നിവ മാറ്റിസ്ഥാപിക്കാൻ കഴിയില്ല.

Node 24ൻ്റെ പരിസ്ഥിതി നിയന്ത്രിക്കാൻmise ഉപയോഗിക്കുക, അത് ഇനിപ്പറയുന്ന രീതിയിൽ അപ്‌ഡേറ്റ് ചെയ്യാം:

mise use -g [email protected]
mise exec [email protected] -- node -p 'process.version + " " + process.execPath'

mise use -g ആഗോള പതിപ്പ് കോൺഫിഗർ ചെയ്യുന്നു; പ്രോജക്റ്റിൻ്റെ പ്രാദേശിക കോൺഫിഗറേഷൻ ഇപ്പോഴും പ്രത്യേകം പരിശോധിക്കേണ്ടതുണ്ട്. സേവനം പഴയ സമ്പൂർണ്ണ പാതയോ, കണ്ടെയ്‌നർ ബേസ് ഇമേജോ, മറ്റൊരു അക്കൗണ്ടിൻ്റെ പരിതസ്ഥിതിയോ പരിഹരിച്ചിട്ടുണ്ടെങ്കിൽ, അനുബന്ധ കോൺഫിഗറേഷൻ അപ്‌ഡേറ്റ് ചെയ്യുകയും സേവനം പുനരാരംഭിക്കുകയും വേണം. കമാൻഡ് തന്നെ ഒരു പഴയ പ്രവർത്തിക്കുന്ന പ്രക്രിയയെ മാറ്റിസ്ഥാപിക്കുന്നില്ല. S43

Next പ്രോജക്റ്റിൽ, തിരഞ്ഞെടുത്ത ബ്രാഞ്ച് അനുസരിച്ച് അനുബന്ധ കമാൻഡ് എക്സിക്യൂട്ട് ചെയ്യുക. Next 15-ന്:

# Next 15 分支
npm install --save-exact [email protected]

Next 16-ന്:

# Next 16 分支
npm install --save-exact [email protected]

React/RSC അനുയോജ്യമായ ഡിപൻഡൻസികൾ പരിശോധിക്കുക, ഫയലുകൾ ലോക്ക് ചെയ്യുക, അവസാനത്തെ മൂർച്ചയുള്ള ഉദാഹരണം എന്നിവ പരിശോധിക്കുക, തുടർന്ന് പ്രോജക്റ്റ് പ്രോസസ്സ് അനുസരിച്ച് നിർമ്മിക്കുക. പുനരുൽപ്പാദിപ്പിക്കാവുന്ന ഇൻസ്റ്റാളേഷനായി CI-യിലെ അപ്‌ഡേറ്റ് ചെയ്ത ലോക്ക് ഫയൽ ഉപയോഗിക്കുക, നിർമ്മാണത്തിന് ശേഷം പ്രവർത്തിക്കുന്ന ഇമേജിലെ പതിപ്പ് പരിശോധിക്കുക. ഈ അടിയന്തരാവസ്ഥയ്ക്കുള്ള ഡിഫോൾട്ട് പരിഹാരമായി പ്രധാന പതിപ്പുകളിലുടനീളം അനിയന്ത്രിതമായ ഓട്ടോമാറ്റിക് റിപ്പയർ ഉപയോഗിക്കരുത്.

6.3 Java: പ്രസാധകനെയും യഥാർത്ഥ JVM ഉം ഉൾച്ചേർത്ത ഘടകങ്ങളെയും പരിശോധിക്കുക

പ്രാഥമിക ഇൻവെൻ്ററി:

java -XshowSettings:properties -version

java.home, java.runtime.version, ഔട്ട്‌പുട്ടിലെ പ്രസാധകൻ എന്നിവ സേവനം യഥാർത്ഥത്തിൽ ഉപയോഗിക്കുന്ന JVM-മായി വിന്യസിക്കണം. JVM-ന്, അറ്റാച്ച് അനുമതിയോടെ, JDK-ൻ്റെ jcmd ടാർഗെറ്റ് പ്രോസസ്സ് പരിശോധിക്കാൻ ഉപയോഗിക്കാം, ലോഗിൻ ഷെൽ മാത്രമല്ല.

വിശ്വസനീയമായ പ്രോജക്റ്റുകളിലെ ഡിപൻഡൻസികൾ പരിശോധിച്ച് യഥാർത്ഥ ബിൽഡ് ടൂളുകളെ അടിസ്ഥാനമാക്കി തിരഞ്ഞെടുക്കുക:

./mvnw dependency:tree '-Dincludes=org.apache.tomcat.embed:*,org.springframework.security:*,org.springframework.graphql:*'

./gradlew dependencyInsight --dependency tomcat-embed-core --configuration runtimeClasspath
./gradlew dependencyInsight --dependency spring-security-core --configuration runtimeClasspath
./gradlew dependencyInsight --dependency spring-graphql --configuration runtimeClasspath

ഈ ബിൽഡ് കമാൻഡുകൾ പ്ലഗ്-ഇന്നുകൾ എക്സിക്യൂട്ട് ചെയ്യുകയും ഓൺലൈനിൽ ഡിപൻഡൻസികൾ പരിഹരിക്കുകയും ചെയ്യാം, മാത്രമല്ല വിശ്വസനീയമായ പ്രോജക്റ്റുകളിൽ മാത്രം പ്രവർത്തിക്കുകയും ചെയ്യും. ചിത്രത്തിലെ അവസാന JAR/WAR അല്ലെങ്കിൽ യഥാർത്ഥ JAR പരിശോധിക്കുക, അന്തിമ ആർട്ടിഫാക്റ്റിനായി ബിൽഡ് ഫയൽ ഡിക്ലറേഷനുകൾ മാറ്റിസ്ഥാപിക്കരുത്. Spring ബൂട്ട് എംബഡഡ് Tomcat ആപ്ലിക്കേഷൻ പുനർനിർമ്മിക്കേണ്ടതുണ്ട്; സിസ്റ്റത്തിൽ ഒരു പ്രത്യേക Tomcat ഇൻസ്റ്റലേഷൻ അപ്ഡേറ്റ് ചെയ്യുന്നത് ആപ്ലിക്കേഷൻ പാക്കേജിലെ പകർപ്പ് പരിഷ്ക്കരിക്കില്ല.

റൺടൈം അപ്‌ഡേറ്റ് ചെയ്‌ത ശേഷം, ഇഷ്‌ടാനുസൃതമാക്കിയ javax.net.ssl.trustStore, ആപ്ലിക്കേഷൻ-സ്വയം-ലോഡ് ചെയ്‌ത കീസ്റ്റോർ, jlink റൺടൈം, GraalVM/നേറ്റീവ് ഇമേജ്, മറ്റ് ഡെലിവറി ഫോമുകൾ എന്നിവ ഇനം അനുസരിച്ച് പരിശോധിക്കുക. JDK ഡയറക്‌ടറി പുതിയതായതിനാൽ ഇതിനകം തന്നെ ഇഷ്‌ടാനുസൃതമാക്കിയ ട്രസ്റ്റ് മെറ്റീരിയലുകൾ ഉള്ള അപ്ലിക്കേഷനുകൾക്ക് പരിശോധന അവസാനിപ്പിക്കാനാവില്ല.

6.4 Python: ഇൻ്റർപ്രെറ്റർ-ബൈ-ഇൻ്റർപ്രെറ്റർ, വെർച്വൽ എൻവയോൺമെൻ്റ് പ്രോസസ്സിംഗ്

യഥാർത്ഥ venv/കണ്ടെയ്‌നറിനുള്ളിൽ വിശ്വസനീയമാണെന്ന് സ്ഥിരീകരിച്ചു:

python - <<'PY'
import sys
import ssl
import importlib.metadata as metadata

print("executable:", sys.executable)
print("version:", sys.version)
print("openssl:", ssl.OPENSSL_VERSION)
print("verify_paths:", ssl.get_default_verify_paths())
for name in ("pip", "certifi", "Django", "urllib3", "Brotli", "litellm"):
    try:
        print(name + ":", metadata.version(name))
    except metadata.PackageNotFoundError:
        print(name + ": not installed")
PY

python -m pip --version
python -m pip check

ഈ സ്‌ക്രിപ്റ്റ് വിവരങ്ങൾ മാത്രമേ ശേഖരിക്കൂ, പതിപ്പ് യോഗ്യതാ നിർണയം നടത്തുന്നില്ല. ssl.get_default_verify_paths() എന്നത് സ്ഥിരസ്ഥിതി പാത്ത് വിവരമാണ്, കൂടാതെ എല്ലാ മൂന്നാം കക്ഷി ക്ലയൻ്റുകളും ഒരേ ട്രസ്റ്റ് സ്റ്റോർ ഉപയോഗിക്കുന്നുണ്ടെന്ന് തെളിയിക്കാൻ കഴിയില്ല; ആപ്ലിക്കേഷൻ കോൺഫിഗറേഷൻ അടിസ്ഥാനമാക്കി അത് സ്ഥിരീകരിക്കണം.

അനുബന്ധം S37-ൻ്റെ വിശ്വസനീയമായ pip ബൂട്ട് അപ്‌ഗ്രേഡ് പൂർത്തിയാക്കിയ ശേഷം, പ്രോജക്റ്റ് പരിമിതികൾക്കനുസരിച്ച് സർട്ടിഫിക്കറ്റ് ഡിപൻഡൻസികൾ അപ്‌ഡേറ്റ് ചെയ്യുക, ഉദാഹരണത്തിന്:

python -m pip install --upgrade 'certifi>=2026.10.19'

# 仅适用于当前就选择 Django 5.2 的项目
python -m pip install --upgrade 'Django>=5.2.18,<5.3'

python -m pip check

പ്രോജക്റ്റിൻ്റെ ആവശ്യകതകൾ/ലോക്ക് ഫയൽ ഒരേ സമയം അപ്‌ഡേറ്റ് ചെയ്യേണ്ടതുണ്ട്, അല്ലാത്തപക്ഷം അടുത്ത വിന്യാസം പഴയ പതിപ്പിലേക്ക് മാറിയേക്കാം. uv, കവിത അല്ലെങ്കിൽ ഒരു എൻ്റർപ്രൈസ് പാക്കേജ് ശേഖരം ഉപയോഗിക്കുമ്പോൾ, അവയുടെ നിലവിലുള്ള ലോക്കിംഗ്, പ്രസിദ്ധീകരണ പ്രക്രിയകൾ ഉപയോഗിക്കുക; ഒരു പ്രൊഡക്ഷൻ കണ്ടെയ്‌നറിനുള്ളിൽ മാത്രം പാക്കേജുകൾ സ്വമേധയാ പരിഷ്‌കരിക്കരുത്.

പ്രോജക്റ്റിൻ്റെ നിലവിലുള്ള pip-audit വർക്ക്ഫ്ലോ വിശ്വസനീയമായ പരിതസ്ഥിതിയിൽ അറിയപ്പെടുന്ന ആശ്രിതത്വ കേടുപാടുകൾ പരിശോധിക്കാൻ ഉപയോഗിക്കാം; ഇത് ഒരു ക്ഷുദ്ര കോഡ് സ്കാനർ അല്ല കൂടാതെ എല്ലാ ഇൻ്റർപ്രെട്ടർ, സിസ്റ്റം ലൈബ്രറി, ട്രസ്റ്റ് സ്റ്റോർ അപകടസാധ്യതകൾ എന്നിവ ഉൾക്കൊള്ളുന്നില്ല. S44

ഒരു പുതിയ കംപൈൽ ചെയ്ത പതിപ്പിലേക്ക് പോയിൻ്റ് ചെയ്യാൻ സിസ്റ്റത്തെ /usr/bin/python3 നിർബന്ധിക്കാൻ ശുപാർശ ചെയ്യുന്നില്ല. സിസ്റ്റം Python-നെ ആശ്രയിക്കുന്ന മാനേജ്മെൻ്റ് ടൂളുകൾ തകർക്കുന്നത് ഒഴിവാക്കാൻ റിലീസ് സുരക്ഷാ അപ്ഡേറ്റുകളോ പ്രോജക്റ്റ് ഐസൊലേഷൻ റൺടൈമുകളോ ഉപയോഗിക്കുക. ഇതൊരു നടപ്പാക്കൽ തിരഞ്ഞെടുപ്പാണ്, ഈ അപകടസാധ്യതയ്‌ക്കുള്ള അധിക പരിഹാര ആവശ്യമില്ല.

6.5 റണ്ണിംഗ് ഇൻസ്‌റ്റൻസ് പുനർനിർമ്മിച്ച് മാറ്റിസ്ഥാപിക്കുക

പൂർണ്ണമായ മാറ്റമെന്ന നിലയിൽ ഇനിപ്പറയുന്ന നടപടികൾ സ്വീകരിക്കാൻ ശുപാർശ ചെയ്യുന്നു:

യഥാർത്ഥ വിശ്വസനീയമായ ഉറവിടത്തിൽ നിന്ന് പാച്ച് നേടുകയും പതിപ്പ്/ഹാഷും ഡിപൻഡൻസി ലോക്കും സംരക്ഷിക്കുകയും ചെയ്യുക.
നിർമ്മാണത്തിന് സമീപമുള്ള പരിതസ്ഥിതിയിൽ കീ ഫംഗ്‌ഷനുകൾ തിരികെ നൽകുകയും നേറ്റീവ് എക്സ്റ്റൻഷനുകൾ JVM/ഫ്രെയിംവർക്കിന് അനുയോജ്യമാണെന്ന് സ്ഥിരീകരിക്കുകയും ചെയ്യുക.
റൺടൈം, ആപ്ലിക്കേഷൻ ഡിപൻഡൻസികൾ, യഥാർത്ഥ ട്രസ്റ്റ് സ്റ്റോർ എന്നിവ അപ്ഡേറ്റ് ചെയ്യുക; കണ്ടെയ്‌നറിനായി അടിസ്ഥാന ഇമേജും സിസ്റ്റവും CA പുതുക്കുക, പഴയ ലെയർ വീണ്ടും ഉപയോഗിക്കരുത്.
ആപ്ലിക്കേഷനുകളും ചിത്രങ്ങളും പുനർനിർമ്മിക്കുക, സേവനം, തൊഴിലാളി, ക്യൂ കൺസ്യൂമർ, ഷെഡ്യൂൾ ചെയ്ത ടാസ്‌ക് ഇൻസ്‌റ്റൻസുകൾ എന്നിവ റോളിംഗ് അടിസ്ഥാനത്തിൽ മാറ്റിസ്ഥാപിക്കുക.
പുതിയ റണ്ണിംഗ് ഇൻസ്‌റ്റേഷനിൽ പതിപ്പും കോൺഫിഗറേഷനും വീണ്ടും പരിശോധിച്ച് പഴയ എല്ലാ പകർപ്പുകളും പുറത്തുകടന്നതായി സ്ഥിരീകരിക്കുക.
പിശക് നിരക്കുകൾ, ലേറ്റൻസി, CPU/മെമ്മറി, TLS ഹാൻഡ്‌ഷേക്ക് പരാജയങ്ങൾ, പ്രോസസ്സ് ക്രാഷുകൾ എന്നിവ നിരീക്ഷിക്കുക.

സുരക്ഷിതമായ റൺടൈമും പാച്ച് ഡിപൻഡൻസികളും നിലനിർത്തുന്നതിനും ആപ്ലിക്കേഷൻ കോൺഫിഗറേഷൻ അല്ലെങ്കിൽ ബിസിനസ്സ് മാറ്റങ്ങൾ റോൾ ബാക്ക് ചെയ്യുന്നതിനും റോൾബാക്ക് മുൻഗണന നൽകണം. നിങ്ങൾക്ക് കേടുപാടുകൾ ഉള്ള ഒരു പഴയ ഉൽപ്പന്നത്തിലേക്ക് മടങ്ങേണ്ടിവന്നാൽ, അനുബന്ധ എൻട്രി നിയന്ത്രണങ്ങൾ ഒരേസമയം പുനഃസ്ഥാപിക്കുകയും ഉത്തരവാദിത്തമുള്ള വ്യക്തിയും കുറഞ്ഞ വീണ്ടെടുക്കൽ കാലയളവും വ്യക്തമായി നിർവചിക്കുകയും വേണം.

7. താൽക്കാലിക ലഘൂകരണവും പാച്ച് തിരഞ്ഞെടുക്കലും

7.1 താൽക്കാലിക നടപടികളുടെ കവറേജ് അതിർത്തി

പ്രഖ്യാപിത ഉപയോഗ വ്യവസ്ഥകളെ അടിസ്ഥാനമാക്കിയുള്ള നടപ്പാക്കൽ നിർദ്ദേശങ്ങളാണ് ഇനിപ്പറയുന്നവ. ഔദ്യോഗിക പ്ലാൻ ശ്രദ്ധയിൽപ്പെട്ടില്ലെങ്കിൽ, എല്ലാ വകഭേദങ്ങളും പൂർണ്ണമായും തടയാൻ കഴിയുമെന്ന് വെണ്ടർ ഉറപ്പുനൽകുന്നില്ല.

അപകടം	താൽക്കാലിക നടപടികൾ സ്വീകരിക്കാം	ഇതിൻ്റെ അടിസ്ഥാനത്തിൽ പൂർത്തിയായതായി കണക്കാക്കാൻ കഴിയാത്ത ഭാഗം
Brotli ഡീകോഡിംഗ്	വിശ്വസനീയമല്ലാത്ത ഇൻപുട്ട് ഡീകോഡിംഗ് നിർത്തുക; ഇൻബൗണ്ട്, ഔട്ട്ബൗണ്ട് ഓട്ടോമാറ്റിക് ഡികംപ്രഷൻ പരിശോധിക്കുക	ഇൻബൗണ്ട് WAF അല്ലെങ്കിൽ പ്രതികരണ കംപ്രഷൻ ഓഫാക്കുന്നത് എല്ലാ ഡീകോഡിംഗ് എൻട്രികളും S3 ഉൾക്കൊള്ളുന്നില്ല
Next.js typed arrays RCE	ഉടൻ നവീകരിക്കുക; ആവശ്യമെങ്കിൽ ബാധിച്ച സേവനങ്ങളെ താൽക്കാലികമായി ഒറ്റപ്പെടുത്തുക	S9 എന്നതിന് ഔദ്യോഗിക വിശ്വസനീയമായ സാർവത്രിക പരിഹാരമൊന്നുമില്ല
Next.js SVG RCE	ഔദ്യോഗിക പ്ലാൻ: യഥാർത്ഥ മൂർച്ചയുള്ള ≥0.35.5 ഉറപ്പാക്കുക; ബിസിനസ്സ് അനുവദിക്കുമ്പോൾ പ്രസക്തമായ ഒപ്റ്റിമൈസേഷൻ എൻട്രി പോയിൻ്റുകൾ താൽക്കാലികമായി നിർത്തുക	മറ്റ് Next/RSC ലക്കങ്ങൾ S11 കവർ ചെയ്യുന്നില്ല
Tomcat മേഖല / HTTP/2 / AJP	അനുബന്ധ പാത വേർതിരിച്ച് അനാവശ്യ കണക്ടറുകൾ അടയ്ക്കുക	ഇപ്പോഴും അനുബന്ധ ബ്രാഞ്ച് റിപ്പയർ പാക്കേജ് ആവശ്യമാണ് S21 S22 S23
GraphQL ഡീസീരിയലൈസേഷൻ	ബാധിച്ച കണക്ഷൻ ഫീൽഡുകൾ താൽക്കാലികമായി നിർത്തുക; വിശ്വസനീയമല്ലാത്ത കോളർമാരെ നിയന്ത്രിക്കുക	അഭ്യർത്ഥന ദൈർഘ്യ പരിധിക്ക് മാത്രം S25 തരം/ഡീസിയലൈസേഷൻ പ്രശ്നം പരിഹരിക്കാനാകില്ല
Spring embedded LDAP	ആവശ്യമില്ലാത്തപ്പോൾ പ്രവർത്തനരഹിതമാക്കുക; യഥാർത്ഥ ലിസണിംഗ് പോർട്ടിൻ്റെ പരിധി പരിമിതപ്പെടുത്തുക	ഡിഫോൾട്ട് അഡ്മിനിസ്ട്രേറ്റീവ് ഐഡൻ്റിറ്റിയും ഡയറക്‌ടറി സമഗ്രതയും ഇപ്പോഴും പരിശോധിക്കേണ്ടതുണ്ട് S27
CPython SNI UAF	ഔദ്യോഗിക പ്ലാൻ: സേവനത്തിൻ്റെ അവസാനം വരെ പ്രസക്തമായ SSLContext ശക്തമായ റഫറൻസ് സൂക്ഷിക്കുക	എല്ലാ സൃഷ്‌ടി/സ്വിച്ച് പാതകളും S29 മൂടിയിരിക്കണം
Python ഹോസ്റ്റ്നാമം ഒഴിവാക്കുക	ഔദ്യോഗിക പരിഹാരം: പ്രതീക്ഷിക്കുന്ന server_hostname ശരിയായി പാസ്സാക്കുക	check_hostname ഫ്ലാഗ് പരിശോധിക്കാനോ മുന്നറിയിപ്പ് അവഗണിക്കാനോ കഴിയില്ല S30 S31
വിശ്വാസയോഗ്യമല്ലാത്ത ടാർ	എക്‌സ്‌ട്രാക്‌ഷൻ/ക്വാറൻ്റൈൻ എക്‌സ്‌ട്രാക്‌റ്റുചെയ്യുക, അനിവാര്യമല്ലാത്ത ലിങ്കുകളും ഉപകരണ എൻട്രികളും നിരസിക്കുക	ഫിൽട്ടറുകളും റിസോഴ്സ് ക്വാട്ടകളും സാർവത്രിക സാൻഡ്ബോക്സുകളല്ല S32 S40 S45
സർട്ടിഫിക്കറ്റ് ട്രസ്റ്റ് ഇവൻ്റ്	ശരിയായ CA മെറ്റീരിയൽ അപ്ഡേറ്റ് ചെയ്യുക; ഔദ്യോഗിക ലഘൂകരണം അനുസരിച്ച് Java ട്രസ്റ്റ് നിയന്ത്രിക്കാവുന്നതാണ്	TLS പരിശോധന പ്രവർത്തനരഹിതമാക്കുന്നത് അപകടസാധ്യത വർദ്ധിപ്പിക്കുന്നു S19 S37

7.2 ഡെലിവറി രീതിയെ അടിസ്ഥാനമാക്കി പാച്ച് തിരഞ്ഞെടുക്കുക

ഡെലിവറി രീതി	നന്നാക്കൽ രീതികൾക്ക് മുൻഗണന നൽകുക	സൂക്ഷിക്കേണ്ട തെളിവുകൾ
വിതരണ-നിയന്ത്രിത റൺടൈം	നിർമ്മാതാവിൻ്റെ അനുബന്ധ സുരക്ഷാ അപ്ഡേറ്റുകൾ	പൂർണ്ണ പാക്കേജ് പതിപ്പ്, അറിയിപ്പ്, ശേഖരണ ഉറവിടം
ഔദ്യോഗിക ബൈനറി/റൺടൈം മാനേജർ	അതേ ബ്രാഞ്ചിൽ നിന്നുള്ള ഔദ്യോഗിക സുരക്ഷാ റിലീസ്	പതിപ്പ്, ഉറവിടം, ഡൈജസ്റ്റ്, യഥാർത്ഥ നിർവ്വഹണ പാത
സ്വയം സമാഹരിച്ച Node / CPython	പൊരുത്തപ്പെടുന്ന ബ്രാഞ്ചിൻ്റെ ഔദ്യോഗിക ഉറവിട റിലീസ് അല്ലെങ്കിൽ വെണ്ടറുടെ പൂർണ്ണമായ പാച്ച് സെറ്റ്	കമ്മിറ്റ് സെറ്റ്, ബിൽഡ് പാരാമീറ്ററുകൾ, ആശ്രിത ലൈബ്രറികൾ, റിഗ്രഷൻ ഫലങ്ങൾ
Spring / Next / Django	ഇൻ-ബ്രാഞ്ച് അപ്‌ഡേറ്റുകൾ, ഡിപൻഡൻസി ലോക്കുകൾ പുനർനിർമ്മിക്കൽ, അന്തിമ ആപ്ലിക്കേഷനുകൾ എന്നിവയുമായി പൊരുത്തപ്പെടുന്നു	അന്തിമ ഡിപൻഡൻസി ട്രീ, JAR/പാക്കേജ്/ചിത്രത്തിലെ യഥാർത്ഥ പതിപ്പ്
ഇഷ്ടാനുസൃത ട്രസ്റ്റ് സ്റ്റോർ	പിൻവലിക്കൽ സ്ഥിരീകരിക്കുന്ന ഔദ്യോഗിക പിൻവലിക്കൽ പ്ലാൻ അല്ലെങ്കിൽ വെണ്ടർ അപ്‌ഡേറ്റ്	യഥാർത്ഥ ഉപയോഗ പാത, മെറ്റീരിയൽ മാറ്റം, TLS വിജയവും നിരസിക്കൽ ടെസ്റ്റുകളും
വിട്ടുവീഴ്ച ചെയ്യാത്ത അന്തരീക്ഷം	വൃത്തിയുള്ളതും വിശ്വസനീയവുമായ ഉൽപ്പന്നങ്ങളിൽ നിന്ന് പുനർനിർമ്മിക്കുകയും പ്രത്യേക സംഭവ അന്വേഷണം നടത്തുകയും ചെയ്യുക	ചരിത്രപരമായ പാക്കേജ്/ഇമേജ് ഡൈജസ്റ്റ്, ഇൻസ്റ്റാളേഷൻ റെക്കോർഡ്, ക്രെഡൻഷ്യൽ റൊട്ടേഷൻ റെക്കോർഡ്

7.3 കീ പാച്ച് മെക്കാനിസവും അവലോകന ഫോക്കസും

Brotli: ബിൽഡിലേക്ക് പ്രവേശിക്കുന്നതിന് മുമ്പ് നേറ്റീവ് ഡീകോഡിംഗ് സ്റ്റാറ്റസിൻ്റെ അതിർത്തി പരിശോധനയും പിശക് റിട്ടേണും പൂർത്തിയായിട്ടുണ്ടോ എന്ന് ശ്രദ്ധിക്കുന്നു; JavaScript പാക്കേജ് മാറ്റിസ്ഥാപിച്ചാൽ മാത്രം Node-ലേക്ക് കംപൈൽ ചെയ്തിരിക്കുന്ന കോഡ് മാറ്റാൻ കഴിയില്ല. S4
Node DNS / TLS : ഇൻപുട്ട് നിരസിക്കൽ, വിലാസ നോർമലൈസേഷൻ, തമ്മിലുള്ള വ്യത്യാസം എന്നിവയിൽ ശ്രദ്ധ കേന്ദ്രീകരിക്കുന്നു IP SAN ഒപ്പം DNS ഐഡൻ്റിറ്റികൾ, കൂടാതെ DNS കോൾബാക്ക്/പ്രോമിസ് പാഴ്സിംഗ് പാത്ത് കൂടാതെ TLS ഹോസ്റ്റ്നാമം മാച്ച് ടെസ്റ്റ്. S5 S6
Tomcat JNDIRealm: ഒരു ഡയറക്‌ടറി സന്ദർഭം നേടുന്നതിനുപകരം, പ്രാമാണീകരണ പ്രക്രിയ യഥാർത്ഥത്തിൽ ക്രെഡൻഷ്യലുകൾ പരിശോധിക്കുന്നുണ്ടോ എന്നതിലാണ് ശ്രദ്ധ കേന്ദ്രീകരിക്കുന്നത്; ഔദ്യോഗിക പതിപ്പിന് മുൻഗണന നൽകുകയും ഒരു സോഴ്സ് ഫയൽ റീപ്ലേസ്‌മെൻ്റ് ഒരു പൂർണ്ണമായ ബൈനറി പാച്ചായി കണക്കാക്കാതിരിക്കുകയും ചെയ്യുന്നു. S24
CPython ssl: Python റഫറൻസ് ഉടമസ്ഥതയിലും അന്തർലീനമായ SSLContext-ൻ്റെ ജീവിത ചക്രത്തിലും ശ്രദ്ധ കേന്ദ്രീകരിക്കുന്നു; ബ്രാഞ്ച് അനുയോജ്യത വ്യത്യാസങ്ങൾ ഉള്ളപ്പോൾ wrap_bio() ബാക്ക്‌പോർട്ടുകൾ, ഉപയോഗിച്ച ബ്രാഞ്ചിൻ്റെ യഥാർത്ഥ നിർവ്വഹണം നിങ്ങൾ വായിച്ചിരിക്കണം. S31 S47
Certificate distrust: അത്തരം അപ്‌ഡേറ്റുകൾ വിശ്വസനീയമായ മെറ്റീരിയലായി ദൃശ്യമാകാം അല്ലെങ്കിൽ വ്യക്തമായ API മാറ്റങ്ങളേക്കാൾ ലിസ്റ്റ് മാറ്റങ്ങൾ നിരസിക്കാം. Node-ൻ്റെ അതേ ബാച്ചിൽ ബാധിച്ച ഇൻ്റർമീഡിയറ്റ് CA-ൻ്റെ നിരസിക്കൽ സംവിധാനവും ഉൾപ്പെടുന്നു; Java, Python എന്നിവയുടെ ബന്ധപ്പെട്ട ട്രസ്റ്റ് ഉറവിടങ്ങൾ ഇപ്പോഴും പ്രത്യേകം പരിശോധിക്കേണ്ടതുണ്ട്. S19 S37 S46

സ്വതന്ത്രൻ Brotli ബൈൻഡിംഗും പരിശോധിക്കണം. ഗൂഗിൾ അപ്‌സ്ട്രീം റിലീസ് ചെയ്തു 1.0.10 / 1.1.1 / 1.2.1 പരിഹരിക്കാൻ അതേ ദിവസം CVE-2026-111497 . Python നേറ്റീവ് എക്സ്റ്റൻഷനുകൾ അല്ലെങ്കിൽ അതേ ബാധിച്ച C നടപ്പിലാക്കൽ ഉൾച്ചേർത്ത ജെഎൻഐ ആർട്ടിഫാക്റ്റുകൾ സ്വതന്ത്രമായി അപ്ഡേറ്റ് ചെയ്യുക/പുനർനിർമ്മിക്കേണ്ടതുണ്ട്; എല്ലാം ശുദ്ധമാണെന്ന് അനുമാനിക്കാൻ കഴിയില്ല Java ഡീകോഡറുകൾ ബാധിക്കപ്പെട്ടിരിക്കുന്നു, നവീകരിക്കുന്നതായി കരുതാനാവില്ല Node മറ്റ് ഭാഷകളിലെ പകർപ്പുകൾ സ്വയമേവ മാറ്റിസ്ഥാപിക്കുന്നു. S42

8. സ്ഥിരീകരണവും തുടർ പരിശോധനകളും

8.1 മിനിമം സ്ഥിരീകരണ ചെക്ക്‌ലിസ്റ്റ്

ഇനങ്ങൾ പരിശോധിക്കുക	തെളിവ് ആവശ്യമാണ്
റൺടൈം	യഥാർത്ഥ പ്രോസസ്സ്/കണ്ടെയ്‌നറിൽ പൂർണ്ണ പതിപ്പ് അല്ലെങ്കിൽ വെണ്ടർ ബാക്ക്‌പോർട്ട് തെളിവുകൾ ശരിയാണ്
ആപ്ലിക്കേഷൻ ഡിപൻഡൻസികൾ	Next/RSC/sharp, Tomcat/Spring, Django/certifi അന്തിമ വിന്യാസ ഉൽപ്പന്നങ്ങളിൽ അനുബന്ധ പരിധിയിൽ എത്തിയിരിക്കുന്നു
മാറ്റിസ്ഥാപിക്കൽ ശ്രേണി	എല്ലാ വർക്കർ/JVM/കണ്ടെയ്‌നർ പകർപ്പുകളും പശ്ചാത്തല ടാസ്‌ക്കുകളും പുതിയവ ഉപയോഗിച്ച് മാറ്റി, പഴയ സന്ദർഭങ്ങളിൽ നിന്ന് പുറത്തുകടന്നു.
TLS	സാധുവായ ഡൊമെയ്ൻ സർട്ടിഫിക്കറ്റുകൾ വിജയിക്കുന്നു; പൊരുത്തപ്പെടാത്ത ഹോസ്റ്റ്നാമങ്ങളും അസാധുവായ ശൃംഖലകളും നയം അനുസരിച്ച് പരാജയപ്പെടുന്നു; ഇഷ്‌ടാനുസൃത ട്രസ്റ്റ് സ്റ്റോറുകൾ ഉൾപ്പെടുത്തിയിട്ടുണ്ട്
eMudhra അവിശ്വാസം	ബാധിതമായ ഇൻ്റർമീഡിയറ്റ് CA നിർമ്മിച്ച സർട്ടിഫിക്കറ്റ് ശൃംഖല യഥാർത്ഥ റൺടൈമിൽ നിരസിക്കപ്പെട്ടു, അല്ലെങ്കിൽ നിർദ്ദിഷ്ട വെണ്ടറുടെ സെക്യൂരിറ്റി ബിൽഡ്/അനുബന്ധ റിജക്ഷൻ ലിസ്റ്റ് വിന്യസിച്ചതിന് തെളിവുണ്ട്; പൊതുവായ TLS ടെസ്റ്റ് അല്ലെങ്കിൽ Java 8 ഹ്രസ്വ പതിപ്പ് നമ്പർ അടിസ്ഥാനമാക്കി കേസ് അവസാനിപ്പിക്കാൻ കഴിയില്ല.
Node ഡീകോഡിംഗും ചിത്രങ്ങളും	സാധാരണ കംപ്രസ് ചെയ്ത പ്രതികരണം, അപ്‌ലോഡ്, ഇമേജ് ഒപ്റ്റിമൈസേഷൻ, RSC ഫംഗ്‌ഷനുകൾ എന്നിവ ലഭ്യമാണ്; വിശ്വസനീയമല്ലാത്ത ഉറവിട നയം പ്രാബല്യത്തിൽ ഉണ്ട്
Java പ്രാമാണീകരണവും ഒറ്റപ്പെടുത്തലും	തെറ്റായ പാസ്‌വേഡ് നിരസിച്ചു; ഐഡൻ്റിറ്റി/പ്രതികരണ മിക്സിംഗ് ഇല്ലാതെ സ്വതന്ത്ര ഉപയോക്തൃ സമകാലിക അസിൻക്രണസ് അഭ്യർത്ഥനകൾ; LDAP പ്രതീക്ഷിച്ചതുപോലെ കേൾക്കുന്നു
Python SNI / ആർക്കൈവ്	സാധാരണ മൾട്ടി-ഡൊമെയ്ൻ നാമം TLS ബിസിനസ്സ് സ്ഥിരമാണ്; ആർക്കൈവിംഗ് പാത്ത് ട്രാവേഴ്സലും അനുവദനീയമല്ലാത്ത ലിങ്കുകളും നിരസിക്കുന്നു, കൂടാതെ ഡയറക്‌ടറിക്ക് പുറത്തുള്ള ഫയലുകൾ പരിഷ്‌ക്കരിക്കപ്പെടുന്നില്ല
ഡാറ്റയും ഫങ്ഷണൽ റിഗ്രഷനും	പേജിംഗ്, സ്പേഷ്യൽ അന്വേഷണം, അനുമതി പരിശോധന, പശ്ചാത്തല ജോലികൾ എന്നിവ പ്രോജക്റ്റിൻ്റെ നിലവിലുള്ള ടെസ്റ്റുകളിൽ വിജയിച്ചു
വിഭവങ്ങളും നിരീക്ഷണങ്ങളും	CPU, മെമ്മറി, പിശക് നിരക്ക്, ലേറ്റൻസി, TLS പിശകുകൾ എന്നിവയിൽ അസാധാരണമായ വർദ്ധനവ് ഇല്ല.
ട്രെയ്‌സിബിലിറ്റി	അപ്‌ഗ്രേഡ് സമയം, പാക്കേജ്/ഇമേജ് ഡൈജസ്റ്റ്, കോൺഫിഗറേഷൻ മാറ്റങ്ങൾ, സ്ഥിരീകരണ ഫലങ്ങൾ, പരിഹരിക്കപ്പെടാത്ത ഇനങ്ങൾ എന്നിവ ലാഭിക്കുക

ഇവ നടപ്പിലാക്കൽ സ്വീകാര്യത ശുപാർശകളാണ് കൂടാതെ ഓരോ CVE-നും ഒരു ആക്രമണ സ്ക്രിപ്റ്റ് നിർമ്മിക്കേണ്ട ആവശ്യമില്ല. ക്രാഷുകൾ, റിസോഴ്‌സ് എക്‌സാഷൻ, ആർക്കൈവ് ഔട്ട്-ഓഫ്-ബൗണ്ട് എന്നിവ ഉൾപ്പെടുന്ന പരിശോധന, ഒറ്റപ്പെട്ട പരിതസ്ഥിതിയിൽ അപ്‌സ്ട്രീം റിഗ്രഷൻ ടെസ്റ്റിംഗ് അല്ലെങ്കിൽ പ്രോജക്റ്റ് നിയന്ത്രിത ടെസ്റ്റ് ഡാറ്റ ഉപയോഗിക്കണം.

8.2 പാച്ചിംഗും നുഴഞ്ഞുകയറ്റ അന്വേഷണവും വ്യത്യസ്ത ജോലികളാണ്

അസാധാരണമായ ഡീകോഡിംഗ് പിശകുകൾ, വർക്കർ/JVM ക്രാഷുകൾ, സംശയാസ്പദമായ ഫയൽ റൈറ്റുകൾ, ഡയറക്‌ടറി ഡാറ്റ മാറ്റങ്ങൾ, പ്രാമാണീകരണ ഒഴിവാക്കലുകൾ, ഔട്ട്‌ബൗണ്ട് അഭ്യർത്ഥനകൾ, ക്രെഡൻഷ്യൽ ഉപയോഗ റെക്കോർഡുകൾ എന്നിവയ്ക്കായി നിലവിലുള്ള ലോഗുകൾ പരിശോധിക്കുക. ഈ അടയാളങ്ങൾ സന്ദർഭത്തിൽ വിലയിരുത്തേണ്ടതുണ്ട്: ഒരു ക്രാഷ് അല്ലെങ്കിൽ OOM വിജയകരമായ ചൂഷണത്തിൻ്റെ തെളിവല്ല; അലേർട്ടുകളുടെ അഭാവം ഒരു സിസ്റ്റത്തെ ബാധിച്ചിട്ടില്ലെന്ന് തെളിയിക്കുന്നില്ല.

അനധികൃത പരിഷ്‌ക്കരണങ്ങൾ, വിട്ടുവീഴ്‌ച ചെയ്‌ത ക്രെഡൻഷ്യലുകൾ, അല്ലെങ്കിൽ സ്ഥിരീകരിച്ച ക്ഷുദ്ര ആശ്രിതത്വം എന്നിവ കണ്ടെത്തുമ്പോൾ, തെളിവുകൾ സംരക്ഷിക്കപ്പെടണം, പ്രസക്തമായ സംഭവങ്ങൾ ഒറ്റപ്പെടുത്തുകയും, വിശ്വസനീയമായ പരിതസ്ഥിതിയിൽ നിന്ന് ഭ്രമണം ചെയ്ത ക്രെഡൻഷ്യലുകൾ ബാധിക്കുകയും സിസ്റ്റം പുനർനിർമ്മിക്കുകയും വേണം. പാച്ച് ആക്രമണകാരിക്ക് ലഭിച്ച ടോക്കണുകൾ അസാധുവാക്കുകയോ പരിഷ്കരിച്ച ഡാറ്റ പുനഃസ്ഥാപിക്കുകയോ ചെയ്യില്ല.

9. സപ്ലൈ ചെയിൻ സുരക്ഷാ സംഭവം: LiteLLM 1.107.0 വിട്ടുവീഴ്ച

**ഔദ്യോഗിക സ്ഥിരീകരണ തീയതി: 2026-10-21.**LiteLLM അതിൻ്റെ റിലീസ് പൈപ്പ് ലൈൻ അപഹരിക്കപ്പെട്ടതായി റിപ്പോർട്ട് ചെയ്തു. PyPI-യുടെ litellm==1.107.0-ലും അതേ കാലയളവിലെ ചില ഡോക്കർ/GHCR ഉൽപ്പന്നങ്ങളിലും രഹസ്യ മോഷണവും റിമോട്ട് കൺട്രോൾ ക്ഷുദ്ര കോഡും അടങ്ങിയിരിക്കുന്നു, അനുബന്ധ ഉൽപ്പന്നങ്ങൾ പിൻവലിച്ചു. S41

ആഘാതം നിർണ്ണയിക്കാൻ, നിങ്ങൾ ചരിത്രപരമായ ഇൻസ്റ്റാളേഷൻ റെക്കോർഡുകളും ഇമേജ് ഡൈജസ്റ്റും പരിശോധിക്കണം; latest, main-latest, main-stable തുടങ്ങിയ ലേബലുകൾ ഇപ്പോൾ ക്ലീൻ ഇമേജുകളിലേക്ക് വിരൽ ചൂണ്ടുന്നു, ഇത് സംഭവ സമയത്ത് വലിച്ചെടുത്ത ഉൽപ്പന്നങ്ങൾ വൃത്തിയുള്ളതാണെന്ന് തെളിയിക്കുന്നില്ല. 1.106.2 താൽക്കാലികമായി പിൻ ചെയ്യുക എന്നതായിരുന്നു അക്കാലത്തെ ഔദ്യോഗിക നിർദ്ദേശം; ഈ ശുപാർശ ഈ സംഭവത്തെ അടിസ്ഥാനമാക്കിയുള്ളതാണ്, വിന്യാസ സമയത്ത് മറ്റ് സുരക്ഷാ അറിയിപ്പുകൾ ഇനിയും പരിശോധിക്കേണ്ടതുണ്ട്. S41

അനുബന്ധ ഉൽപ്പന്നങ്ങൾ ഇൻസ്റ്റാൾ ചെയ്തതോ പ്രവർത്തിപ്പിക്കുന്നതോ ആയ പരിതസ്ഥിതികൾക്കായി:

ഇൻസ്റ്റാളേഷൻ റെക്കോർഡുകൾ, ഇമേജുകൾ, ലോഗുകൾ എന്നിവ വേർതിരിച്ച് സംരക്ഷിക്കുക, വൃത്തിയുള്ള അന്തരീക്ഷത്തിൽ നിന്ന് അവ പരിശോധിക്കുക.
ആദ്യം സംശയാസ്പദമായ അന്തരീക്ഷത്തിൽ Python/pip ആരംഭിക്കരുത്; ക്ഷുദ്രകരമായ .pth / sitecustomize.py ആരംഭിച്ചതിന് ശേഷം വീണ്ടും എക്സിക്യൂട്ട് ചെയ്തേക്കാം.
വിശ്വസനീയമായ ഉറവിടങ്ങളിൽ നിന്ന് ഹോസ്റ്റുകൾ, venvs/കണ്ടെയ്‌നറുകൾ പുനർനിർമ്മിക്കുക; പാക്കേജുകൾ അൺഇൻസ്റ്റാൾ ചെയ്യാനോ ഡൗൺഗ്രേഡ് ചെയ്യാനോ കഴിയില്ല.
ക്ലൗഡ് ക്രെഡൻഷ്യലുകൾ, LLM പ്രൊവൈഡർ കീകൾ, LiteLLM കീകൾ, ഡാറ്റാബേസ് ക്രെഡൻഷ്യലുകൾ എന്നിവ യഥാർത്ഥ പ്രവേശനക്ഷമതയെ അടിസ്ഥാനമാക്കി, അസാധാരണമായ ഉപയോഗം അവലോകനം ചെയ്യുക. S41

ഇത് ഒരു സ്ഥിരീകരിച്ച വിതരണ ശൃംഖല സംഭവമാണ്, കൂടാതെ ഇത് കൈകാര്യം ചെയ്യുമ്പോൾ ക്ഷുദ്രകരമായ കോഡ് നിർവ്വഹണം, ക്രെഡൻഷ്യൽ ചോർച്ച, സ്ഥിരതയുള്ള അപകടസാധ്യതകൾ എന്നിവ പരിഗണിക്കേണ്ടതുണ്ട്. 2026 ഒക്ടോബർ 23 വരെ, പ്രാരംഭ നുഴഞ്ഞുകയറ്റത്തെക്കുറിച്ച് ഉദ്യോഗസ്ഥർ അന്വേഷിച്ചുകൊണ്ടിരുന്നു.

അനുബന്ധം: ഉദ്ധരിച്ച ഉറവിടങ്ങളും ലിങ്കുകളും

പ്രോജക്റ്റിൻ്റെ ഔദ്യോഗിക സുരക്ഷാ അറിയിപ്പ്, ഔദ്യോഗിക കോഡ് ശേഖരം, വെണ്ടറുടെ നിർദ്ദേശങ്ങൾ എന്നിവ ഉൾപ്പെടെ, ഇനിപ്പറയുന്ന ഉറവിട പരിശോധന തീയതി 2026-10-23 ആണ്. പ്രധാന വാചകം [Sx] ഈ അനുബന്ധവുമായി യോജിക്കുന്നു; അപ്‌ഡേറ്റുകൾ നടത്തുമ്പോൾ, വിതരണക്കാരൻ തുടർന്നുള്ള പുനരവലോകനങ്ങൾ പുറത്തിറക്കിയിട്ടുണ്ടോ എന്ന് നിങ്ങൾ പരിശോധിക്കണം.

S1 — Node.js: 2026-10-21 സുരക്ഷാ അറിയിപ്പ്

ഉദ്ദേശ്യം: നാല് റൺടൈം High, ശാഖകളെ ബാധിക്കുന്നു, ഒക്ടോബറിലെ സുരക്ഷാ റിലീസ്.
അവലംബം: Official Security Bulletin

S2 — Node.js: മൂന്ന് മെയിൻ്റനൻസ് ലൈനുകൾക്കുള്ള ഔദ്യോഗിക റിലീസ് നിർദ്ദേശങ്ങൾ

ഉദ്ദേശ്യം: 22.23.4, 24.22.1, 26.12.1 എന്നിവയും യഥാർത്ഥ ലയിപ്പിച്ച പാച്ചുകളും പരിശോധിക്കുക.
അവലംബം: Node.js 22.23.4
അവലംബം: Node.js 24.22.1
അവലംബം: Node.js 26.12.1

S3 — Vercel: Node.js Brotli RCE സുരക്ഷാ ഉപദേശം

ഉദ്ദേശ്യം: ഇൻബൗണ്ട്/ഔട്ട്ബൗണ്ട് ഡീകോഡിംഗ് അവസ്ഥകൾ, WAF കവറേജ് അതിർത്തി, Node 20 നില.
അവലംബം: Node.js security advisory: Brotli decoder RCE

S4 — Node.js: Brotli ഔദ്യോഗിക പാച്ച് സമർപ്പിക്കൽ

ഉദ്ദേശ്യം: നേറ്റീവ് ഡീകോഡിംഗ് പരിശോധനയ്ക്കും പിശക് പ്രചരിപ്പിക്കുന്നതിനുമുള്ള നടപ്പിലാക്കൽ അടിസ്ഥാനം.
അവലംബം: Brotli Patch commit 49dff6f57a

S5 — Node.js: TLS വിലാസം നോർമലൈസേഷൻ പാച്ച്

ഉദ്ദേശ്യം: പൂർണ്ണ വീതിയുള്ള നമ്പറുകളുടെയും നിലവാരമില്ലാത്ത IP എന്നതിൻ്റെയും സർട്ടിഫിക്കറ്റ് ഐഡൻ്റിറ്റി പരിശോധന.
അവലംബം: IP normalization regression Patch
അവലംബം: rejects the patching of non-standard IP address

S6 — Node.js: DNS NUL പരിശോധന പാച്ച്

ഉദ്ദേശ്യം: ഇൻപുട്ട് നിരസിക്കലും റിഗ്രഷൻ കവറേജും.
അവലംബം: dns.resolve Input verification patch

S7 — Node.js: 2026-07-29 സുരക്ഷാ അറിയിപ്പ്

ഉദ്ദേശ്യം: HTTP/2 മെമ്മറി ക്ഷീണം, UAF, അനുമതി മോഡൽ കേടുപാടുകൾ.
അവലംബം: July 2026 Security Releases

S8 — Next.js: 2026-10-14 സുരക്ഷാ അപ്‌ഡേറ്റ്

ഉദ്ദേശ്യം: അപ്‌ഗ്രേഡ് ബേസ്‌ലൈനും മൂന്ന് പ്രധാന അപകടസാധ്യതകളും ഏകീകരിക്കുക.
അവലംബം: Next.js Security Update for Upstream Vulnerabilities

അവലംബം: S9 — Next.js：typed arrays / use cache RCE

ഉദ്ദേശ്യം: GHSA-673q-mjm6-r5xr; ഇടവേള, അവസ്ഥ, സ്കോർ, പരിഹാര നില എന്നിവയെ ബാധിക്കുന്നു.
അവലംബം: Next.js Official Security Bulletin

അവലംബം: S10 — React：React Server Components RCE

ഉദ്ദേശ്യം: GHSA-xqc2-xf4c-x3h3; മൂന്ന് RSC പാക്കേജുകളുടെ ബാധിച്ചതും സ്ഥിരവുമായ പതിപ്പുകൾ.
അവലംബം: React Official Security Bulletin

അവലംബം: S11 — Next.js：SVG Image Optimization RCE

ഉദ്ദേശ്യം: CVE-2026-96889 / GHSA-2464-fhr4-w9xw; glibc, ഷാർപ്പ്, ഒറിജിനൽ പതിപ്പ് അതിരുകൾ.
അവലംബം: SVG Image Optimization Official Security Bulletin

അവലംബം: S12 — Next.js：Server Actions DoS

ഉദ്ദേശ്യം: GHSA-p3m5-59mp-jv5r; വ്യവസ്ഥകൾ, പതിപ്പുകൾ, റേറ്റിംഗുകൾ എന്നിവയെ ബാധിക്കുന്നു.
അവലംബം: Server Actions DoS Official Security Bulletin

S13 — Next.js: AVIF ഇമേജ് ഒപ്റ്റിമൈസേഷൻ RCE

ഉദ്ദേശ്യം: 2026-08-25, GHSA-2xp9-vwfh-vxw4.
അവലംബം: AVIF Official Security Bulletin

അവലംബം: S14 — Next.js：Windows RCE

ഉദ്ദേശ്യം: 2026-08-25, CVE-2026-75604/GHSA-p293-qw3h-jr36.
അവലംബം: Windows RCE Official Security Bulletin

അവലംബം: S15 — Next.js：next/og ImageResponse RCE

ഉദ്ദേശ്യം: 2026-09-22, GHSA-vcvr-r3jv-pc5j; Node, Edge എന്നിവ തമ്മിലുള്ള വ്യത്യാസം.
അവലംബം: ImageResponse Official Security Bulletin
അവലംബം: September 22 release notes

അവലംബം: S16 — Oracle: October 2026 CPU

ഉദ്ദേശ്യം: Java SE റിസ്ക് മാട്രിക്സ്, പാച്ച് അളവ്, ബാധകമായ വ്യവസ്ഥകൾ.
അവലംബം: Oracle Critical Patch Update – October 2026
അവലംബം: Oracle Java SE CPU Version list

S17 — Oracle: CVE-2026-91403 ഔട്ട്-ഓഫ്-ബാൻഡ് അലാറം

ഉദ്ദേശ്യം: 2026-10-21, JSSE സർട്ടിഫിക്കറ്റ് ട്രസ്റ്റ് റിസ്ക്, ബാധിച്ച ഉൽപ്പന്നങ്ങളും CVSS 3.1 9.1.
അവലംബം: Oracle Security Alert

S18 — Oracle: JDK ഔദ്യോഗിക പതിപ്പും ഡൗൺലോഡും

ഉദ്ദേശ്യം: ഒക്ടോബർ 20-ന് CPU-നും ഒക്ടോബർ 21-ന് ഔട്ട്-ഓഫ്-ബാൻഡ് പതിപ്പും തമ്മിൽ വേർതിരിക്കുക; Java 8-ൻ്റെ ഹ്രസ്വ പതിപ്പിൻ്റെ പരിമിതികൾ വേർതിരിച്ചറിയുക.
അവലംബം: JDK release list
അവലംബം: Oracle Java Download page

S19 — Oracle: eMudhra താൽക്കാലിക പിൻവലിക്കൽ പ്ലാൻ

ഉദ്ദേശ്യം: 2026-10-22 അപ്ഡേറ്റ് ചെയ്തത്; രണ്ട് റൂട്ട് സർട്ടിഫിക്കറ്റുകൾ, കീടൂൾ, കസ്റ്റം ട്രസ്റ്റ്സ്റ്റോർ, അസാധുവാക്കൽ പരിശോധന.
അവലംബം: Distrusting eMudhra Intermediate Certificates in Oracle JDK

S20 — Eclipse Adoptium: റിലീസ് ബിൽഡ് റെക്കോർഡ്

ഉദ്ദേശ്യം: സർട്ടിഫിക്കറ്റ് സംഭവം കാരണം Temurin വീണ്ടും പാക്കേജ് ചെയ്തു; Oracle പതിപ്പ് സഫിക്സ് യാന്ത്രികമായി പ്രയോഗിക്കാൻ കഴിയില്ല.
അവലംബം: Adoptium Release Scorecards

S21 — Apache Tomcat 9 സുരക്ഷാ അറിയിപ്പ്

ഉദ്ദേശ്യം: 9.0.123 ഫിക്സിനൊപ്പം 9-ബ്രാഞ്ച് കൃത്യമായ ബാധിത ഇടവേള.
അവലംബം: Tomcat 9 vulnerabilities

S22 — Apache Tomcat 10 സുരക്ഷാ അറിയിപ്പ്

ഉദ്ദേശ്യം: 10.1 ബ്രാഞ്ച് കൃത്യമായ ഇടവേളയും 10.1.61 നന്നാക്കലും; 10.0 EOL.
അവലംബം: Tomcat 10 vulnerabilities

S23 — Apache Tomcat 11 സുരക്ഷാ അറിയിപ്പ്

ഉദ്ദേശ്യം: മൂന്ന് ഇനങ്ങൾ Important, 11.0.27, AJP ബാധകമായ സ്കോപ്പും വെളിപ്പെടുത്തൽ/റിലീസ് തീയതിയും.
അവലംബം: Tomcat 11 vulnerabilities

S24 — Apache Tomcat: JNDIRealm പാച്ച് കമ്മിറ്റ്

ഉദ്ദേശ്യം: സർട്ടിഫിക്കേഷൻ പരിശോധനാ വിടവുകൾ പരിഹരിക്കുന്നതിനുള്ള ഔപചാരിക അടിസ്ഥാനം.
അവലംബം: JNDIRealm Patch commit

അവലംബം: S25 — Spring：GraphQL CVE-2026-59285

ഉദ്ദേശ്യം: 2026-08-20, ആവശ്യമാണ്, 2.0.5 OSS / 2.0.4.1 വാണിജ്യ അറ്റകുറ്റപ്പണി.
അവലംബം: Spring for GraphQL Unsafe Deserialization

അവലംബം: S26 — Spring：GraphQL CVE-2026-41699

ഉദ്ദേശ്യം: പഴയ ബേസ്‌ലൈനിൽ തുടരാൻ കഴിയാത്തത് എന്തുകൊണ്ടെന്ന് വിശദീകരിക്കാൻ നേരത്തെയുള്ള ഫിക്സ് ത്രെഷോൾഡ്.
അവലംബം: 6 Month GraphQL Security Bulletin

അവലംബം: S27 — Spring Security：CVE-2026-59270

ഉദ്ദേശ്യം: UnboundID LDAP ഉൾച്ചേർക്കുക, അറിയപ്പെടുന്ന മാനേജുമെൻ്റ് ഐഡൻ്റിറ്റി കൂടാതെ OSS/വാണിജ്യ പതിപ്പ് വേർതിരിക്കുക.
അവലംബം: Spring embedded LDAP Security Bulletin

അവലംബം: S28 — Spring Security：CVE-2026-47841

ഉദ്ദേശ്യം: WebAuthn ഉപയോക്തൃ പ്രാമാണീകരണം, സെഷൻ സീരിയലൈസേഷൻ, ആക്രമണ പരിസരം.
അവലംബം: WebAuthn Security Bulletin

S29 — PSF: CVE-2026-19445 സ്വതന്ത്ര സുരക്ഷാ ഉപദേശം

ഉദ്ദേശ്യം: 2026-09-30, Critical, SNI വ്യവസ്ഥകളും SSLContext ഉദ്ധരിച്ച താൽക്കാലിക നടപടികളും.
അവലംബം: SSLContext UAF Official announcement

S30 — PSF: CVE-2026-19553 സ്വതന്ത്ര സുരക്ഷാ ഉപദേശം

ഉദ്ദേശ്യം: 2026-09-30, High, നഷ്‌ടമായ ഹോസ്റ്റ് നാമവും വ്യക്തമായ പാരാമീറ്റർ ലഘൂകരണവും.
അവലംബം: wrap_bio Official announcement of hostname verification

S31 — CPython: wrap_bio ഒഫീഷ്യൽ പാച്ചും 3.12 ബാക്ക്‌പോർട്ടും

ഉദ്ദേശ്യം: 3.10—3.12 മുന്നറിയിപ്പ് അനുയോജ്യതാ നയം, None ഉം ശൂന്യമായ സ്ട്രിംഗും തമ്മിലുള്ള വ്യത്യാസം.
അവലംബം: Main Patch PR #158503
അവലംബം: 3.12 Backfill PR #158513
അവലംബം: 3.15 Backfill PR #158511

S32 — PSF: CVE-2026-82049 സ്വതന്ത്ര സുരക്ഷാ ഉപദേശം

ഉദ്ദേശ്യം: 2026-09-14, High, ലിങ്ക് കോമ്പിനേഷൻ, മെറ്റാഡാറ്റ പരിഷ്‌ക്കരണം, ഉള്ളടക്ക എക്സ്പോഷർ.
അവലംബം: tarfile link bypasses the official announcement

S33 — CPython: സെപ്തംബർ അവസാനം/ഒക്‌ടോബർ ആദ്യം ഔദ്യോഗിക സുരക്ഷാ റിലീസ്

ഉദ്ദേശ്യം: മിനിമം ഫിക്സ് പതിപ്പ്, സോഴ്സ് കോഡ് വിതരണ രീതി, ടാർഫിൽ നിർദ്ദിഷ്ട പ്രശ്നങ്ങൾക്കുള്ള 3.14 ഒഴിവാക്കൽ.
അവലംബം: Python Cross-branch security release instructions
അവലംബം: Python 3.11.17
അവലംബം: Python 3.12.15
അവലംബം: Python 3.13.16
അവലംബം: Python 3.14.8

S34 — CPython: 3.10 അവസാനത്തെ സുരക്ഷിത റിലീസ്

ഉദ്ദേശ്യം: 3.10.22, അപ്‌സ്ട്രീം ജീവിത ചക്രത്തിൻ്റെ അവസാനം.
അവലംബം: Python 3.10.22

S35 — CPython: 2026-10-21 എമർജൻസി മെയിൻ്റനൻസ് പതിപ്പ്

ഉദ്ദേശ്യം: 3.13.17 / 3.14.9 / 3.15.1, ബിൽറ്റ്-ഇൻ pip, certifi അപ്‌ഡേറ്റുകൾ, നിലവിലുള്ള വെൻവി ആവശ്യകതകൾ.
അവലംബം: Python 3.13.17
അവലംബം: Python 3.14.9
അവലംബം: Python 3.15.1

S36 — certifi: emSign സർട്ടിഫിക്കറ്റ് അവിശ്വാസ പ്രഖ്യാപനം

ഉദ്ദേശ്യം: 2026-10-20, GHSA-6q48-6c7w-9gw2, Critical, അറിയില്ല CVE.
അവലംബം: certifi Official Security Bulletin

S37 — PSF: Python ഉപയോക്താക്കളിൽ eMudhra / emSign-ൻ്റെ സ്വാധീനം

ഉദ്ദേശ്യം: certifi .19 ശുപാർശ, pip/uv ബേസ്‌ലൈൻ, SHA-256 ഉപയോഗിച്ച് വിശ്വസനീയമായ ബൂട്ട് അപ്‌ഗ്രേഡ് കമാൻഡ്.
അവലംബം: PSF Official event and upgrade instructions

S37 ഉദ്ധരിച്ച ഔദ്യോഗിക നിർദ്ദേശങ്ങൾ നൽകുന്ന pip ബൂട്ട് അപ്‌ഗ്രേഡ് കമാൻഡ് ഇപ്രകാരമാണ്. വിശ്വസനീയമെന്ന് സ്ഥിരീകരിച്ച Python പരിതസ്ഥിതികളിൽ മാത്രം ഉപയോഗിക്കുക; സെക്ഷൻ 9-ൽ വിഷബാധയുണ്ടെന്ന് സംശയമുണ്ടെങ്കിൽ, ആദ്യം ഐസൊലേറ്റ് ചെയ്യുകയും സംഭവ പ്രക്രിയ അനുസരിച്ച് പുനർനിർമ്മിക്കുകയും ചെയ്യുക. ഇത് വീൽ കണ്ടൻ്റ് ഹാഷ് ശരിയാക്കുകയും പിന്നീട് പ്രോജക്റ്റ് പ്രോസസ്സ് അനുസരിച്ച് മറ്റ് ഡിപൻഡൻസികൾ അപ്ഡേറ്റ് ചെയ്യുകയും ചെയ്യുന്നു.

python -m pip install "pip @ https://files.pythonhosted.org/packages/3f/06/3e4420302363fbb71be3c7f35ce042f54bfca330e3e66b3a2e3c4cca579f/pip-26.2.2-py3-none-any.whl#sha256=fd7f4dfa8190e014013b9f08f3e973f4e4c26ffd179a204895533a7254813a70"

S38 — Django: 2026-08-04 സുരക്ഷിത റിലീസ്

ഉപയോഗം: CVE-2026-15307, GeoDjango ചൂഷണ വ്യവസ്ഥകൾ, പ്രാരംഭ പരിഹാരങ്ങൾ, അനുയോജ്യത മാറ്റങ്ങൾ.
അവലംബം: Django 6.0.8 / 5.2.17

S39 — Django: 2026-10-06 സുരക്ഷിത റിലീസ്

ഉദ്ദേശ്യം: CVE-2026-87890, ജ്യാമിതി DoS, നിലവിൽ തിരഞ്ഞെടുത്ത അടിസ്ഥാനരേഖയ്‌ക്കൊപ്പം തുടർന്നുള്ള ശക്തിപ്പെടുത്തൽ.
അവലംബം: Django 6.1.2 / 6.0.9 / 5.2.18

S40 — PSF / CPython: ഏറ്റവും പുതിയ tar_filter സൈഡ് നോട്ട്

ഉദ്ദേശ്യം: 2026-10-22, CVE-2026-114583 (Medium); PR ലയനം ഔദ്യോഗിക മെയിൻ്റനൻസ് പതിപ്പ് പുറത്തിറങ്ങി എന്ന് അർത്ഥമാക്കുന്നില്ല.
അവലംബം: PSF Independent Announcement
അവലംബം: CPython Patch PR #160098

S41 — LiteLLM: ഔദ്യോഗിക സപ്ലൈ ചെയിൻ സംഭവ റിപ്പോർട്ട്, ഒക്ടോബർ 21

ഉദ്ദേശ്യം: 1.107.0 മലിനമായ ഉൽപ്പന്നം, ചരിത്രപരമായ ഡൈജസ്റ്റ്, ഒറ്റപ്പെടൽ പുനർനിർമ്മാണം, ക്രെഡൻഷ്യൽ ഡിസ്പോസൽ.
അവലംബം: Contained: LiteLLM v1.107.0 Compromised

S42 — Google Brotli: ഔദ്യോഗിക സുരക്ഷിത പതിപ്പ്

ഉദ്ദേശ്യം: സ്വതന്ത്ര Brotli 1.0.10 / 1.1.1 / 1.2.1, ക്രോസ്-ലാംഗ്വേജ് ഉൾച്ചേർത്ത കോപ്പി പരിശോധനാ അടിസ്ഥാനം.
അവലംബം: Brotli releases

S43 — mise: കമാൻഡ് ഔദ്യോഗിക ഡോക്യുമെൻ്റേഷൻ ഉപയോഗിക്കുക

ഉദ്ദേശ്യം: ആഗോള കോൺഫിഗറേഷൻ്റെ ടൂൾ പതിപ്പും കമാൻഡ് സെമാൻ്റിക്‌സും വ്യക്തമാക്കുക.
അവലംബം: mise use

S44 — PyPA: pip-ഓഡിറ്റ് ഔദ്യോഗിക പദ്ധതി

ഉദ്ദേശ്യം: Python ഡിപൻഡൻസി വൾനറബിലിറ്റി ഓഡിറ്റിംഗിൻ്റെ ഉദ്ദേശ്യവും കഴിവും അതിരുകൾ.
അവലംബം: pip-audit

S45 — Python: ടാർഫിൽ എക്‌സ്‌ട്രാക്ഷൻ ഫിൽട്ടർ ഡോക്യുമെൻ്റ്

ഉദ്ദേശ്യം: ഡാറ്റാ തന്ത്രം, ഡിഫോൾട്ട് സ്വഭാവ മാറ്റങ്ങൾ, സാൻഡ്‌ബോക്‌സ് മാറ്റിസ്ഥാപിക്കാൻ കഴിയാത്ത നിയന്ത്രണങ്ങൾ.
അവലംബം: tarfile extraction filters

S46 — Node.js: ഇൻ്റർമീഡിയറ്റ് CA നിരസിക്കൽ സംവിധാനം

ഉദ്ദേശ്യം: ഈ eMudhra ബന്ധപ്പെട്ട ട്രസ്റ്റ് ചെയിൻ പ്രോസസ്സിംഗ് എല്ലാ റൂട്ട് സർട്ടിഫിക്കറ്റുകളുടെയും ക്രിപ്‌റ്റോഗ്രാഫിക് അസാധുവാക്കലിന് തുല്യമല്ല.
അവലംബം: Node.js PR #66871

S47 — CPython: SNI UAF സാങ്കേതിക കുറിപ്പുകളും പരിഹാരങ്ങളും

ഉദ്ദേശ്യം: റഫറൻസ് ലൈഫ് സൈക്കിൾ, പ്രത്യേക ബിൽഡ് അവസ്ഥകൾ, ബ്രാഞ്ച് ബാക്ക്ട്രാക്കിംഗ്.
അവലംബം: official issue #156293
അവലംബം: official patch PR #158504
അവലംബം: 3.15 Backfill PR #158514