Sources များကို အောက်တိုဘာလ 23 ရက်၊ 2026 (UTC) တွင် စစ်ဆေးခဲ့သည် လွှမ်းခြုံမှုကာလ- ဇူလိုင်လ 25 ရက်နေ့မှ အောက်တိုဘာလ 23 ရက်၊ 2026 ခုနှစ် စက်တင်ဘာလမှ အောက်တိုဘာလအထိ ကြေငြာချက်အသစ်များနှင့် နောက်ဆက်တွဲပြင်ဆင်မှုများကို အာရုံစိုက်ပါ။ Audience- Node.js၊ Java၊ Python ဝန်ဆောင်မှုများ၊ ကွန်တိန်နာများ၊ ပိုက်လိုင်းများတည်ဆောက်ခြင်းနှင့် ဖွံ့ဖြိုးတိုးတက်ရေးပတ်ဝန်းကျင်များကို ထိန်းသိမ်းသည့် အင်ဂျင်နီယာများနှင့် လုံခြုံရေးတုံ့ပြန်သူများ။

ဤဆောင်းပါးသည် Node.js၊ Java၊ နှင့် Python runtimes၊ စံစာကြည့်တိုက်များ၊ နှင့် ဘုံဆာဗာဘောင်များနှင့် မှီခိုမှုများ၊ သက်ရောက်မှုအတိုင်းအတာ၊ ပုံသေဗားရှင်းများ၊ ယာယီလျော့ပါးသက်သာရေးအစီအမံများ၊ patch ရွေးချယ်မှုနှင့် အတည်ပြုနည်းလမ်းများကို ပံ့ပိုးပေးပါသည်။

အစိတ်အပိုင်းဗားရှင်းများ၊ ဖွင့်ထားသော အင်္ဂါရပ်များနှင့် ဝင်ရောက်နိုင်သော ဝင်ခွင့်အမှတ်များအပေါ် သက်ရောက်မှုကို အကဲဖြတ်ပါ။ အားနည်းချက်ရှိသော အချက်အလက်များသည် တရားဝင် အကြံပေးချက်များမှ လာပါသည်။ အစောပိုင်း patch ထုတ်ပြန်မှုကို အတိအလင်း မှတ်သားမထားပါက ရက်စွဲများသည် အများသူငှာထုတ်ဖော်ခြင်းကို ရည်ညွှန်းပါသည်။ ကျွန်ုပ်တို့သည် အတည်မပြုနိုင်သော အမြတ်ထုတ်မှု အခြေအနေများ၊ CVSS ရမှတ်များ သို့မဟုတ် ရိုင်းစိုင်းသော အမြတ်ထုတ်ခြင်းကို မယူဆပါ။ အသုံးချခြင်းဆိုင်ရာ အကြံဉာဏ်ကို အကောင်အထည်ဖော်မှုလမ်းညွှန်အဖြစ် သတ်မှတ်သည်။

TL;DR- ပြန်လည်ပြင်ဆင်ရေး ဦးစားပေးများ

  1. ဝန်ဆောင်မှုကို အမှန်တကယ် လက်ခံဆောင်ရွက်ပေးမည့် runtime ကို အပ်ဒိတ်လုပ်ပါ။ သက်ဆိုင်ရာကို အပ်ဒိတ်လုပ်ပါ။ Node.js အနည်းဆုံးအကိုင်းအခက် 22.23.4 / 24.22.1 / 26.12.1 . ဝန်ဆောင်မှုများကို အသုံးပြု Node 24 အဆင့်မြှင့်တင်နိုင်သည်။ 24.22.1 တူညီသော အဓိကဗားရှင်း သို့မဟုတ် နောက်ပိုင်းဗားရှင်းတစ်ခုအတွင်း တူညီသောပြင်ဆင်မှုများပါ ၀ င်သည်။ S1 S2
  2. မွမ်းမံ Node သီးခြားမှီခိုမှုလျှောက်လွှာ။ အဘို့ Next.js သုံး၊ 15.5.28 / 16.4.1 အဆင့်မြှင့်တင်မှုအခြေခံအဖြစ်၊ အသုံးပြုသောအခါ React Server Components အမှီအခိုကင်းစွာ၊ အမှန်တကယ်တပ်ဆင်ထားသည်ကိုစစ်ဆေးပါ။ react-server-dom-* အထုပ်။ အဆင့်မြှင့်တင်ခြင်းသာဖြစ်သည်။ Node binary သည် ဤ framework အားနည်းချက်များကို မဖုံးကွယ်ပါ။ S8 S9 S10 S11 S12
  3. Java : အပ်ဒိတ်နှစ်ရပ်လုံးကို အကျုံးဝင်သည်။ အောက်တိုဘာလ 20 ရက်နေ့ နှစ်ခုလုံးအတွက် ရောင်းချသူ တည်ဆောက်မှုကို တပ်ဆင်ပါ။ CPU နှင့် အောက်တိုဘာ ၂၁ CVE-2026-91403 အရေးပေါ်သက်သေခံလက်မှတ်-ယုံကြည်မှုပြင်ဆင်ခြင်း။ ကဏ္ဍကိုကြည့်ပါ။ 2.2 အတွက် Oracle JDK 11 -27 တီးဝိုင်းပြင်ပဗားရှင်းများ; ၎င်းတို့၏ကိုယ်ပိုင်လုံခြုံရေးပက်ကေ့ဂျ်များနှင့် တည်ဆောက်နံပါတ်အပြည့်အစုံနှင့် အခြားဖြန့်ဖြူးမှုများကို စစ်ဆေးပါ။ သက်ဆိုင်ရာကို အပ်ဒိတ်လုပ်ပါ။ Tomcat ကိုင်း 9.0.123 / 10.1.61 / 11.0.27 . S16 S17 S18 S20 S21 S22 S23
  4. Python : စကားပြန်၊ အပလီကေးရှင်း ပက်ကေ့ဂျ်များနှင့် လက်မှတ်ပက်ကေ့ခ်ျများကို သီးခြားစီ အပ်ဒိတ်လုပ်ပါ။ ကဏ္ဍကိုကြည့်ပါ။ 2.3 စကားပြန်အခြေခံအချက်များအတွက်၊ certifi အကြံပြုသည်။ ≥ 2026.10.19 , pip ≥ 26.2.2 , အသုံးပြုသောအခါ uv ≥ 0.13.4 . ရှိပြီးသား venv တိုင်းကို စစ်ဆေးဖို့ လိုပါတယ်။ အဘို့ wrap_bio() ဆက်စပ်ကုဒ်များ၊ မှန်ကန်ပြီး ဗလာမဟုတ်ပါ။ server_hostname အတွင်းသို့လည်း ဖြတ်သွားရမည်။ S29 S30 S31 S33 S35 S36 S37
  5. ချက်ချင်း အဆင့်မြှင့်တင်ရန် မဖြစ်နိုင်ပါက သက်ဆိုင်ရာ ဝင်ခွင့်အမှတ်များတွင် ထိတွေ့မှုကို လျှော့ချပါ။ စိတ်မချတာရပ်တာကို ဦးစားပေးပါ။ Brotli ကုဒ်ဆွဲခြင်း၊ သက်ရောက်မှုရှိသော ရုပ်ပုံ/စာမျက်နှာတင်ခြင်း/သိမ်းဆည်းခြင်း လုပ်ဆောင်ခြင်းနှင့် ပြဿနာဖြစ်နိုင်သော သီးခြားခွဲထုတ်ခြင်း။ LDAP သို့မဟုတ် စစ်မှန်ကြောင်း အထောက်အထားများ စောင့်ရှောက်ခြင်း။ TLS လက်မှတ်များနှင့် အသုံးဆောင်အမည်များကို စစ်ဆေးပြီးပါပြီ။ အတွင်းဘက် WAF အန္တရာယ်ရှိသော ဖိသိပ်ထားသော တုံ့ပြန်မှုများကို ဆွဲထုတ်သည့် အပလီကေးရှင်းများကဲ့သို့သော ပြင်ပလမ်းကြောင်းများကို ဖုံးကွယ်၍မရပါ။ S3 S11 S25 S27 S30 S32
  6. ပြန်လည်တည်ဆောက်ပါ၊ လုပ်ငန်းစဉ်ဟောင်းများကို အစားထိုးပြီး စစ်မှန်သောဝန်ဆောင်မှုလမ်းကြောင်းများမှတစ်ဆင့် စစ်ဆေးပါ။ လော့ခ်ဖိုင်နှင့် ရုပ်ပုံအညွှန်းကို သိမ်းဆည်းပါ၊ အပလီကေးရှင်းနှင့် ရုပ်ပုံကို ပြန်လည်တည်ဆောက်ပါ၊ အလုပ်သမားအားလုံး/JVM/ကွန်တိန်နာများအတွက် အစားထိုးမှုများ ပြုလုပ်ပါ။ အမှန်တကယ်လုပ်ငန်းစဉ်၊ မှီခိုမှုသစ်ပင်၊ ယုံကြည်မှုစတိုးနှင့် စီးပွားရေးဆုတ်ယုတ်မှုစမ်းသပ်မှုများကို စစ်ဆေးပါ။ အသစ်သော command-line ဗားရှင်းတစ်ခုတည်းသည် ပြုပြင်ခြင်းပြီးမြောက်ကြောင်း မသတ်မှတ်ပါ။
  7. LiteLLM 1.107.0 ကို ထည့်သွင်းခြင်း သို့မဟုတ် လုပ်ဆောင်ပါက အဖြစ်အပျက်-တုံ့ပြန်မှု လုပ်ငန်းစဉ်များကို လိုက်နာပါ။ ပရောဂျက်သည် အောက်တိုဘာလ 21 ရက်နေ့တွင် ထုတ်ပြန်သည့် အပေးအယူကို အတည်ပြုခဲ့သည်။ ထိခိုက်သည့်ပတ်ဝန်းကျင်များကို သီးခြားခွဲထုတ်ပါ၊ သန့်ရှင်းသောပတ်ဝန်းကျင်မှ စုံစမ်းစစ်ဆေးပါ၊ ပြန်လည်တည်ဆောက်ကာ အထောက်အထားများကို လှည့်ပတ်ပါ။ Python/pip ကို ဦးစွာစစ်ဆေးရန်အတွက် သံသယဖြစ်ဖွယ်ပတ်ဝန်းကျင်တွင် မစတင်ပါနှင့်။ အသေးစိတ်အတွက် အပိုင်း ၉ ကို ကြည့်ပါ။ S41

1. Vulnerability ခြုံငုံသုံးသပ်ချက်နှင့် အန္တရာယ် အကဲဖြတ်ခြင်း။

1.1 အမှန်တကယ်ထိတွေ့မှုဖြင့် ပြန်လည်ပြင်ဆင်ခြင်းကို ဦးစားပေးလုပ်ဆောင်ပါ။

အောက်ဖော်ပြပါ နေရာချထားရေး ဦးစားပေးများသည် အကောင်အထည်ဖော်ရေး လမ်းညွှန်ချက်ဖြစ်သည်။ ပြင်းထန်မှုအညွှန်းများသည် Apache ၏ Important အဆင့်သတ်မှတ်ချက်အပါအဝင် ရောင်းချသူတိုင်းကို လိုက်နာသည်။ CVSS 3.1 နှင့် 4.0 တို့သည် မတူညီသော အမှတ်ပေးစနစ်များဖြစ်သည်။ ပြဿနာများကို ရမှတ်တစ်ခုတည်းဖြင့် အဆင့်မသတ်မှတ်ပါနှင့်။

ဂေဟစနစ်/အလွှာအဓိကကိစ္စတွေတရားဝင်အဆင့် သို့မဟုတ် အတည်ပြုထားသော ရမှတ်ဦးစားပေးဖြန့်ကျက်ခြင်း။
Node.js ဇာတိ မှီခိုမှုCVE-2026-111497- Brotli ကို ဘောင်များအပြင်တွင် ရေးသားထားပြီး RCE ဖြစ်နိုင်ချေရှိပါသည်။Node：HighBrotli ဒေတာ S1S3 ကို ပြင်ပတောင်းဆိုချက်ကိုယ်ထည် သို့မဟုတ် ပြင်ပတုံ့ပြန်မှုတွင် ကုဒ်ဖျက်ပါ
Node.js TLS / DNSCVE-2026-105482၊ 105483၊ 106069- ခွဲခြမ်းစိတ်ဖြာခြင်းနှင့် အထောက်အထားစိစစ်ခြင်းတို့သည် ကွဲလွဲမှုမရှိပါHighURL ကူးယူဖော်ပြခြင်း၊ ပရောက်စီ၊ Webhook၊ ပြောင်းလဲနေသောပစ်မှတ်လိပ်စာ S1S5S6
Node.js HTTP/2CVE-2026-56846၊ 56848- မှတ်ဉာဏ်ကုန်သွားပြီး UAFHighNode သည် စိတ်မချရသော HTTP/2 လမ်းကြောင်း S7 တိုက်ရိုက်ကိုင်တွယ်သည်
React / Next.jsRSC / use cache typed arrays RCECritical；CVSS 4.0 9.5ဆာဗာ RSC၊ ဆက်စပ် cache အစိတ်အပိုင်းများနှင့် ဒေတာလမ်းကြောင်း S9S10
Next.js ရုပ်ပုံ ပိုမိုကောင်းမွန်အောင် ပြုလုပ်ခြင်း။CVE-2026-96889- SVG ရုပ်ပုံလုပ်ဆောင်ခြင်း RCECritical；CVSS 4.0 9.5သာဓကများကို ဖွင့်ထားသည်။ glibc Linux စိတ်မချရသော ပုံများကို ကိုင်တွယ်နိုင်သည်။ S11
Next.js Server Actionsအထူးဖန်တီးထားသော တောင်းဆိုချက်သည် CPU ကုန်ဆုံးသွားစေသည်။High；CVSS 4.0 8.2App Router နှင့် အနည်းဆုံး Server Action S12 တစ်ခု
Java TLS ယုံကြည်မှုCVE-2026-91403- ထိခိုက်သည့် အလယ်အလတ် CA ကို ဆက်လက်ယုံကြည်ပါ။CVSS 3.1 9.1ထိခိုက်သောယုံကြည်မှုကွင်းဆက်ကို အသုံးပြု၍ TLS/API ဇာတ်လမ်း S17
TomcatJNDIRealm အထောက်အထားစိစစ်ခြင်း ရှောင်ကွင်း၊ HTTP/2 အပြန်အလှန် တောင်းဆိုမှု ပေါင်းစပ်မှုများ၊ AJP တုံ့ပြန်မှု ယိုစိမ့်မှုImportantRealm / Connector / async Servlet လမ်းကြောင်း S21S22S23 နှင့် သက်ဆိုင်သည်
Spring for GraphQLCVE-2026-59285- Paging deserialization RCEHighJackson 2 + Connection Paging + Exploitable Classpath S25
Spring SecurityCVE-2026-59270- မြှုပ်ထားသည့် LDAP လူသိများသော စီမံခန့်ခွဲမှုအထောက်အထားကို ဖော်ထုတ်ထားသည်Criticalထည့်သွင်းထားသော LDAP ကို ဖွင့်ထားပြီး တိုက်ခိုက်သူ S27 မှ နားဆင်ခြင်းဆိပ်ကမ်းကို ဝင်ရောက်အသုံးပြုနိုင်သည်
CPython sslCVE-2026-19445- SNI ပြောင်းလဲခြင်း ဆက်စပ်ရလဒ်များ UAFCriticalPython သည် TLS သူ့ဘာသာသူ အဆုံးသတ်ပြီး ဆက်စပ်ဘဝသံသရာအခြေအနေ S29 နှင့် ကိုက်ညီသည်
CPython sslCVE-2026-19553- လက်ခံဆောင်ရွက်ပေးသူအမည် ပျောက်ဆုံးနေချိန်တွင် အတည်ပြုချက်ကို ကျော်ပါ။Highwrap_bio() / ဆက်စပ် asyncio ခေါ်ဆိုမှု ပျောက်ဆုံးနေသော မျှော်လင့်ထားသော လက်ခံသူအမည် S30
CPython tarfileCVE-2026-82049- Hard link နှင့် symbolic link ပေါင်းစပ်မှုကို ကျော်ဖြတ်ပါ။Highစိတ်မချရသော tar archive S32 ကို အလိုအလျောက် ထုတ်ယူပါ။
Django / GeoDjangoCVE-2026-15307- Spatial query ဖိုင်၊ SSRF၊ အခြေအနေအရ RCEHighSpatial queries သို့မဟုတ် ဆက်စပ် စီမံခန့်ခွဲရေး အင်တာဖေ့စ်များသည် မယုံကြည်ရသော ထည့်သွင်းမှု S38 ကို လက်ခံခြင်း
Python လက်မှတ် မှီခိုမှုcertifi- emSign ဆက်စပ် လက်မှတ်ကို မယုံကြည်မှုCritical; GHSA၊ မည်သူမျှ မသိသော CVETLS client နှင့် package management tool S36S37 သက်ရောက်မှု CA bundle ကို ဆက်လက်အသုံးပြုနေဆဲဖြစ်သည်။

အတိုကောက်များ- RCE remote code execution ဆိုသည်မှာ၊ UAF use-after-free နှင့် အတိုကောက်ဖြစ်သည်။ SSRF server-side request forgery ကို ရည်ညွှန်းသည်။ တိုက်ရိုက်ခွင့်ပြုချက် RCE အများအားဖြင့် အက်ပလီကေးရှင်းကို လက်ခံဆောင်ရွက်ပေးသည့် လုပ်ငန်းစဉ်၏ ခွင့်ပြုချက်များဖြစ်ပြီး root ခွင့်ပြုချက်များနှင့် အလိုအလျောက် ညီမျှနိုင်မည်မဟုတ်ပေ။

အကြံပြုထားသော စီးရီး- သည် ပြင်ပသို့ရောက်ရှိနိုင်သည့်အခြေအနေများနှင့်ကိုက်ညီသည့် RCE ကို ဦးစွာကိုင်တွယ်သည်၊ အထောက်အထားစိစစ်ခြင်းရှောင်ကွင်းခြင်း၊ သုံးစွဲသူအချင်းချင်းဒေတာယိုစိမ့်ခြင်းနှင့် လက်မှတ်စစ်မှန်ကြောင်းအထောက်အထားပြခြင်းပြဿနာများ။ တစ်ချိန်တည်းတွင်၊ အများသူငှာမျက်နှာစာ DoS ဝင်ခွင့်အမှတ်အတွက် အပ်ဒိတ်များကို အချိန်ဇယားဆွဲပါ။ အမြတ်ထုတ်နိုင်မှုကို သက်သေပြရန် ထုတ်လုပ်မှုတွင် တိုက်ခိုက်ရေးဝန်များကို လုပ်ဆောင်ရန် မလိုအပ်ပါ။ မှီခိုမှုများရှိပါသည်၊ ကုဒ်လမ်းကြောင်းများရောက်ရှိနိုင်သည်၊ တိုက်ခိုက်မှုအခြေအနေများနှင့်ကိုက်ညီပါသည်။ ဤအချက်သုံးချက်သည် သီးခြားစီ စစ်ဆေးရန် လိုအပ်ပါသည်။

1.2 အလွယ်တကူ ရှုပ်ထွေးသော နယ်နိမိတ်သုံးခု

  • runtime နှင့် မှီခိုမှုများကို သီးခြားစီ အဆင့်မြှင့်ပါ။ လုံခြုံရေးအပ်ဒိတ်များ Node , JDK , CPython သီးသန့်တပ်ဆင်မှုများကို အလိုအလျောက် ပြုပြင်ခြင်းမရှိပါ။ Next.js , Spring , Django , certifi သို့မဟုတ် မူရင်း extension များ။
  • remediation သတ်မှတ်ချက်သည် လက်ရှိအသုံးပြုမှုအခြေခံလိုင်းနှင့် သီးခြားဖြစ်သည်။ သြဂုတ်လတွင် အားနည်းချက်တစ်ခုအတွက် ပထမဆုံး patch သည် စက်တင်ဘာမှ အောက်တိုဘာလအထိ ကိစ္စရပ်များကို အာမခံချက်ပေးမည်မဟုတ်ပေ။ အပိုင်း 2 သည် အတည်ပြုပြီးသော နောက်ဆက်တွဲ အပ်ဒိတ်များကို အကောင်အထည်ဖော်ရန် ပစ်မှတ်အဖြစ် အသုံးပြုသည်။
  • အမှန်တကယ် ထောက်ပံ့ရေးကွင်းဆက် အပေးအယူလုပ်ခြင်းမှ အားနည်းချက်ကို ပိုင်းခြားပါ။ ဘုံအားနည်းချက်များအတွက်၊ ဖာထေးမှုများသည် အနာဂတ်တိုက်ခိုက်မှုလမ်းကြောင်းများကို ဖယ်ရှားပေးပါသည်။ အန္တရာယ်ရှိသော ပက်ကေ့ဂျ်များကို လုပ်ဆောင်သောအခါ၊ အထောက်အထားများနှင့် စွဲမြဲမှု၏သက်ရောက်မှုကို စုံစမ်းစစ်ဆေးရန် လိုအပ်သည်။ အပိုင်း 9 ၏ LiteLLM သည် တရားဝင်အတည်ပြုထားသောဖြစ်ရပ်ဖြစ်သည်။ S41

တောရိုင်းများတွင် အမြတ်ထုတ်ခြင်းရှိမရှိ တရားဝင်ထုတ်ပြန်ချက်များအပေါ် အခြေခံသင့်သည်။ ရောင်းချသူသည် အမြတ်ထုတ်ခြင်းဆိုင်ရာ လုပ်ဆောင်ချက်များကို ဖော်ပြထားခြင်း မရှိသည့်အပြင် တိုက်ခိုက်ခြင်းမရှိကြောင်း သက်သေမပြနိုင်ပါ။ အမှန်တကယ် တိုက်ခိုက်မှု မျက်နှာပြင်ပေါ် အခြေခံ၍ ပြန်လည် ပြုပြင်မှုများ ပြုလုပ်သင့်သည်။

2. ပုံသေဗားရှင်းနှင့် ဖြန့်ကျက်မှုအခြေခံကို အမြန်စစ်ဆေးပါ။

ကိုးကားချက်: 2.1 Node.js、React、Next.js

အစိတ်အပိုင်း/ဌာနခွဲအကြံပြုထားသော ဗားရှင်းအခြေခံလိုင်းအသုံးပြုရန်လမ်းညွှန်ချက်များ
Node.js 22.x22.23.4လုံခြုံရေးထုတ်ပြန်ချက် S1S2 အောက်တိုဘာလ 21 ရက်
Node.js 24.x24.22.124.x ဌာနခွဲနှင့် သက်ဆိုင်သည်။ 24.22.0 တွင် အောက်တိုဘာလ 21 လုံခြုံရေး patch S1S2 မပါဝင်ပါ။
Node.js 26.x26.12.1တူညီသောအသုတ်တွင် S1S2
Node.js 20 နှင့် အထက်ပိုင်း အကိုင်းအခက်များပံ့ပိုးထားသော ဌာနခွဲတစ်ခုသို့ ပြောင်းရွှေ့ပါ။Node 20 သည် ဤအထက်ပိုင်းပြင်ဆင်ချက်ကို လက်မခံပါ။ ရောင်းချသူ တိုးချဲ့ပံ့ပိုးမှု S3 သီးခြားစီ စစ်ဆေးရပါမည်။
Next.js 15.x15.5.28အောက်တိုဘာလ 14 ရက်နေ့တွင် S8 အပ်ဒိတ်လုပ်ခဲ့သည်။
Next.js 16.x16.4.1S8 အပေါ်ကအတိုင်းပါပဲ။
သီးခြား RSC 19.0 / 19.1 / 19.2 / 19.3 ဌာနခွဲ19.0.9 / 19.1.10 / 19.2.9 / 19.3.1react-server-dom-* ပက်ကေ့ဂျ်သုံးခုကို သီးခြားစီ စစ်ဆေးပါ။ အပေါ်ဆုံးအလွှာမှာ react S10 ကိုကြည့်ရုံနဲ့မပြီးပါဘူး။
Next အမှန်တကယ် sharp တင်ထားသည်။≥0.35.5SVG အားနည်းချက်အတွက် တရားဝင် ယာယီပြင်ဆင်မှု အခြေအနေများ၊ အခြား Next.js ဖာထေးမှုများကို S11 နှင့် အစားထိုးမည်မဟုတ်ပါ။

Node သည် အောက်တိုဘာလ အားနည်းချက်အတွက် ထိခိုက်သော ပြုပြင်ထိန်းသိမ်းမှုအကိုင်းအခက်များကို တရားဝင်စာရင်းပြုစုထားသော်လည်း ပစ္စည်းတစ်ခုချင်းစီအလိုက် ကနဦးမိတ်ဆက်ထားသော patch ဗားရှင်းကို မပေးသည့်အတွက်ကြောင့် အားနည်းချက်တစ်ခုစီ၏ တိကျသောအစဗားရှင်းကို ပြုပြင်ထိန်းသိမ်းမှုဌာနခွဲအပိုင်းအခြားတစ်ခုတည်းအပေါ် အခြေခံ၍ မဆုံးဖြတ်နိုင်ပါ။ ဖြန့်ကျက်သောအခါတွင်၊ တူညီသောပြင်ဆင်မှုများပါဝင်ရန် အတည်ပြုထားသော တူညီသောဌာနခွဲ၏အထက်ဗားရှင်း သို့မဟုတ် နောက်ဆက်တွဲဗားရှင်းကို ဦးစားပေးအသုံးပြုပါ။

2.2 Java- အောက်တိုဘာလ CPU နှင့် တီးဝိုင်းပြင်ပ အသိအမှတ်ပြု အပ်ဒိတ်

ဤဇယားသည် Oracle JDK နှင့် သက်ဆိုင်ပါသည်။ ဒုတိယကော်လံသည် အောက်တိုဘာလ 20 CPU ကိုသာ အကျုံးဝင်ပါသည်။ တတိယမြောက် အောက်တိုဘာ ၂၁ တွင် သီဆိုဖျော်ဖြေမှု ပါဝင်သည်။ CPU ဗားရှင်းများသည် ဤနေရာတွင် ဆွေးနွေးထားသော Java အန္တရာယ်များအားလုံးကို အကျုံးမဝင်ပါ။ S16S17S18

အခက်အောက်တိုဘာလ 20 CPUOracle သည် အောက်တိုဘာလ 21 ရက်နေ့တွင် အဖွဲ့မှထွက်ရှိခဲ့သည်။
1111.0.3311.0.33.0.2
1717.0.2117.0.21.0.2
2121.0.1321.0.13.0.2
2525.0.525.0.5.0.2
2727.0.127.0.1.0.2
88u511အများသူငှာ ထုတ်ပြန်သည့်ဇယားတွင် 8u511 ကိုပြသနေဆဲဖြစ်သည်။ တိကျသော လုံခြုံရေးတည်ဆောက်မှုနှင့် ယုံကြည်မှုကွင်းဆက် ပြုပြင်ခြင်းကို စစ်ဆေးရမည်ဖြစ်ပြီး ဗားရှင်းတိုနံပါတ်တစ်ခုတည်းကို အခြေခံ၍ ဆုံးဖြတ်၍မရပါ။

**Java 8 သည် တည်ဆောက်မှုအချက်အလက်အပြည့်အစုံကို စစ်ဆေးရန် လိုအပ်သည်-**Oracle သတိပေးချက်သည် 8u511 အား ထိခိုက်သည့်ဗားရှင်းအဖြစ် စာရင်းပြုစုထားပြီး ထွက်ရှိသည့်စာရင်းတွင် တူညီသောအမည်တိုဖြင့် နောက်ဆက်တွဲမွမ်းမံမှုများကို စာရင်းပြုစုထားသည်။ “8u511” ဗားရှင်းတိုနံပါတ်တစ်ခုတည်းအပေါ် အခြေခံ၍ ဖာထေးမှုအခြေအနေကို ခွဲခြား၍မရပါ။ သတ်မှတ်ထားသော လုံခြုံရေးတည်ဆောက်မှုနှင့် ယုံကြည်မှုကွင်းဆက်ပြင်ဆင်မှုများကို သင်အတည်ပြုသင့်သည်။ S17S18

Temurin , Corretto , Zulu , Microsoft Build of OpenJDK ၊ ဗားရှင်း OpenJDK စသည်တို့ကို ၎င်းတို့၏ သက်ဆိုင်ရာ ကြေညာချက်များနှင့်အညီ စစ်ဆေးပြီး ပက်ကေ့ဂျ်/တည်ဆောက်နံပါတ်များ အပြည့်အစုံကို စစ်ဆေးပါ။ ဥပမာအားဖြင့်၊ တရားဝင်ထုတ်ပြန်မှုမှတ်တမ်း Adoptium သက်ဆိုင်ရာ အဆောက်အဦကို ထည့်သွင်းရန် ပြန်လည်ထုပ်ပိုးထားကြောင်း ဖော်ပြထားသည်။ eMudhra ပြုပြင်ရန်; upstream ဗားရှင်း၏ တူညီသောအမည်သည် ပက်ကေ့ဂျ်ပါဝင်မှု တူညီသည်ဟု မဆိုလိုပါ။ ဟိ .0.2 suffix rules for Oracle အခြားထုတ်ဝေသူများအတွက် စက်ပိုင်းဆိုင်ရာ အသုံးချ၍မရပါ။ S20

Java အပလီကေးရှင်း အစိတ်အပိုင်းများအကြံပြုထားသော ဗားရှင်းအခြေခံလိုင်းပြီလေ။
Tomcat 9 / 10.1 / 119.0.123 / 10.1.61 / 11.0.27ဌာနခွဲအလိုက် ဘဏ်ခွဲကို စစ်ဆေးပါ။ Tomcat 10.0 သည် ပြုပြင်ထိန်းသိမ်းမှု ရပ်သွားသည် S21S22S23
Spring for GraphQL 2.0.x2.0.5（OSS）စီးပွားဖြစ်ပံ့ပိုးမှုမှာလည်း 2.0.4.1 S25
Spring Security 7.1 / 7.07.1.1 / 7.0.7（OSS）သြဂုတ်လတွင် ကြေညာခဲ့သော အနိမ့်ဆုံးပြင်ဆင်မှုဗားရှင်းနှင့် ကိုက်ညီပါသည်။ ဖြန့်ကျက်ခြင်းမပြုမီ နောက်ဆက်တွဲ လုံခြုံရေးစာစောင် S27S28 ကို စစ်ဆေးရန် လိုအပ်ပါသည်။
Spring Security 6.5 / 6.4 / 5.8 / 5.76.5.12 / 6.4.19 / 5.8.28 / 5.7.26ကြေညာချက်ကို စီးပွားဖြစ် ပံ့ပိုးကူညီမှု ပြင်ဆင်ချက်အဖြစ် ဖော်ပြထားပါသည်။ သက်ဆိုင်ရာ ပံ့ပိုးကူညီမှု မရှိသည့်အခါ ရွှေ့ပြောင်းခြင်းအား အကဲဖြတ်ပြီး Maven Central သည် S27 အခမဲ့ရနိုင်သည်ဟု ယူဆ၍မရပါ။

Spring အဆင့်မြှင့်တင်မှုများသည် ပရောဂျက်၏ Spring Boot BOM၊ Java အနိမ့်ဆုံးဗားရှင်းနှင့် လိုက်ဖက်ညီသောလိုင်းများကို လေးစားသင့်သည်။ patch တစ်ခုရရန် Spring module အားလုံးကို တူညီသောနံပါတ်သို့ တိုက်ရိုက်မတွန်းပါနှင့်။

2.3 CPython၊ Django နှင့် လက်မှတ် မှီခိုမှုများ

အောက်တွင်ဖော်ပြထားသောဇယား၏ဒုတိယကော်လံသည်စက်တင်ဘာလတွင်ဖော်ပြခဲ့သော TLS ပြဿနာကိုအာရုံစိုက်သည်။ tarfile အတွက် ဌာနခွဲခြားနားချက်များကို 5.3. ကဏ္ဍတွင် ပြသထားသည်။ အောက်တိုဘာ 21 တွင် ထုပ်ပိုးထားသော လက်မှတ်တူးလ်ကို အပ်ဒိတ်လုပ်ထားသောကြောင့် နောက်ဆုံးကော်လံတွင် နောက်ပိုင်းတွင် ဖြန့်ကျက်မှုဆိုင်ရာ အခြေခံအချက်များ ပါဝင်ပါသည်။ S29S30S33S35

CPython ဌာနခွဲစက်တင်ဘာ လုံခြုံရေးအသုတ် အနိမ့်ဆုံးဗားရှင်းအကြံပြုထားသည့် ဖြန့်ကျက်မှုအခြေခံအချက်
3.103.10.22အထက်ပိုင်းမှ နောက်ဆုံးထွက်ရှိမှု၊ EOL; ရွှေ့ပြောင်းခြင်းကို စီစဉ်ပါ သို့မဟုတ် ထုတ်ဝေမှု တိုးချဲ့မှု ပံ့ပိုးမှု S34 ကို အတည်ပြုပါ။
3.113.11.173.11.17၊ နှင့် ပတ်ဝန်းကျင်တစ်ခုစီတွင် pip/certifi ကို တစ်ဦးချင်း အပ်ဒိတ်လုပ်ပါ။
3.123.12.153.12.15၊ နှင့် ပတ်ဝန်းကျင်တစ်ခုစီတွင် pip/certifi ကို တစ်ဦးချင်း အပ်ဒိတ်လုပ်ပါ။
3.133.13.163.13.17
3.143.14.83.14.9
3.15နောက်ဆုံး 3.15.0 ထွက်ရှိမှုတွင် TLS ပြင်ဆင်မှုများ S31S47 နှစ်ခုလုံး ပါဝင်သည်3.15.1

3.11 နှင့် 3.12 ၏ အထက်ပိုင်းလုံခြုံရေးဗားရှင်းများကို အရင်းအမြစ်ကုဒ်ဖြင့်သာ ထုတ်ပြန်နိုင်သည်။ လည်ပတ်မှုစနစ် ပက်ကေ့ဂျ်ကို အသုံးပြုသည့်အခါ၊ ရောင်းချသူ၏ backport အကြံပေးချက်နှင့် ပက်ကေ့ခ်ျဗားရှင်း အပြည့်အစုံကို စစ်ဆေးပါ၊ ထို့နောက် စနစ် Python ကို ကိုယ်တိုင်စုစည်းထားသော ဗားရှင်းဖြင့် အတင်းအကျပ် အစားထိုးရန် မလိုအပ်ပါ။ S33S34

လွတ်လပ်သောမှီခိုမှုအကြံပြုထားသော ဗားရှင်းအခြေခံလိုင်းဖော်ပြချက်
Django 5.2 / 6.0 / 6.15.2.18 / 6.0.9 / 6.1.2အောက်တိုဘာလ 6 ရက်နေ့တွင် နောက်ဆက်တွဲ အမှားပြင်ဆင်ချက် S38S39 ပေါင်းထည့်ပါ
certifi≥2026.10.19GHSA ကနဦး patch သည် .18; PSF အကြံပြုထားသည် .19 ထိခိုက်မှုမရှိသော လက်မှတ်များ S36S37
pip≥26.2.2certifi ၏ built-in မိတ္တူ S35S37 သီးခြားစီ မွမ်းမံရန်လိုအပ်သည်
uv (အသုံးပြုလျှင်)≥0.13.4အမှန်တကယ်တပ်ဆင်နည်းအရ S37 ကို အပ်ဒိတ်လုပ်ပါ။

ဤအခြေခံအချက်များသည် စာရင်းပြုစုထားသော ပြင်ဆင်မှုများကို အကျုံးဝင်ပါသည်။ tar_filter တွင် နောက်ထပ် အလယ်အလတ် ပြင်းထန်မှုပြဿနာကို အောက်တိုဘာလ 22 ရက်နေ့တွင် ထုတ်ဖော်ခဲ့ပါသည်။ အောက်တိုဘာလ 23 ရက်၊ 2026 ခုနှစ်အထိ၊ ဤပြင်ဆင်ချက်ပါရှိသော တရားဝင် ပြုပြင်ထိန်းသိမ်းမှုဗားရှင်းကို အတည်မပြုနိုင်သေးပါ။ ထို့ကြောင့်၊ 3.13.17 / 3.14.9 / 3.15.1 သည် tarfile ပြဿနာအားလုံးကို ကာမိသည်ဟု မယူဆနိုင်ပါ။ အပိုင်း 5.4. S40 ကိုကြည့်ပါ။

2.4 ဖြန့်ဖြူးမှု ကျောထောက်နောက်ခံများကို စစ်ဆေးနေပါသည်။

Ubuntu၊ Debian၊ RHEL နှင့် အခြားဆော့ဖ်ဝဲလ်ပက်ကေ့ဂျ်များအတွက် အသုံးချခြင်းဆိုင်ရာ အခြေခံမူများ-

  1. လည်ပတ်မှုစနစ်ဗားရှင်း၊ သိုလှောင်မှုရင်းမြစ်၊ ပက်ကေ့ဂျ်ဗားရှင်းအပြည့်အစုံနှင့် ရောင်းချသူ လုံခြုံရေး စာစောင်နံပါတ်တို့ကို မှတ်တမ်းတင်ပါ။
  2. အကြံပေးချက်သည် သတ်သတ်မှတ်မှတ် CVE ကို အကျုံးဝင်ကြောင်း အတည်ပြုပြီး သက်ဆိုင်ရာ ဖြန့်ဖြူးထုတ်ဝေမှုအတွက် ပုံသေပက်ကေ့ဂျ်တစ်ခုကို ခွဲခြားသတ်မှတ်ကြောင်း အတည်ပြုပါ။
  3. ရေစီးကြောင်းအတိုချုံးဗားရှင်းတင်မဟုတ်ဘဲ အမှန်တကယ်လုပ်ဆောင်နေသည့် လုပ်ငန်းစဉ်ဖြင့် တင်ထားသော binaries/libraries များကို နှိုင်းယှဉ်ပါ။
  4. ရောင်းချသူ patch ၏အထောက်အထားမရှိသောအခါ၊ ၎င်းကို “အတည်ပြုရန်” ထားခဲ့ကာ ဗားရှင်းနံပါတ်သည် ဟောင်းသည် သို့မဟုတ် အသစ်ဖြစ်နေသည်ဟု တစ်ခုတည်းသောကောက်ချက်အဖြစ် မယူလိုက်ပါနှင့်။

apt/RPM ပက်ကေ့ဂျ်ဗားရှင်းများနှင့် မတူညီသော ဖြန့်ဝေမှုများ၏ backport ဗျူဟာများတွင် ကွဲပြားမှုများရှိပါသည်။ ဖြန့်ဝေမှုတစ်ခုစီ၏ လုံခြုံရေးစာစောင်နှင့် ပက်ကေ့ဂျ်အပြည့်အစုံဗားရှင်းသည် သာလွန်နေသင့်သည်။

3. Node.js / JavaScript ဂေဟစနစ်- အကြောင်းရင်းများကို လေ့လာခြင်းနှင့် ပြန်လည်ပြင်ဆင်ခြင်း

3.1 CVE-2026-111497- Brotli ဇာတိ ဒီကုဒ်ဒါကို ဘောင်အပြင်မှ ရေးရန်

ထုတ်ဖော်ချက်- 2026-10-21; Node တရားဝင်အဆင့်- High။ သက်ရောက်မှုရှိသော တည်ဆောက်မှုများ၏ Node 22.x၊ 24.x၊ 26.x ကို ထည့်သွင်းရန် patch အပိုင်း 2.1 လိုအပ်သည်။ Node ကြေငြာချက်တွင် ဂဏန်း CVSS ရမှတ်ကို မဖော်ပြထားပါ။ S1

ပုံမမှန်သော Brotli ဖိသိပ်ထားသော စီးကြောင်းကို ကိုင်တွယ်သောအခါတွင် ပြဿနာသည် ဘောင်ပြင်ပမှ ရေးသားမှုများကို ဖြစ်ပေါ်စေနိုင်သည်။ Vercel ၏တရားဝင်ဖော်ပြချက်သည် သုတေသနသရုပ်ပြမှုတွင် လုပ်ငန်းစဉ်မှတ်ဉာဏ်ယိုစိမ့်မှုနှင့် အမိန့်ပေးလုပ်ဆောင်မှုတို့ ပါဝင်ကြောင်း အတည်ပြုသည်။ တိုက်ခိုက်သူတစ်ဦးသည် ဒီကုဒ်ဒါကိုရောက်ရှိနိုင်သည်ဖြစ်စေ အပလီကေးရှင်း သို့မဟုတ် မှီခိုသူသည် ၎င်းထိန်းချုပ်ထားသည့်ဒေတာကို အမှန်တကယ်ကုဒ်လုပ်ခြင်းရှိမရှိအပေါ် မူတည်သည်။ S3

လမ်းကြောင်းနှစ်ခုလုံးကို တစ်ချိန်တည်းတွင် စစ်ဆေးရန် လိုအပ်သည်-

  • inbound- The မူဘောင် သို့မဟုတ် အလယ်တန်းဆော့ဖ်ဝဲသည် အသုံးပြုသူမှ တင်ပြထားသော Brotli တောင်းဆိုချက်ကိုယ်ထည်ကို အလိုအလျောက် လျှော့ပေးသည်။
  • **outbound-**HTTP ဖောက်သည်များ၊ ရုပ်ပုံဖမ်းယူသူများ၊ စသည်တို့သည် တိုက်ခိုက်သူ ထိန်းချုပ်နိုင်သော အရင်းအမြစ်များကို ဝင်ရောက်ကြည့်ရှုပြီး ပြန်ပေးထားသော အကြောင်းအရာကို အလိုအလျောက် ချုံ့လိုက်ပါသည်။

ဘရောက်ဆာများထံ ပေးပို့သော တုံ့ပြန်မှုများ Brotli ချုံ့ခြင်းကို ပိတ်ခြင်း သည် ကုဒ်ထည့်သည့် အမှတ်ကို ဖယ်ရှားခြင်း မဟုတ်ပါ။ Inbound WAF အကာအကွယ်သည် ပြင်ပတုံ့ပြန်မှုများကို ရယူခြင်းနှင့် ကုဒ်လုပ်ခြင်း အပလီကေးရှင်းများကို အကျုံးမဝင်ပါ။ S3

**Patch လမ်းညွှန်ချက်-**Node Brotli အထက်ရေစီးကြောင်းပြင်ဆင်ချက်အား မူလမှီခိုမှုသို့ ရွှေ့ကာ တရားမဝင်သောကုဒ်ပြောင်းခြင်း အခြေအနေကို စစ်ဆေးခြင်းနှင့် အမှားအယွင်းများ ပျံ့နှံ့ခြင်းကို ဖြည့်စွက်ပါ။ ကိုယ်တိုင်စုစည်းထားသောဗားရှင်းကို ထိန်းသိမ်းထားသည့်အခါတွင်၊ သင်သည် တရားဝင်လုံခြုံရေးဖြန့်ချိမှု သို့မဟုတ် ကိုက်ညီသောဌာနခွဲ၏ ပြီးပြည့်စုံသော patch ကို အသုံးပြုသင့်သည်။ JavaScript ပက်ကေ့ဂျ်၏ ဗားရှင်းထုတ်ပြန်ချက်ကို သင်ပြောင်းရုံဖြင့် မရပါ။ S4

ကြားဖြတ် အကောင်အထည်ဖော်မှု အကြံပြုချက်များ- မလိုအပ်သော စိတ်မချရသော Brotli ကုဒ်သုံးခြင်းကို ရပ်လိုက်ပါ။ Middleware နှင့် HTTP client ၏ အလိုအလျောက် နှိမ့်ချမှု အပြုအမူကို စစ်ဆေးပါ။ လုပ်ငန်းက ဤဖော်မတ်ကို လက်ခံရမည်ဆိုပါက၊ patched ပတ်၀န်းကျင်တွင် လုပ်ငန်းစဉ်ကို အမြန်ဆုံး အပြီးသတ်ပါ။ Accept-Encoding ကို ချိန်ညှိခြင်းသည် ညှိနှိုင်းမှုတစ်ခုမျှသာဖြစ်ပြီး အန္တရာယ်ရှိသောတုံ့ပြန်မှုကို ပိတ်ဆို့ထားကြောင်း အထောက်အထားအဖြစ် တစ်ယောက်တည်း မရပ်တည်သင့်ပါ။

3.2 TLS / DNS သုံးခု High- အတည်ပြုခြင်းအရာဝတ္ထုသည် အမှန်တကယ်ပစ်မှတ်နှင့် မကိုက်ညီပါ။

ပုဒ်မ 2.1. S1 တွင် တရားဝင် အဆင့်မြှင့်တင်မှု အဆင့်သတ်မှတ်ချက်ဖြင့် အောက်တိုဘာလ 21 ရက်နေ့တွင် သုံးခုလုံးကို ထုတ်ဖော်ခဲ့သည်။

အမှတ်အသားအတည်ပြုပြီးပါပြီ။အကိုင်းအခက်တွေ ဒဏ်ခံရတယ်။
CVE-2026-105482dns.resolve NUL ပါရှိသော အမည်များကို ဖြတ်တောက်ခြင်း22.x / 24.x / 26.x
CVE-2026-105483IP အကျယ်အဝန်းအပြည့်ရှိသော ကိန်းဂဏာန်းပုံစံတွင် လက်မှတ်လက်ခံရယူခြင်းအား ကျော်ဖြတ်နိုင်စေသည်24.x / 26.x
CVE-2026-106069IP အဖြစ် ဖြည်းညှင်းစွာ အဓိပ္ပာယ်ဖွင့်နိုင်သော hostname သည် TLS အတည်ပြုခြင်း ရှောင်ကွင်းခြင်း ရလဒ်များ22.x / 24.x / 26.x

DNS ပြဿနာ၏ အနှစ်သာရမှာ အထက်အလွှာမှ စစ်ဆေးထားသော စာကြောင်းသည် အောက်အလွှာမှ အမှန်တကယ်ခွဲခြမ်းထားသော အမည်နှင့် ကွဲပြားနေခြင်းဖြစ်သည်။ တရားဝင် patch သည် NUL ကို ခွဲခြမ်းစိတ်ဖြာသည့် entry တွင် ငြင်းပယ်ပြီး regression coverage ကို ပေါင်းထည့်သည်။ S6

TLS အကြောင်းအရာနှစ်ခုတွင် အမည်ပုံမှန်ပြုလုပ်ခြင်း၊ IP ၏ လိုက်လျောညီထွေဖြစ်သော အဓိပ္ပာယ်ဖွင့်ဆိုချက်နှင့် လက်မှတ်ကိုက်ညီမှုတို့ ပါဝင်ပါသည်။ အမှန်တကယ် IP အဆုံးမှတ်ကို လက်မှတ်ဒိုမိန်းအထောက်အထားနှင့် ရောထွေးခြင်းမှရှောင်ရှားရန် စံမဟုတ်သော IP ထည့်သွင်းမှုကို ပယ်ချခြင်း သို့မဟုတ် မှန်ကန်စွာ ကိုင်တွယ်နိုင်စေရန် ဖာထေးခြင်း S5

: အတွက် အမှန်တကယ် ပြဿနာဖြေရှင်းခြင်း အကြံပြုချက်များသည် လက်ခံအသုံးပြုသူ URL၊ dynamic proxy ပစ်မှတ် သို့မဟုတ် Webhook လိပ်စာ၏ ကုဒ်ကို စစ်ဆေးခြင်းကို ဦးစားပေးပါသည်။ ပေါင်းစည်းထားသော စံချိန်စံညွှန်းသတ်မှတ်ခြင်းနှင့် စာရင်းစီရင်ခြင်းကို ခွင့်ပြုပါ၊ NUL/ထိန်းချုပ်မှုဇာတ်ကောင်များကို ငြင်းပယ်သည်၊ တရားဝင် IPv4၊ IPv6 နှင့် နိုင်ငံတကာမှ ဒိုမိန်းအမည်များကို အတည်ပြုပေးပါသည်။ SSRF ကို ထပ်မံဖွဲ့စည်းနိုင်သည်ဖြစ်စေ CVE အမည်မှ တိုက်ရိုက်နုတ်ယူ၍မရသော လင့်ခ်အထောက်အထားလျှောက်လွှာကို လိုအပ်ပါသည်။

အဆင့်မြှင့်ပြီးနောက် စစ်ဆေးခြင်းအမှားများကို ဖယ်ရှားရန် NODE_TLS_REJECT_UNAUTHORIZED=0 သို့မဟုတ် rejectUnauthorized: false ကို အသုံးမပြုပါနှင့်။ လိပ်စာ၊ လက်မှတ်နှင့် လုပ်ငန်းဖွဲ့စည်းပုံတို့ကို ပြုပြင်သင့်သည်။

3.3 ဇူလိုင်လ HTTP/2 High အန္တရာယ်နှင့် ခွင့်ပြုချက် မော်ဒယ် ပြဿနာများ

ဇူလိုင်လတွင် ဖော်ပြခဲ့သော အောက်ပါကိစ္စရပ်များကို စုံစမ်းစစ်ဆေးမှုတွင် ထည့်သွင်းရန် လိုအပ်နေသေးသည်။ အသုံးပြုသည့်အခါ အပိုင်း 2.1 ရှိ အောက်တိုဘာလ လုံခြုံရေးဗားရှင်းအခြေခံကို တိုက်ရိုက်အသုံးပြုရန် အကြံပြုထားသည်။ S7

CVEအကြောင်းတရားများနှင့် ဆိုးကျိုးများပထမပုံသေဗားရှင်း
CVE-2026-56846ထိန်းသိမ်းထားသော HTTP/2 header ဘလောက်သည် maxSessionMemory ဘတ်ဂျက်တွင် ကောင်းစွာမပါဝင်သည့်အပြင် မှတ်ဉာဏ်ကို ကုန်ဆုံးစေနိုင်သည်။ ထိခိုက်မှု 22.x / 24.x22.23.2 / 24.18.1
CVE-2026-56848HTTP/2 သည် ထုပ်ပိုးမှု UAF အစုအဝေးကို ဖြစ်ပေါ်စေသည် သက်ရောက်မှု 22.x / 24.x / 26.x22.23.2 / 24.18.1 / 26.5.1
CVE-2026-58043--permission လမ်းကြောင်းရှေ့ဆက်နယ်နိမိတ်ကိုက်ညီမှုမှာ ကျယ်လွန်းပြီး ခွင့်ပြုထားသောစာရင်းပြင်ပဖိုင်များကို ဝင်ရောက်ကြည့်ရှုနိုင်ပါသည်။အထက်ဖော်ပြပါ ပြုပြင်ထိန်းသိမ်းမှု လိုင်းသုံးခုနှင့် အတူတူပင် ဖြစ်သည်။

သုံးခုစလုံးသည် တရားဝင် High ဖြစ်သည်။ ပထမအရာနှစ်ခုသည် HTTP/2 ကို Node ကိုယ်တိုင်က လုပ်ဆောင်ခြင်းရှိမရှိ စစ်ဆေးခြင်းအား ဦးစားပေးပါသည်။ တတိယအရာသည် ခွင့်ပြုချက်ပုံစံကိုအသုံးပြုပြီး ဤနယ်နိမိတ်ကို အားကိုးသည့်အခါတွင်သာ သက်ဆိုင်သောအဓိပ္ပာယ်ရှိသည်။ အထောက်အထားစိစစ်ရန်မလိုအပ်သော ခွင့်ပြုချက်မော်ဒယ်အရာအားလုံးကို ကွန်ရက် RCE အဖြစ် ဖော်ပြ၍မရပါ။ S7

သီးခြား၊ မွမ်းမံထားသော ပရောက်စီနှင့် နောက်ခံအရင်းအမြစ်များကို ကန့်သတ်ခြင်းတွင် HTTP/2 ကို ယာယီရပ်စဲခြင်းသည် ထိတွေ့မှုကို လျှော့ချရန်အတွက် အသုံးချမှုရွေးချယ်မှုတစ်ခုဖြစ်သည်။ အရင်းအမြစ်ခွဲတမ်းများသည် အရင်းအမြစ်ကုန်ခန်းခြင်း၏ အကျိုးဆက်များကိုသာ ထိန်းချုပ်နိုင်ပြီး UAF ကို ဖာထေး၍မရပါ။

3.4 အောက်တိုဘာလ React / Next.js- ပစ္စည်းနှစ်ခု RCE နှင့် တစ်ခု DoS

A. RCE တွင် RSC / use cache လုပ်ဆောင်ချက်များသည် ရိုက်ထည့်ထားသော array များကို ပြန်ပေးသည်

အများသူငှာ ရက်စွဲ- 2026-10-14; Critical, CVSS 4.0 9.5. တရားဝင် အကြံပေး သတ်မှတ်ချက်များ-

  • React：GHSA-xqc2-xf4c-x3h3。
  • Next.js：GHSA-673q-mjm6-r5xr。S9S10

ဟိ React အထက်ပိုင်းပြဿနာတွင် တိုက်ခိုက်သူထိန်းချုပ်နိုင်သောတန်ဖိုးများနှင့် ပေါင်းစပ်ရိုက်ထည့်ထားသော array အများအပြားပါဝင်ပါသည်။ RSC တုံ့ပြန်မှု။ သုံးပါးထိခိုက်တယ်။ react-server-dom-* package versions တွေဖြစ်ပါတယ်။ 19.0.0 — 19.0.8 , 19.1.0 — 19.1.9 , 19.2.0 — 19.2.8 , 19.3.0 ; အခန်း အပိုင်းကို ကြည့်ပါ။ 2.1. ခိခိ - စင် React သို့မဟုတ် ပံ့ပိုးပေးသော မူဘောင်/ပလပ်အင်များကို အသုံးမပြုသော အပလီကေးရှင်းများ RSC လုံးဝ၊ ဤအရာ၏ ဘောင်အတွင်း မကျရောက်ပါစေနှင့်။ S10

Next.js ရေစုန်ကြေငြာစာရင်းများ 16.0.0 — 16.4.0 တွင် ပြန်လည်ပြင်ဆင်ထားသည်။ 16.4.1 ; ဇာတ်လမ်းက App Router , Cache Components , နှင့် use cache အများအပြားရိုက်ထည့်ထားသော array များကိုပြန်ပေးသည့်လုပ်ဆောင်ချက်များ။ တရားဝင်ယုံကြည်စိတ်ချရသော ယေဘုယျဖြေရှင်းနည်းတစ်ခုမျှမရှိပါ၊ နှင့် ထိခိုက်ထားသောဗားရှင်းများကို အသုံးပြုသူများသည် အချိန်မီ အဆင့်မြှင့်တင်ရန် လိုအပ်ပါသည်။ စီမံဆောင်ရွက်မှုကို အဆုံးသတ်ရန် “ဤလုပ်ဆောင်ချက်သည် တည်ရှိပုံမပေါ်” အတွက် ကိုယ်တိုင်ရှာဖွေမှုများကိုသာ အားကိုးခြင်းသည် မသင့်လျော်ပါ။ S9

ကိုးကားချက်: B. SVG Image Optimization RCE

CVE-2026-96889/GHSA-2464-fhr4-w9xw၊ 2026-10-14၊ Critical၊ CVSS 4.0 9.5။ ပုံကောင်းအောင်ပြုလုပ်ရန်အသုံးပြုသည့် အထက်ရေစီးကြောင်း မူရင်းစာကြည့်တိုက်တွင် ပြဿနာ ဖြစ်ပေါ်ပါသည်။ RCE အန္တရာယ်သည် glibc Linux အခြေအနေတွင် ရှိနေကြောင်း တာဝန်ရှိသူများက ထောက်ပြသည်။ S11

တရားဝင်ဗားရှင်းအကွက်များမှာ-

  • >=10.0.0 <=15.5.27；
  • >16.0.0 <=16.4.0。

တရားဝင်သည် 16.x ဌာနခွဲအတွက် >16.0.0 ၏ တင်းကျပ်သောအောက်ပိုင်းဘောင်ကို အသုံးပြုသော်လည်း ဤအတိုင်းအတာဖော်ပြချက်သည် 16.0.0 လုံခြုံကြောင်း သက်သေပြရန် မလုံလောက်ပါ။ အမှန်တကယ် အဆင့်မြှင့်တင်ရန် ပစ်မှတ်မှာ 15.5.28 / 16.4.1 တူညီပါသည်။ S11

တရားဝင်ယာယီဖြေရှင်းချက်မှာ Next ≥0.35.5 အမှန်တကယ် ထက်မြက်ကြောင်း သေချာစေရန်ဖြစ်သည်။ ဖိုင်များကို လော့ခ်ချခြင်း၊ အစုအဝေး မှီခိုမှု နှင့် အသုံးချပုံများသည် ဟောင်းနွမ်းနေသော ဖြစ်ရပ်များကို ဆက်လက်ထိန်းသိမ်းထားနိုင်သောကြောင့် ထိပ်တန်းအဆင့်ရှိ sharp ဗားရှင်းအသစ်ကို ပေါင်းထည့်ရုံနှင့် မလုံလောက်ပါ၊ နောက်ဆုံးမှီခိုမှုသစ်ပင်ကို စစ်ဆေးပြီး ပြန်လည်တည်ဆောက်သင့်ပါသည်။ S11

C. Server Actions CPU ကုန်သွားပြီ

GHSA-p3m5-59mp-jv5r , 2026-10-14, High , CVSS 4.0 8.2 . Next သက်ရောက်သည်။ 13.0.0 — 15.5.27 , 16.0.0 — 16.4.0 , ပြင်ဆင်သည်။ 15.5.28 / 16.4.1 . အခြေအနေတွေကတော့ App Router အနည်းဆုံး တစ်ခု Server Action ; အန္တရာယ်ရှိသော တောင်းဆိုမှုများကို သိမ်းဆည်းထားနိုင်သည်။ CPU အချိန်ကြာမြင့်စွာ သိမ်းပိုက်ပြီး နောက်ဆက်တွဲတောင်းဆိုမှုများကို တူညီသောလုပ်ငန်းစဉ်တွင် ပိတ်ဆို့ထားသည်။ လျှောက်လွှာများနှင့်အတူ Pages Router သို့မဟုတ်မပါဘဲ Server Actions ဒါကို မထိခိုက်ပါဘူး။ S12

အဆင့်မြှင့်ခြင်းကို အစားထိုးနိုင်သည့် တရားဝင်ဖြေရှင်းချက်မရှိပါ။ နှုန်းထားကန့်သတ်ချက်များ၊ တူညီသောကန့်သတ်ချက်များနှင့် အရင်းအမြစ်ခွဲတမ်းများသည် ပျက်စီးဆုံးရှုံးမှုများကို လျှော့ချနိုင်သော်လည်း ဖာထေးစစ်ဆေးခြင်းအတွက် နိဂုံးအဖြစ် အသုံးမပြုနိုင်ပါ။

3.5 အစောပိုင်း Next.js တူညီသောဝင်းဒိုးတွင် ပြင်းထန်သောပြဿနာ

အောက်ပါအရာများသည် ဩဂုတ်လမတိုင်မီ စက်တင်ဘာလဗားရှင်းများတွင် ပိတ်မိနေသေးသည့် လွဲမှားနေသော ဖြန့်ကျက်မှုများကို ရှောင်ရှားရန် ရည်ရွယ်ပါသည်။ ယခုဇယားရှိ ပြုပြင်မှုအဆင့်များအထိ ရွှေ့ရန် မအကြံပြုပါ။

ရက်စွဲခွဲခြားသတ်မှတ်မှု / ဇာတ်လမ်းပထမဦးဆုံးပြုပြင်; လက်ရှိလုပ်ဆောင်ချက်
2026-08-25GHSA-2xp9-vwfh-vxw4- AVIF ရုပ်ပုံ ပိုမိုကောင်းမွန်အောင် ပြုလုပ်ခြင်း ဇာတိစာကြည့်တိုက် RCE၊ Critical15.5.24 / 16.3.3; ယခု 15.5.28 / 16.4.1 S13
2026-08-25CVE-2026-75604- RCE၊ Critical Pages Router နှင့် App Router ကို Windows တွင် တစ်ပြိုင်နက် အသုံးပြုသောအခါ၊ Cache Components ကို ဖွင့်မထားပါ၊ >=13.4.0 <15.5.24၊ >=16.0.0 <16.3.3 ဗားရှင်းများ15.5.24 / 16.3.3; ဤတိကျသော Windows ပြဿနာ S14 ကြောင့် Linux/macOS ကို ထိခိုက်ခြင်းမရှိပါ။
2026-09-22GHSA-vcvr-r3jv-pc5j- Node ပုံ-မျိုးဆက်လမ်းကြောင်းသည် next/og တွင် မယုံကြည်ရသော SVG၊ Critical လုပ်ငန်းစဉ်များကို လုပ်ဆောင်သည်။ 16.2.0—16.3.516.3.6; Edge အကောင်အထည်ဖော်မှုသည် ဤပြဿနာ၏နယ်ပယ်ပြင်ပတွင်ရှိပြီး 15.x သည် ဤ RCE S15 အတွက် သက်ရောက်မှုရှိသောဌာနခွဲမဟုတ်ပါ။

4. Java ဂေဟစနစ်- Runtime ယုံကြည်မှု၊ ကွန်တိန်နာများနှင့် မူဘောင်များကို သီးခြားစီ ကိုင်တွယ်သည်

4.1 JDK- ပုံမှန် CPU နှင့် CVE-2026-91403 များသည် နှစ်ဆင့်အပ်ဒိတ်များဖြစ်သည်

ဟိ Java SE အန္တရာယ် matrix များအတွက် Oracle CPU အောက်တိုဘာလ 20 ရက်နေ့စာရင်းများ လုံခြုံရေး ဖာထေးမှုအသစ် 55 ခု၊ ၎င်းတို့ထဲမှ 49 ခုသည် စစ်မှန်ကြောင်းအထောက်အထားမရှိဘဲ ကွန်ရက်ပေါ်တွင် အသုံးချနိုင်သည်ဟု မှတ်သားထားသည်။ . ၅၅ ရှိသည်ဟု မဆိုလိုပါ။ Critical တိုက်ရိုက်အမြတ်ထုတ်နိုင်သော 49 ခုရှိသည်ဟုလည်း မဆိုလိုပါ။ RCE တစ်ခုစီအတွက် လမ်းကြောင်းများ Java ဝဘ်ဝန်ဆောင်မှု; ၎င်းကို မက်ထရစ်ရှိ အစိတ်အပိုင်းများ၊ API များ၊ အသုံးပြုသူ အပြန်အလှန်တုံ့ပြန်မှုများနှင့် အသုံးချမှုအခြေအနေများနှင့် တွဲဖက်နားလည်ရပါမည်။ S16

နောက်နေ့၏ CVE-2026-91403 (CVSS 3.1 9.1) သည် ယုံကြည်ခြင်းမရှိတော့သော eMudhra ဖြစ်ရပ်နှင့်ပတ်သက်သည့် အလယ်အလတ် CA အစုအဝေးတစ်ခုဖြစ်သည်။ ၎င်းသည် TLS သက်တူရွယ်တူ စစ်မှန်ကြောင်းအထောက်အထားပြခြင်းနှင့် ဆက်သွယ်ရေးဆိုင်ရာ လျှို့ဝှက်ထားမှု/ခိုင်မာမှုကို သက်ရောက်မှုရှိပြီး JVM မှတ်ဉာဏ်ဖောက်ပြန်မှု အားနည်းချက်အဖြစ် ဖော်ပြ၍မရပါ။ S17

Oracle အကြံပေးချက်သည် အောက်တိုဘာလ 20 ရက်နေ့တွင် ထုတ်ပြန်ခဲ့သော ဗားရှင်းကို ထိခိုက်မှုအဖြစ် စာရင်းပြုစုထားသောကြောင့် တီးဝိုင်းမွမ်းမံမှုကို အောက်တိုဘာလ 21 ရက်နေ့တွင်လည်း ထည့်သွင်းရန် လိုအပ်ပါသည်။ သီးခြားဗားရှင်းအတွက် အပိုင်း 2.2 ကို ကြည့်ပါ။ GraalVM တွင် သက်ဆိုင်ရာ သက်ရောက်မှုရှိသော ထုတ်ကုန်များပါရှိပြီး ပုံသေဗားရှင်းသည် ၎င်း၏သီးသန့်လုံခြုံရေးစာစောင်တွင် လက်အောက်ခံဖြစ်သင့်သည်။ S17S18

ယာယီတရားဝင်အစီအမံများ- ကို ဦးစွာအရန်ကူးပါ၊ ထို့နောက် အမှန်တကယ်အသုံးပြုထားသည့် truststore တစ်ခုစီမှ သတ်မှတ်ထားသော root လက်မှတ်ကို ဖယ်ရှားပါ-

  • emSign ECC Root CA - G3, Oracle alias emsigneccrootcag3 [jdk]။
  • AAA Certificate Services, Oracle alias comodoaaaca [jdk]။ S19

JDK 11 နှင့် နောက်ပိုင်းတွင်၊ တရားဝင် ဥပမာမှာ-

keytool -delete -cacerts -alias "emsigneccrootcag3 [jdk]"
keytool -delete -cacerts -alias "comodoaaaca [jdk]"

ဤအမိန့်စာများအတွက် ပစ်မှတ် keytool ကိုအသုံးပြု၍ JDK ကိုအသုံးပြုပြီး အပလီကေးရှင်း၏ အမှန်တကယ်ယုံကြည်စိတ်ချရသောစတိုးတွင် ၎င်းတို့လုပ်ဆောင်နေကြောင်း အတည်ပြုပါ။ Java 8 သည် jre/lib/security/cacerts နှင့် သက်ဆိုင်သည့် လမ်းကြောင်းကို အသုံးပြုသည်။ Truststore ကို စိတ်ကြိုက်ပြင်ဆင်ခြင်းကို သီးခြားစီကိုင်တွယ်ရမည်ဖြစ်ပြီး အခြားထုတ်ဝေသူများတွင် မတူညီသောအမည်များ ရှိနိုင်ပါသည်။ အရင်းလက်မှတ်ကို ဖယ်ရှားခြင်းသည် ငြင်းပယ်ခြင်း၏ နယ်ပယ်ကို ချဲ့ထွင်စေမည်ဖြစ်ပြီး ဆုတ်ယုတ်မှု-စမ်းသပ်မှု တရားဝင်သော ဝန်ဆောင်မှုလက်မှတ် ကွင်းဆက်များကို ချဲ့ထွင်ပါမည်။ S19

တရားဝင်သည် ရုပ်သိမ်းခြင်းစစ်ဆေးခြင်းကို ဖွင့်ရန် ရွေးချယ်ခွင့်ကိုလည်း ပေးသော်လည်း အကျိုးသက်ရောက်မှုသည် အမှန်တကယ် TLS အကောင်အထည်ဖော်မှု၊ ရုပ်သိမ်းခြင်းဝန်ဆောင်မှု လက်လှမ်းမီနိုင်မှုနှင့် ချို့ယွင်းမှုဗျူဟာအပေါ် မူတည်ပါသည်။ ယေဘူယျအသုံးပြုမှုများအတွက်၊ TLS စာကြည့်တိုက်အားလုံးကို ပြင်ဆင်ပြီးကြောင်း အထောက်အထားအဖြစ် JVM ခလုတ်နှစ်ခုကို ကုသခြင်းမှရှောင်ကြဉ်ရန် အပြည့်အဝရောင်းချသူအပ်ဒိတ်များကို ဦးစားပေးတပ်ဆင်ပါ။

4.2 Tomcat- အထောက်အထားစိစစ်ခြင်း ရှောင်ကွင်းခြင်းနှင့် အသုံးပြုသူ အပြန်အလှန် တောင်းဆိုမှုကို သီးခြားခွဲထုတ်ခြင်း

အောက်ပါအချက်သုံးချက်ကို 2026-10-20 တွင် ထုတ်ဝေခဲ့သည်။ ပြုပြင်ထားသော ဗားရှင်းထည့်သွင်းမှုသည် October 12 ရက်စွဲပါရှိသည်။ Apache ၏တရားဝင်အဆင့်မှာ Important ဖြစ်သည်။ S21S22S23

CVEသက်ရောက်မှုရှိသောဗားရှင်းများကို အတည်ပြုထားသည်။လိုအပ်သော အခြေအနေများ/ရလဒ်များ
CVE-2026-1012969.0.0.M1—9.0.122；10.1.0-M1—10.1.60；11.0.0-M1—11.0.26JNDIRealm သည် GSSAPI မဟုတ်သော SASL စစ်မှန်ကြောင်းအထောက်အထားပြခြင်း ယန္တရားကို စီစဉ်သတ်မှတ်ပေးသည်၊ အထောက်အထားစိစစ်ခြင်း ပျောက်ဆုံးနေပြီး မမှန်သောစကားဝှက်များလည်း ဖြတ်သွားနိုင်သည်။
CVE-2026-1013569.0.118—9.0.122；10.1.55—10.1.60；11.0.22—11.0.26HTTP/2 ၏ asynchronous Servlet သည် အရာဝတ္တုများကို မှားယွင်းစွာ ပြန်လည်အသုံးပြုခြင်း/ပြန်လည်အသုံးပြုခြင်းအား ကိုင်တွယ်ရာတွင် အသုံးပြုသူများအကြား တောင်းဆိုမှုများ သို့မဟုတ် တုံ့ပြန်မှုများကို ရောနှောသွားစေသည်။
CVE-2026-10311911.0.0-M25—11.0.26 ကိုသာ အတည်ပြုပါကြီးမားသော AJP ပိတ်ဆို့ခြင်းမဟုတ်သော ရေးသားမှုများသည် နောက်ပိုင်းတွင် တောင်းဆိုမှုများတွင် ယခင်တုံ့ပြန်မှုဒေတာကို ထုတ်ဖော်ပြသနိုင်သည် ။

သက်ဆိုင်ရာ ပြင်ဆင်ချက်မှာ 9.0.123 / 10.1.61 / 11.0.27; AJP သည် ကြေငြာချက်အရ Tomcat 11 အဖြစ်သာ စာရင်းသွင်းထားပြီး တူညီသောပြဿနာရှိသည့် ဘဏ်ခွဲသုံးခုအထိ တိုးချဲ့မရနိုင်ပါ။ S21S22S23

JNDIRealm patch သည် စစ်မှန်သော အထောက်အထားစိစစ်ခြင်း လုပ်ငန်းစဉ်တွင် အတည်ပြုချက် ကွာဟချက်ကို ဖြေရှင်းပေးသည်၊ “အပလီကေးရှင်း လော့ဂ်အင်အင်တာဖေ့စ်သည် ပုံမှန်ဖြစ်သည်” ကို အတည်ပြုခြင်းအစား အသုံးပြု၍မရပါ။ Realm၊ SASL ယန္တရားများသည် ဝန်ဆောင်မှု၏ အမှန်တကယ်ဖွဲ့စည်းပုံအတွက် စစ်ဆေးသင့်ပြီး မမှန်သောစကားဝှက်များအတွက် စမ်းသပ်မှုများ ကျရှုံးရပါမည်။ S24

ကြားဖြတ်အကောင်အထည်ဖော်မှု အကြံပြုချက်များ- ထိခိုက်နေသော အထောက်အထားစိစစ်ခြင်းလမ်းကြောင်းကို သီးခြားခွဲထုတ်ပါ။ ဆိုင်းငံ့ HTTP/2 စီမံဆောင်ရွက်ခြင်း Tomcat AJP . တိုက်ရိုက်ဝင်ရောက်ခွင့်ကိုသာ ကန့်သတ်ထားသည်။ AJP တရားဝင် ရှေ့ပရောက်စီမှတဆင့် ဝင်ရောက်လာသော အသွားအလာကို ထိခိုက်မည်မဟုတ်ကြောင်း ဆိပ်ကမ်းမှ သက်သေမပြနိုင်ပါ။ တရားဝင်အပ်ဒိတ်ပြီးနောက်၊ သီးခြားလွတ်လပ်သောအသုံးပြုသူနှစ်ဦးထံမှ တစ်ပြိုင်နက်တည်း တောင်းဆိုမှုများသည် အထောက်အထားများနှင့် တုံ့ပြန်မှုများကြား အပြန်အလှန်ပြောဆိုခြင်းမရှိကြောင်း အတည်ပြုရန် စမ်းသပ်သင့်သည်။

ကိုးကားချက်: 4.3 Spring for GraphQL：CVE-2026-59285

အများသူငှာ ရက်စွဲ- 2026-08-20; High. ထိခိုက်မှု 2.0.0—2.0.4၊ ပြုပြင်ထားသော 2.0.5 (OSS) သို့မဟုတ် 2.0.4.1 (စီးပွားဖြစ် ပံ့ပိုးမှု)။ S25

၎င်းသည် စာမျက်နှာရှာဖွေမှုများတွင် အန္တရာယ်ကင်းသော ဖယ်ထုတ်ခြင်းအန္တရာယ်ဖြစ်သည်။ တရားဝင်လိုအပ်ချက်မှာ အောက်ပါအခြေအနေများကို တစ်ချိန်တည်းတွင် ဖြည့်ဆည်းပေးရမည်ဖြစ်သည်-

  1. Spring for GraphQL ကိုသုံးပါ။
  2. Jackson 2.x ကို အသုံးပြု၍ JSON ကို Deserialize လုပ်ပါ။
  3. ချိတ်ဆက်မှုစာမျက်နှာကို ပြင်ပကမ္ဘာသို့ ပေးပါ။
  4. classpath တွင် instantiation သို့မဟုတ် deserialization ကာလအတွင်း မမျှော်လင့်ထားသော logic ကိုလုပ်ဆောင်နိုင်သော သီးခြားအတန်းများပါရှိသည်။

အခြေအနေများနှင့်ကိုက်ညီသောအခါ အန္တရာယ်ရှိသော GraphQL တောင်းဆိုချက်သည် RCE ကိုဖြစ်စေနိုင်သည်။ Jackson ကို အသုံးပြု၍ “Java ပရိုဂရမ်အားလုံးကို အသုံးချနိုင်သည်” အဖြစ်သို့ လျှော့ချ၍မရပါ။ S25

ဘာကြောင့် 2.0.4 မလုံလောက်ပါ- ဇွန်လတွင်၊ CVE-2026-41699 သည် 2.0.4 ကဲ့သို့သော patch baselines များကို ပေးခဲ့ပြီး ဩဂုတ်လတွင် ကြေငြာချက်တွင် 2.0.4 ၏ လွှမ်းမိုးမှုအသစ်တွင် ရှင်းရှင်းလင်းလင်း ထည့်သွင်းခဲ့သည်။ ထို့ကြောင့်၊ ပြုပြင်မှုမှတ်တမ်းကို နောက်ဆက်တွဲကြေငြာချက်များအရ မွမ်းမံပြင်ဆင်ရမည်ဖြစ်ပြီး CVE အဟောင်း၏ အနည်းဆုံးဗားရှင်းကို အသုံးမပြုနိုင်ပါ။ S26

အဆင့်မြှင့်တင်ခြင်းကို ခေတ္တမရနိုင်သည့်အခါ၊ စိတ်မချရသော ခေါ်ဆိုသူများထံ ဝင်ရောက်နိုင်သော ထိခိုက်သည့် pagination အကွက်များကို ဆိုင်းငံ့ထားနိုင်သည်။ deserializable အမျိုးအစားများနှင့် လူတန်းစားလမ်းကြောင်းများကို ကျဉ်းမြောင်းစေခြင်းသည် အတွင်းကျကျတိုင်းတာမှုတစ်ခုဖြစ်သည်။ ဆုတ်ယုတ်မှုများသည် တရားဝင် cursor၊ paginated ရလဒ်များနှင့် ခြွင်းချက်ထည့်သွင်းခြင်းအား ပယ်ချခြင်းတို့ကို အကျုံးဝင်စေပြီး နောက်ဆုံးအပလီကေးရှင်း JAR အတွင်းရှိ အမှန်တကယ် အစိတ်အပိုင်းဗားရှင်းများကို စစ်ဆေးသင့်သည်။

4.4 Spring Security- CVE-2026-59270 နှင့် ဆက်စပ် အထောက်အထားစိစစ်ခြင်း အန္တရာယ်များ

CVE-2026-59270၊ 2026-08-20၊ Critical. သည် UnboundIdContainer တွင် ထည့်သွင်းထားသော သိထားသော စီမံခန့်ခွဲသူအထောက်အထားများကို မူရင်းအတိုင်း မှတ်ပုံတင်ပြီး ကွန်ရက်ကြားခံများအားလုံးတွင် နားထောင်ပါသည်။ အစိတ်အပိုင်းကို ဖွင့်ထားပြီး ဆိပ်ကမ်းကို ဆက်သွယ်နိုင်သောအခါ၊ တိုက်ခိုက်သူသည် လမ်းညွှန်ဒေတာကို ဖတ်နိုင် သို့မဟုတ် ပြင်ဆင်နိုင်သည်။ ယေဘူယျအားဖြင့် Spring Security မိတ်ဆက်သည့် ပရောဂျက်များသည် LDAP အလိုအလျောက် ထုတ်ဖော်လိမ့်မည်မဟုတ်ပါ။ S27

ထိခိုက်သည့်ဧရိယာ-

အခက်ထိခိုက်သည်။ပထမဆုံး ပြင်ဆင်ခြင်း/ရယူခြင်း ချန်နယ်
7.17.1.07.1.1 OSS; စီးပွားဖြစ် 7.1.0.1 လည်းဖြစ်သည်။
7.07.0.0—7.0.67.0.7 OSS; စီးပွားဖြစ် 7.0.6.1 လည်းဖြစ်သည်။
6.5 / 6.46.5.0—6.5.11；6.4.0—6.4.186.5.12/6.4.19၊ စီးပွားရေး
5.8 / 5.75.8.0—5.8.27；5.7.0—5.7.255.8.28/5.7.26၊ စီးပွားရေး

အရင်းအမြစ်- S27။ spring.ldap.embedded.* အလိုအလျောက် ဖွဲ့စည်းမှုပုံစံနှင့် တိုက်ရိုက် ချက်ခြင်းကုဒ်ကို ပြဿနာဖြေရှင်းပါ။ ထုတ်လုပ်ရန်အတွက် မလိုအပ်သောအခါတွင် အစိတ်အပိုင်းကို ပိတ်ပြီး အမှန်တကယ် နားထောင်ခြင်းလိပ်စာကို စစ်ဆေးပါ။ လုပ်ငန်းက အမှန်တကယ် လိုအပ်လာသောအခါ၊ ခေါ်ဆိုမှုရင်းမြစ်များကို ဦးစွာကန့်သတ်ပြီးနောက် အစိတ်အပိုင်း အဆင့်မြှင့်တင်မှုကို အပြီးသတ်ပါ။

သက်ဆိုင်ရာ အထောက်အထားစိစစ်ခြင်း ပြဿနာ- CVE-2026-47841 ( High ). WebAuthn အသုံးပြုသူ စစ်မှန်ကြောင်းအထောက်အထားပြရန် သတ်မှတ်ထားသည်။ REQUIRED နှင့် ပြီးနောက် HTTP စက်ရှင်အား ဖြန့်ဝေသိုလှောင်မှုဖြင့် အမှတ်စဉ်သတ်မှတ်ထားသည်၊ မမှန်ကန်သော အရာဝတ္တုအထောက်အထားကို နှိုင်းယှဉ်ခြင်းသည် အထောက်အထားစိစစ်ခြင်း လိုအပ်ချက်ကို ပျက်ပြယ်သွားစေနိုင်သည်။ တိုက်ခိုက်မှုသည် တိုက်ခိုက်သူအား စက်ပစ္စည်းမပါဘဲ မတရားသော အဝေးမှဝင်ရောက်ခြင်းမဟုတ်ဘဲ အသုံးပြုသူအထောက်အထားစိစစ်သည့်ကိရိယာကို ပိုင်ဆိုင်ရန်လည်း လိုအပ်သည်။ သက်ဆိုင်ရာ သက်ရောက်မှုရှိသော ဗားရှင်းများအတွက် 7.1 , 7.0 , 6.5 , နှင့် 6.4 patch baseline သည် အထက်ပါဇယားရှိ ဤအကိုင်းအခက်များနှင့် ကိုက်ညီပါသည်။ အတည်ပြုခြင်း သည် node စက်ရှင်များ အကျုံးဝင်ပြီး PIN/Biometric အတည်ပြုခြင်း လိုအပ်နေသေးသည်။ S28

5. Python ဂေဟစနစ်- စကားပြန်၊ စံစာကြည့်တိုက်၊ မူဘောင်နှင့် လက်မှတ်များ

5.1 CVE-2026-19445 : SSLContext UAF ၌ SNI ပြန်ခေါ်ပါ

ထုတ်ဝေရက်စွဲ- 2026-09-30; PSF အဆင့်- Critical. Python ဆာဗာတွင် TLS၊ sni_callback သည် အခြား SSLContext သို့ ချိတ်ဆက်မှုကို ပြောင်းပြီး အခြား surviving တွင် မူရင်းအကြောင်းအရာကို ရည်ညွှန်းခြင်းမရှိသည့်အခါ၊ TLS ဖောက်သည်သည် ဝန်ဆောင်မှုကို ပျက်စီးသွားစေနိုင်သည် သို့မဟုတ် ထုတ်လွှတ်ထားသော အရာဝတ္တုတွင် ညွှန်ပြချက်ကို ခေါ်ဆိုနိုင်သည်။ S29

အဓိကအချက်မှာ Python အရာဝတ္ထုသည် အရင်းခံ TLS ပြန်လည်ခေါ်ဆိုမှုဘဝစက်ဝန်းနှင့် မကိုက်ညီသောကြောင့်ဖြစ်သည်။ မူရင်းအကြောင်းအရာကို ထုတ်ပြန်ပြီးဖြစ်ပြီး၊ အရင်းခံအလွှာသည် ပြန်လည်ခေါ်ဆိုမှုအတွက် လိုအပ်သည့်အခြေအနေကို ဆက်လက်ထိန်းထားနိုင်မည်ဖြစ်သည်။ ရည်ညွှန်းဘဝစက်ဝန်းကို ပြုပြင်ရန် စကားပြန်ဇာတိ patch ကို အသုံးပြုရန် လိုအပ်သည်။ S47

Scope: Python ကုဒ်သည် TLS သုံးစွဲသူအဖြစ်သာ လုပ်ဆောင်သည့် ဤအရာအတွက် သက်ရောက်မှုမရှိပါ။ မူရင်းအကြောင်းအရာကို အချိန်အကြာကြီး ကိုင်ထားသည့် နားကြပ်ပေါက်၏ ပုံမှန်မုဒ်သည် ကြေငြာချက်တွင် ဖော်ပြထားသည့် တိကျသော ချို့ယွင်းမှုလမ်းကြောင်းသို့ မကျပါ။ Nginx မှ TLS ကို ရပ်ဆိုင်းပြီးနောက်၊ ၎င်းသည် ဒေသတွင်း HTTP သို့ Python သို့သာ လွှဲပြောင်းပေးပြီး Python သည် မတူညီသော တိုက်ခိုက်ရေးမျက်နှာပြင်ဖြစ်သည့် SNI ကို သူ့ဘာသာသူ တိုက်ရိုက်ကိုင်တွယ်ပါသည်။ S29

3.10—3.14 ပုံသေဗားရှင်းနှင့် ကိုက်ညီသော၊ အပိုင်း 2.3. ကိုကြည့်ပါ 3.15 ၏တရားဝင်ဗားရှင်းကို ပြုပြင်ပြီးဖြစ်ပြီး 3.15.1 ကို အမှန်တကယ် ရွေးချယ်နိုင်ပါသည်။ pip မှီခိုမှုကို အပ်ဒိတ်လုပ်ခြင်းကသာ စကားပြန်၏ _ssl အကောင်အထည်ဖော်မှုကို အစားထိုး၍မရပါ။ S33S35S47

တရားဝင်ယာယီလျော့ပါးရေး- သည် SSLContext အားလုံးကို ဆာဗာသက်တမ်းကုန်ဆုံးချိန်အထိ SNI ပြန်လည်ခေါ်ဆိုမှုကို သတ်မှတ်ပေးထားသည့် ခိုင်လုံသောရည်ညွှန်းချက်များကို သိမ်းဆည်းထားသည်။ ၎င်းသည် အမှန်တကယ် ပြောင်းလဲနေသော ဖန်တီးမှုနှင့် ကူးပြောင်းမှုလမ်းကြောင်းများကို လွှမ်းခြုံရန် လိုအပ်သည်။ စိတ်ကြိုက် OpenSSL 1.1.1 တည်ဆောက်မှုသည် တရားဝင်ထုတ်ပေးမှုမှတ်တမ်းနှင့်အတူ ပြန်လည်ညှိနှိုင်းမှုအခြေအနေများကို စစ်ဆေးပြီး အပြီးသတ်မွမ်းမံမှုများကို ဦးစားပေးလုပ်ဆောင်သင့်သည်။ S29S47

5.2 CVE-2026-19553- လက်ခံဆောင်ရွက်ပေးသူအမည်အလံကို ဖွင့်ထားသော်လည်း ဖုန်းခေါ်ဆိုသည့်အခါ လက်ခံဆောင်ရွက်ပေးသူအမည် ပျောက်ဆုံးသွားသည်

Public ရက်စွဲ- 2026-09-30; High။SSLContext.check_hostname=True ၊ wrap_bio() ကို server_hostname တွင် မအောင်မြင်ပါက၊ မူရင်းအကောင်အထည်ဖော်မှုသည် လက်ခံသူအမည်အတည်ပြုခြင်းကို တိတ်တဆိတ်ကျော်သွားနိုင်သည်။ အောင်မြင်သော လက်မှတ်ကွင်းဆက်ကို အတည်ပြုခြင်းသည် ပစ်မှတ်ဒိုမိန်းအမည်ကိုလည်း တူညီသည်ဟု မဆိုလိုပါ။ S30

ပြန်လည်ပြင်ဆင်ခြင်း အဆင့်နှစ်ဆင့် လိုအပ်သည်-

  • အပိုင်း 2.3. တွင်ဖော်ပြထားသော စကားပြန်လုံခြုံရေးထုတ်ဝေမှုကို ထည့်သွင်းပါ။
  • wrap_bio()၊ ဆက်စပ် asyncio.create_connection() / loop.start_tls() လမ်းကြောင်းများကို စစ်ဆေးပါ၊ မျှော်လင့်ထားသည့်နှင့် ဗလာမဟုတ်သော hostname အတွင်းသို့ ပြတ်သားစွာ ဖြတ်သွားကာ လက်မှတ်အတည်ပြုခြင်းကို ဆက်လက်ဖွင့်ထားပါ။ S30

**ချန်လှပ်၍မရသော လိုက်ဖက်ညီမှု ကွာခြားချက်များ-**3.10၊ 3.11၊ 3.12 သည် လိုက်ဖက်ညီမှုအတွက်ဖြစ်ပြီး၊ အချို့သောကိစ္စရပ်များအတွက် DeprecationWarning ကိုသာ ထုတ်ပေးပါသည်။ 3.13 နှင့် နောက်ပိုင်းတွင် ValueError ကိုမြှင့်ပါ။ 3.12 backport သည် None အား ဗလာစာကြောင်းများနှင့် ပြတ်ပြတ်သားသား ခွဲခြားပေးသည်- None အတွက် သတိပေးချက်အသစ်ကို ပေါင်းထည့်ထားပြီး ဗလာစာကြောင်းများအတွက် အမှားအယွင်းတစ်ခု ဆက်လက်ရှိနေပါသည်။ ထို့ကြောင့်၊ ဘဏ်ခွဲနည်းပါးသော သုံးစွဲသူများသည် မူလပျောက်ဆုံးနေသော ဒိုမိန်းအမည်ကို စိစစ်ခြင်းကို အဆင့်မြှင့်တင်ခြင်းဖြင့် အလိုအလျောက် ပြန်လည်ရောက်ရှိသွားသည်ဟု မယူဆနိုင်ပါ။ S31S33

စမ်းသပ်မှုပတ်ဝန်းကျင်တွင်၊ မကိုက်ညီသော hostname ဖြင့် ယုံကြည်ရသော ကွင်းဆက်လက်မှတ်ကို အသုံးပြုပြီး အမှန်တကယ် အပလီကေးရှင်း TLS ဖောက်သည်က ၎င်းကို ငြင်းပယ်ကြောင်း အတည်ပြုပါ။ check_hostname Boolean တန်ဖိုးကို ဖတ်ရုံဖြင့် ပြီးပြည့်စုံသော လက်ခံမှုကို မရရှိပါ။

5.3 CVE-2026-82049- tarfile စစ်ထုတ်မှုတွင် လင့်ခ်ပေါင်းစပ်မှု ရှောင်ကွင်းခြင်း

အများသူငှာ ရက်စွဲ- 2026-09-14; High . ၌ CPython 3.13 အစောပိုင်းဆက်စပ်အကောင်အထည်ဖော်မှုများ၊ ခိုင်မာသောလင့်ခ်များနှင့် မယုံကြည်ရသော ကတ္တရာစေးရှိ သင်္ကေတလင့်ခ်များ ပေါင်းစပ်ခြင်းသည် ၎င်းကို ကျော်ဖြတ်နိုင်သည်။ data / tar ထုတ်ယူခြင်း စစ်ထုတ်ခြင်း၊ ထုပ်ပိုးခြင်းလုပ်ငန်းလမ်းညွှန်၏ အပြင်ဘက်ရှိ ဖိုင်များ၏ အကြောင်းအရာများကို ဖော်ထုတ်ခြင်း သို့မဟုတ် ၎င်းတို့၏ ခွင့်ပြုချက်များနှင့် ပြုပြင်မွမ်းမံချိန်များကို မွမ်းမံခြင်း။ S32

ဤအားနည်းချက်၏ အတည်ပြုထားသော အကျိုးသက်ရောက်မှုများတွင် ဖိုင်အကြောင်းအရာ ထိတွေ့မှုနှင့် မက်တာဒေတာမွမ်းမံမှုတို့ ပါဝင်သည်။ ဤအကျိုးသက်ရောက်မှုများသည် ပြင်ပဖိုင်အကြောင်းအရာ၏ မှားယွင်းစွာရေးသားခြင်း သို့မဟုတ် RCE ကို ခြွင်းချက်မရှိ အကောင်အထည်ဖော်ခြင်းအား သရုပ်ပြရန် မလုံလောက်ပါ။

သက်ဆိုင်ရာ patch baselines များအတွက် 3.10 — 3.13 အပိုင်းကိုကြည့်ပါ။ 2.3. Python 3.14 ဤကိစ္စရပ်ကြောင့် ကင်းလွတ်ခွင့်ရရှိခဲ့သည်။ os.link() အမူအကျင့်တွေ ပြောင်းလာပြီ။ 3.14.0b1 ဒါကြောင့် သက်ရောက်မှုအတိုင်းအတာကို လည်းကောင်း ၊ 3.10 — 3.13 အထက်ဌာနခွဲနှင့် မသက်ဆိုင်ပါ။ S33

ယာယီနှင့် အတွင်းကျကျ အစီအမံများ- သည် မယုံကြည်ရသော မှတ်တမ်းများကို အလိုအလျောက် ထုတ်ယူခြင်းကို ဆိုင်းငံ့ထားသည်။ လုပ်ငန်းစဥ်လုပ်ဆောင်ရသည့်အခါ၊ သင်္ကေတလင့်ခ်များ၊ ခက်ခဲသောလင့်ခ်များနှင့် စက်ထည့်သွင်းမှုများကို လုပ်ငန်းမှ ငြင်းပယ်ပြီး ဖိုင်များနှင့် ချုံ့ချဲ့မှုအရင်းအမြစ်များ အရေအတွက်ကို ကန့်သတ်သည့်အခါ သီးခြားသီးသန့်အခွင့်အရေးနည်းပါးသော အလုပ်သမားလုပ်ငန်းစဉ်များနှင့် သီးသန့်လမ်းညွှန်အသစ်များကို အသုံးပြုပါ။ ဤသည်မှာ ဖြန့်ကျက်အကြံပြုချက်များဖြစ်သည်။

filter="data" သည် အပြည့်အဝယုံကြည်မှုဗျူဟာထက် ယေဘူယျမယုံကြည်ရသော မှတ်တမ်းများအတွက် ပိုသင့်လျော်သော်လည်း ဗားရှင်းဟောင်းရှိ စစ်ထုတ်မှုတွင် ဤအားနည်းချက်လည်း ရှိပြီး ဤကန့်သတ်ချက်ထည့်သွင်းခြင်းတစ်ခုတည်းဖြင့် အပ်ဒိတ်ကို အစားထိုး၍မရပါ။ စစ်ထုတ်မှုသည် ဖိုင်စနစ် သဲဘောက်စ် အပြည့်အစုံမဟုတ်ပါ။ S32S45

5.4 နောက်ဆက်တွဲ အန္တရာယ်- CVE-2026-114583 (Medium) နှင့် patch ထုတ်ပေးမှု အခြေအနေ

PSF တွင် 2026-10-22 တွင် tarfile.tar_filter ၏ သီးခြားလင့်ခ်အမည်များကို လုပ်ဆောင်ခြင်းကို ကျော်ဖြတ်နိုင်ပြီး၊ နောက်ဆက်တွဲအဖွဲ့ဝင်များအား ထုပ်ပိုးခြင်းလမ်းညွှန်အပြင်ဘက်တွင် ရေးသားနိုင်စေခြင်း၊ Medium။ တရားဝင်ပြင်ဆင်မှု PR ကို ထိုနေ့တွင် ပေါင်းစည်းခဲ့သည်။ 2026 ခုနှစ် အောက်တိုဘာလ 23 ရက်နေ့အထိ၊ ဤကော်မတီပါ ၀ င်သောတရားဝင်ထိန်းသိမ်းမှုထုတ်ပြန်ချက်ကိုအတည်ပြုခြင်းမရှိပါ။ S40

ထို့ကြောင့်-

  • ဤအရာအား Medium အဖြစ် သီးခြားစီဖော်ပြထားပါသည်။
  • အောက်တိုဘာလ 21 ရက်နေ့တွင်ထွက်ရှိထားသော စကားပြန်ဗားရှင်းများသည် ဤပြင်ဆင်ချက်တွင် ပါဝင်သည်ဟု မယူဆနိုင်ပါ။
  • စိတ်မချရသော မှတ်တမ်းများကို ကိုင်တွယ်ရန် filter="tar" ကို ဆက်လက်အသုံးပြုသည့် လုပ်ငန်းစဉ်သည် ထုတ်ဝေမှု ကျောထောက်နောက်ခံကို ခြေရာခံသင့်သည်။ ဤလုပ်ဆောင်မှုလမ်းကြောင်းကို အချိန်တိုအတွင်း သီးခြားခွဲထားရန် သို့မဟုတ် ရပ်ဆိုင်းပါ။ data သို့ပြောင်းပြီး လင့်ခ်များကို ငြင်းပယ်သည့်အခါ၊ ၎င်းသည် လုပ်ငန်းလိုအပ်ချက်များနှင့် ကိုက်ညီကြောင်းကိုလည်း အတည်ပြုရမည်ဖြစ်ပြီး စစ်ထုတ်မှုကို ခြွင်းချက်မရှိ သဲပုံးအဖြစ် ဖော်ပြ၍မရပါ။

5.5 GeoDjango- CVE-2026-15307 နှင့် အောက်တိုဘာလတွင် နောက်ဆက်တွဲ ပြင်ဆင်မှုများ

2026-08-04၊ Django တရားဝင် High. spatial query သည် အချို့သော strings/dictionaries အား GDALRaster သို့ သွယ်ဝိုက်၍ သွယ်တန်းပြီး ကွန်ရက်မှ ဖိုင်များကို ရေးနိုင်သည် သို့မဟုတ် တောင်းဆိုနိုင်သည်။ တိကျသောလမ်းကြောင်းများနှင့် နောက်ဆက်တွဲလုပ်ဆောင်မှုအခြေအနေများရှိနေသောအခါ RCE ကို ဖွဲ့စည်းနိုင်သည်။ spatial field model ကြည့်ရှုခြင်းခွင့်ပြုချက်များရှိသည့် ဝန်ထမ်းများသည်လည်း စီမံခန့်ခွဲသူပြောင်းလဲမှုစာရင်းမှတစ်ဆင့် ဤလမ်းကြောင်းကို ဝင်ရောက်ကြည့်ရှုနိုင်ပါသည်။ S38

ကနဦးပြင်ဆင်မှုမှာ 5.2.17 / 6.0.8 ဖြစ်ပြီး၊ ၎င်းသည် spatial lookups မှ လက်ခံသော ထည့်သွင်းအမျိုးအစားများကို ကန့်သတ်ထားသည်။ ဤပြောင်းလဲမှုသည် raster ဖော်ပြရန်အတွက် string/dictionary ကိုအသုံးပြုသည့် မူရင်းလုပ်ငန်းအပေါ် သက်ရောက်မှုရှိနိုင်သည်။ GDALRaster တွင် မယုံကြည်ရသော ထည့်သွင်းမှုကို ရိုးရိုးရှင်းရှင်း ထုပ်ပိုးခြင်းသည် ၎င်းကို အတည်ပြုခြင်းဟု မဆိုလိုပါ။ S38

အောက်တိုဘာလ 6 ရက်နေ့တွင် CVE-2026-87890 (Moderate) ကို ပြုပြင်ခဲ့သည်- bytes တွင် ဖော်ပြထားသော VRT သည် ပြင်ပအရင်းအမြစ်များကို ကိုးကားနိုင်ပြီး ကွန်ရက်တောင်းဆိုမှုများကို အစပျိုးနေဆဲဖြစ်သည်။ ထိုနေ့တွင်၊ CVE-2026-15830 ၏ nested geometry DoS ကာကွယ်မှုလည်း အားကောင်းလာသည်။ စွန့်စားရနိုင်ခြေမြင့်မားသော RCE အသစ်ကို ဖော်ပြရန်အတွက် နောက်ဆုံးနှစ်ခုကို အဆင့်မြှင့်၍မရသော်လည်း ဖြန့်ကျက်မှုအခြေခံသည် 5.2.18 / 6.0.9 / 6.1.2 ဖြစ်သင့်သည်ဟု ဖော်ပြပါ။ S39

အကောင်အထည်ဖော်မှုသည် API နှင့် စီမံခန့်ခွဲရေးအင်တာဖေ့စ်၏ ဝင်ပေါက်အမှတ်နှစ်ခုကို စစ်ဆေးသည်၊ မယုံကြည်ရသော spatial lookup၊ ဖိုင်ရေးခွင့်ပြုချက်များနှင့် အပြင်သို့ဝင်ရောက်ခွင့်ကို ကန့်သတ်ထားသည်။ အဆင့်မြှင့်တင်ပြီးနောက်၊ regression-test မှန်ကန်သော spatial queries နှင့် တားမြစ်ထားသော ထည့်သွင်းမှုကို ငြင်းပယ်ခြင်း။ GeoDjango အသုံးမပြုသော သာမန် Django အပလီကေးရှင်းများသည် ဤ RCE နိဂုံးကို တိုက်ရိုက်မသက်ဆိုင်သင့်ပါ။

5.6 certifi / pip- အသိအမှတ်ပြုလက်မှတ် မိတ္တူတိုင်းကို ဖုံးအုပ်ထားရမည်

GHSA-6q48-6c7w-9gw2 , 2026-10-20, Critical , လူသိများ CVE စာရင်းမသွင်းပါ။ ၎င်းသည် အသိအမှတ်ပြုလက်မှတ် မယုံကြည်မှုအပ်ဒိတ်ကြောင့် ဖြစ်ပေါ်လာခြင်းဖြစ်သည်။ eMudhra အလယ်အလတ် CA အဖြစ်အပျက်။ HTTPS ၏ လျှို့ဝှက်စာဝှက်စနစ် ယန္တရားအဖြစ် သို့မဟုတ် root လက်မှတ်များအားလုံးကို အက်ကွဲကြောင်း အကျဉ်းချုံး၍မရပါ။ S36

certifi အကြံပေးချက်သည် မူလက 2026.10.18 အား ဖာထေးမှုတစ်ခုအဖြစ် ဖော်ပြခဲ့သည်။ နောက်ပိုင်းတွင် PSF သည် 2026.10.19 နောက်ပိုင်းတွင် ထိခိုက်မှုမရှိသော အမြစ်လက်မှတ်များနှင့် လိုက်ဖက်ညီမှုကို ထိန်းသိမ်းရန် အတိအလင်း အကြံပြုခဲ့သည်။ လည်ပတ်မှုအခြေခံမှာ .19 ဖြစ်သည်။ S36S37

ပိုင်းခြားရန် လိုအပ်သည်-

ပစ္စည်းတည်နေရာကို ယုံကြည်ပါ။အဘယ်ကြောင့် သီးခြားစစ်ဆေးရန် လိုအပ်သနည်း။
လည်ပတ်မှုစနစ် CA ပက်ကေ့ချ်ရုပ်ပုံ သို့မဟုတ် လက်ခံဆောင်ရွက်ပေးသူအတွက် စနစ်ယုံကြည်မှုပစ္စည်း
venv တွင် certifiCA bundle သည် Application သို့မဟုတ် Requests စသည်တို့မှ အမှန်တကယ်အသုံးပြုသည်။
pip တပ်ဆင်ထားသော certifiပြင်ပတွင် ထည့်သွင်းထားသည့် certifi နှင့် မတူညီသော ကော်ပီဖြစ်သည်။
uv / အခြားထုပ်ပိုးမှုကိရိယာများကိရိယာ၏ကိုယ်ပိုင်အပ်ဒိတ်များနှင့် ယုံကြည်ရသောရင်းမြစ်များကို လိုက်နာပါ။
စိတ်ကြိုက် CA ဖိုင်များ၊ ထုပ်ပိုးထားသော ဓာတ်ပုံများစနစ်များ သို့မဟုတ် ပက်ကေ့ဂျ်များအတွက် မူရင်းယုံကြည်ရသော အရင်းအမြစ်များကို အစားထိုးနိုင်သည်

အထက်ဖော်ပြပါသည် မတူညီသော ထုပ်ပိုးသည့်နေရာများကို အခြေခံ၍ စစ်ဆေးရန်စာရင်းတစ်ခုဖြစ်သည်။ PSF ဆက်စပ်ကိရိယာများကို အပ်ဒိတ်လုပ်ခြင်း၊ ရှိပြီးသား virtual ပတ်ဝန်းကျင်များနှင့် ပုံကို ပြန်လည်တည်ဆောက်ရန် လိုအပ်ပါသည်။ လက်ခံသူ CA ကို အပ်ဒိတ်လုပ်ခြင်း သို့မဟုတ် စကားပြန်ကို ပြန်လည်ထည့်သွင်းခြင်းမှသာလျှင် မိတ္တူအားလုံးကို ပြန်လည်ဆန်းသစ်ထားကြောင်း သက်သေမပြနိုင်ပါ။ S35S37

pip အဟောင်းကို လုံခြုံသော bootstrap မှ အဆင့်မြှင့်သည့်အခါ၊ PSF သည် fixed wheel နှင့် SHA-256 အတွက် နောက်ဆက်တွဲ S37 အတွက် အမိန့်ပေးပါသည်။ TLS အတည်ပြုခြင်းအား မပိတ်ပါနှင့် သို့မဟုတ် လက်မှတ်ပြဿနာများကို ကျော်လွှားရန် --trusted-host ထည့်ပါ။

6. တရားဝင်ပြန်လည်ကုစားခြင်းလုပ်ငန်းစဉ်

အောက်ပါ ညွှန်ကြားချက်များသည် အတည်ပြုထားသော ယုံကြည်ရသော ပတ်ဝန်းကျင်များအတွက် ဖြစ်သည်။ လုပ်ဆောင်သည့်အခါ၊ ပရောဂျက်၏ သော့ခတ်ဖိုင်နှင့် ဖြန့်ကျက်မှုလုပ်ငန်းစဉ်ကို npm/pnpm/yarn သို့မဟုတ် pip/uv/Poetry တို့ကို ရောနှောခြင်းမှရှောင်ရှားရန် ပေါင်းစပ်သင့်သည်။

ခြွင်းချက်တစ်ခုကို ဦးစွာ ကိုင်တွယ်ပါ- ပတ်ဝန်းကျင်သည် အပိုင်း 9 တွင် အန္တရာယ်ပြုထားသော ပက်ကေ့ဂျ်ကို လုပ်ဆောင်သည်ဟု သံသယရှိပါက ၎င်းကို ဦးစွာ သီးခြားခွဲထုတ်ပြီး သန့်ရှင်းသော ပတ်ဝန်းကျင်မှ ဒစ်ခ်၊ ဖိုင်နှင့် ရုပ်ပုံမှတ်တမ်းကို စစ်ဆေးပါ။ အောက်ပါ Python/pip command ကို ဦးစွာ မလုပ်ဆောင်ပါနှင့်။ S41

6.1 အစစ်အမှန်အသွားအလာနှင့် ကိုက်ညီနိုင်သော စာရင်းဇယားတစ်ခုကို တည်ထောင်ပါ

ဝန်ဆောင်မှုတစ်ခုစီသည် အနည်းဆုံး မှတ်တမ်းတင်သည်-

  • ပြင်ပဝင်ပေါက်အမှတ်၊ ပြောင်းပြန်ပရောက်စီ၊ မူရင်းဆိုက်သို့ တိုက်ရိုက်ချိတ်ဆက်မှုလမ်းကြောင်းနှင့် နောက်ခံတန်းစီခြင်း/စီစဉ်ထားသော လုပ်ဆောင်စရာများ။
  • အမှန်တကယ် startup command၊ အကောင့်ဖွင့်ခြင်း၊ binary လမ်းကြောင်း၊ လုပ်ငန်းစဉ် သို့မဟုတ် container အထောက်အထား။
  • Runtime ဗားရှင်းအပြည့်အစုံ၊ ထုတ်ဝေသူ/သိုလှောင်မှု၊ ပက်ကေ့ချ်အပြည့်အစုံဗားရှင်း သို့မဟုတ် ပုံအညွှန်း။
  • မူဘောင်နှင့် အကူးအပြောင်း မှီခိုမှု၊ လော့ခ်ချသည့် ဖိုင်များ၊ မူရင်း ဒစ်ဂျစ်တိုက်များ၊ နှင့် ယုံကြည်စိတ်ချရသော စတိုးဆိုင်လမ်းကြောင်းများ။
  • အားနည်းချက်အခြေအနေရှိမရှိ၊ patch ပစ်မှတ်၊ ပြန်လည်စတင်သည့်နယ်ပယ်၊ တာဝန်ရှိပုဂ္ဂိုလ်နှင့် အတည်ပြုခြင်းရလဒ်တို့နှင့် သက်ဆိုင်သည်။

ဖွံ့ဖြိုးတိုးတက်ရေးစက်များ၊ CI အပြေးသမားများ၊ ကွန်တိန်နာများတည်ဆောက်ခြင်းနှင့် နောက်ခံလုပ်ဆောင်စရာများကို ၎င်းတို့၏ စိတ်မချရသောအကြောင်းအရာသို့ လမ်းကြောင်းများအတိုင်း စစ်ဆေးသင့်သည်၊ အများသူငှာ ရင်ဆိုင်နေရသော ဝဘ်ကွန်တိန်နာကို မွမ်းမံရုံမျှမကပါ။

6.2 Node.js- runtime ကို ဦးစွာဆုံးဖြတ်ပါ၊ ထို့နောက် အပလီကေးရှင်း မှီခိုမှုကို အပ်ဒိတ်လုပ်ပါ။

အမှန်တကယ်ဝန်ဆောင်မှုပတ်ဝန်းကျင်တွင် စစ်ဆေးပါ-

node -p 'JSON.stringify({execPath:process.execPath,node:process.version,openssl:process.versions.openssl,brotli:process.versions.brotli},null,2)'
npm ls next react react-dom react-server-dom-webpack react-server-dom-parcel react-server-dom-turbopack sharp --all
npm audit --omit=dev

node -p ကို ဝန်ဆောင်မှု၏ အမှန်တကယ် လုပ်ဆောင်နိုင်သော သို့မဟုတ် အမှန်တကယ် ကွန်တိန်နာအတွင်းတွင် အသုံးပြု၍ လုပ်ဆောင်သင့်သည်။ ၎င်းသည် အသစ်ထွက်ရှိထားသော လုပ်ငန်းစဉ်များကို စစ်ဆေးပြီး အလုပ်သမားဟောင်းကို အစားထိုးထားကြောင်း သက်သေမပြနိုင်ပါ။ Node သည် မူလဒစ်ဂျစ်တိုက်ဗားရှင်းစာကြောင်းကို ထိန်းသိမ်းထားစဉ်တွင် တပ်ဆင်ထားသည့် Brotli တွင် ဖာထေးမှုကို ထည့်သွင်းနိုင်သည်။ ထို့ကြောင့်၊ ၎င်းကို ပြုပြင်ပြီးကြောင်း ဆုံးဖြတ်ရန် process.versions.brotli ကိုသာ အားကိုးမနေပါနှင့်။ ၎င်းကို Node လုံခြုံရေးဗားရှင်း (သို့) ရောင်းချသူ၏ backport အထောက်အထားများနှင့် ပေါင်းစပ်သင့်သည်။ S2S4

npm ls ကို အမှန်တကယ် မှီခိုမှုသစ်ပင်ကို ကြည့်ရှုရန် အသုံးပြုသည်။ ပျောက်ဆုံးနေသော ပက်ကေ့ဂျ်များ သို့မဟုတ် သက်တူရွယ်တူ ကွဲလွဲမှုများသည်လည်း သုညမဟုတ်သော ထွက်ပေါက်ကုဒ်များကို ထုတ်လုပ်နိုင်သည်၊ ထို့ကြောင့် သင်သည် သီးခြားထွက်ရှိမှုကို ဖတ်သင့်သည်။ npm audit ကို မှီခိုစစ်ဆေးခြင်းအကူအညီအဖြစ် အသုံးပြုထားပြီး Node ဒွိစုံနှင့် မူရင်းစာကြည့်တိုက်စစ်ဆေးခြင်းကို အစားထိုး၍မရပါ။

အောက်ပါအတိုင်းမွမ်းမံနိုင်သည့် Node 24**၏ပတ်ဝန်းကျင်ကိုစီမံခန့်ခွဲရန်**mise ကိုသုံးပါ။

mise use -g [email protected]
mise exec [email protected] -- node -p 'process.version + " " + process.execPath'

mise use -g ကမ္ဘာလုံးဆိုင်ရာဗားရှင်းကို configure လုပ်သည်; ပရောဂျက်၏ ဒေသန္တရဖွဲ့စည်းပုံအား သီးခြားစီ စစ်ဆေးရန် လိုအပ်နေသေးသည်။ ဝန်ဆောင်မှုသည် ပကတိလမ်းကြောင်းဟောင်း၊ ကွန်တိန်နာအခြေခံပုံ သို့မဟုတ် အခြားအကောင့်တစ်ခု၏ ပတ်၀န်းကျင်ကို ပြုပြင်ခဲ့ပါက၊ သက်ဆိုင်သောဖွဲ့စည်းပုံကို အပ်ဒိတ်လုပ်ရမည်ဖြစ်ပြီး ဝန်ဆောင်မှုကို ပြန်လည်စတင်ရမည်ဖြစ်သည်။ အမိန့်ပေးသူကိုယ်တိုင်က လုပ်ဆောင်နေသည့် လုပ်ငန်းစဉ်ဟောင်းကို အစားမထိုးပါ။ S43

Next ပရောဂျက်တွင် ရွေးချယ်ထားသော ဌာနခွဲအလိုက် သက်ဆိုင်ရာ command ကို လုပ်ဆောင်ပါ။ Next 15 အတွက်-

# Next 15 分支
npm install --save-exact [email protected]

Next 16 အတွက်-

# Next 16 分支
npm install --save-exact [email protected]

React/RSC လိုက်ဖက်ညီသော မှီခိုမှုများ၊ ဖိုင်များကို လော့ခ်ချခြင်းနှင့် နောက်ဆုံး ပြတ်သားသော ဥပမာကို စစ်ဆေးပြီးနောက် ပရောဂျက်လုပ်ငန်းစဉ်အတိုင်း တည်ဆောက်ပါ။ ပြန်လည်ထုတ်လုပ်နိုင်သော ထည့်သွင်းမှုအတွက် CI တွင် အပ်ဒိတ်လုပ်ထားသော လော့ခ်ဖိုင်ကို အသုံးပြုပြီး တည်ဆောက်ပြီးနောက် လုပ်ဆောင်နေသည့် ပုံရှိဗားရှင်းကို စစ်ဆေးပါ။ ဤအရေးပေါ်အတွက် ပုံသေဖြေရှင်းချက်အဖြစ် အဓိကဗားရှင်းများတွင် ထိန်းချုပ်မထားသော အလိုအလျောက်ပြုပြင်မှုကို မသုံးပါနှင့်။

6.3 Java- ထုတ်ဝေသူ၊ အမှန်တကယ် JVM နှင့် ထည့်သွင်းထားသော အစိတ်အပိုင်းများကို အတည်ပြုပါ

ပဏာမစာရင်း-

java -XshowSettings:properties -version

java.home၊ java.runtime.version နှင့် output မှထုတ်ဝေသူသည် ဝန်ဆောင်မှုမှ အမှန်တကယ်အသုံးပြုထားသော JVM နှင့် ချိန်ညှိသင့်သည်။ ပူးတွဲခွင့်ပြုချက်ဖြင့် JVM အတွက်၊ လော့ဂ်အင်ခွံသာမက ပစ်မှတ်လုပ်ငန်းစဉ်ကို စစ်ဆေးရန်အတွက် JDK ၏ jcmd ကို အသုံးပြုနိုင်သည်။

ယုံကြည်ရသော ပရောဂျက်များတွင် မှီခိုမှုကို စစ်ဆေးပြီး အမှန်တကယ် တည်ဆောက်ရေးကိရိယာများကို အခြေခံ၍ ရွေးချယ်ပါ-

./mvnw dependency:tree '-Dincludes=org.apache.tomcat.embed:*,org.springframework.security:*,org.springframework.graphql:*'

./gradlew dependencyInsight --dependency tomcat-embed-core --configuration runtimeClasspath
./gradlew dependencyInsight --dependency spring-security-core --configuration runtimeClasspath
./gradlew dependencyInsight --dependency spring-graphql --configuration runtimeClasspath

ဤတည်ဆောက်မှု ညွှန်ကြားချက်များသည် ပလပ်အင်များကို လုပ်ဆောင်နိုင်ပြီး အွန်လိုင်းပေါ်တွင် မှီခိုမှုကို ဖြေရှင်းနိုင်ပြီး ယုံကြည်စိတ်ချရသော ပရောဂျက်များတွင်သာ လုပ်ဆောင်နိုင်သည်။ ပုံရှိ နောက်ဆုံး JAR/WAR သို့မဟုတ် တကယ့် JAR ကို စစ်ဆေးပြီး နောက်ဆုံးလက်ရာအတွက် တည်ဆောက်မှုဖိုင်ကြေငြာချက်များကို အစားထိုးမထားပါ။ Spring Boot တွင် ထည့်သွင်းထားသော Tomcat အက်ပ်လီကေးရှင်းကို ပြန်လည်တည်ဆောက်ရန် လိုအပ်သည်။ စနစ်တွင် သီးခြား Tomcat တပ်ဆင်ခြင်းကို အပ်ဒိတ်လုပ်ခြင်းသည် အပလီကေးရှင်းပက်ကေ့ချ်ရှိ မိတ္တူကို မွမ်းမံမည်မဟုတ်ပါ။

အပြေးအချိန်ကို အပ်ဒိတ်လုပ်ပြီးနောက်၊ စိတ်ကြိုက် javax.net.ssl.trustStore၊ အပလီကေးရှင်း-ကိုယ်တိုင်တင်ထားသော KeyStore၊ jlink runtime၊ GraalVM/native image နှင့် အခြားပစ္စည်းပေးပို့မှုပုံစံများကို အမျိုးအစားအလိုက် စစ်ဆေးပါ။ စိတ်ကြိုက်ယုံကြည်စိတ်ချရသောပစ္စည်းများရှိပြီးသား အပလီကေးရှင်းများသည် JDK လမ်းညွှန်အသစ်ဖြစ်လာသောကြောင့် စစ်ဆေးမှုကို အဆုံးသတ်၍မရပါ။

6.4 Python- စကားပြန်မှ စကားပြန်နှင့် အတုအယောင် ပတ်ဝန်းကျင် လုပ်ဆောင်ခြင်း

အမှန်တကယ် ယုံကြည်စိတ်ချရသော venv/container အတွင်း-

python - <<'PY'
import sys
import ssl
import importlib.metadata as metadata

print("executable:", sys.executable)
print("version:", sys.version)
print("openssl:", ssl.OPENSSL_VERSION)
print("verify_paths:", ssl.get_default_verify_paths())
for name in ("pip", "certifi", "Django", "urllib3", "Brotli", "litellm"):
    try:
        print(name + ":", metadata.version(name))
    except metadata.PackageNotFoundError:
        print(name + ": not installed")
PY

python -m pip --version
python -m pip check

ဤ script သည် အချက်အလက်များကိုသာ စုဆောင်းပြီး ဗားရှင်း အရည်အချင်း သတ်မှတ်ခြင်းကို မလုပ်ဆောင်ပါ။ ssl.get_default_verify_paths() သည် ပုံသေလမ်းကြောင်းအချက်အလက်ဖြစ်ပြီး ပြင်ပကုမ္ပဏီဖောက်သည်များအားလုံး တူညီသောယုံကြည်မှုစတိုးကိုအသုံးပြုကြောင်း သက်သေမပြနိုင်ပါ။ အပလီကေးရှင်းဖွဲ့စည်းပုံအပေါ် အခြေခံ၍ အတည်ပြုရပါမည်။

ပြီးသွားမှ စိတ်ချရတယ်။ pip နောက်ဆက်တွဲ၏ boot အဆင့်မြှင့်ခြင်း။ S37 ဥပမာ၊ ပရောဂျက်ကန့်သတ်ချက်များအရ လက်မှတ်မှီခိုမှုများအား အပ်ဒိတ်လုပ်ပါ။

python -m pip install --upgrade 'certifi>=2026.10.19'

# 仅适用于当前就选择 Django 5.2 的项目
python -m pip install --upgrade 'Django>=5.2.18,<5.3'

python -m pip check

ပရောဂျက်၏ လိုအပ်ချက်များ/လော့ခ်ဖိုင်ကို တစ်ချိန်တည်းတွင် အပ်ဒိတ်လုပ်ရန် လိုအပ်သည်၊ သို့မဟုတ်ပါက နောက်တစ်ကြိမ် အသုံးပြုမှုသည် ဗားရှင်းဟောင်းသို့ ပြန်သွားနိုင်ပါသည်။ uv၊ ကဗျာ၊ သို့မဟုတ် လုပ်ငန်းပက်ကေ့ချ်သိုလှောင်မှုကို အသုံးပြုသည့်အခါ ၎င်းတို့၏ရှိပြီးသား လော့ခ်ချခြင်းနှင့် ထုတ်ဝေခြင်းလုပ်ငန်းစဉ်များကို အသုံးပြုပါ။ ထုတ်လုပ်မှုကွန်တိန်နာအတွင်း၌ ပက်ကေ့ဂျ်များကို ကိုယ်တိုင်မွမ်းမံပြင်ဆင်ခြင်းမပြုပါနှင့်။

ပရောဂျက်၏ တည်ဆဲ pip-audit အလုပ်အသွားအလာကို ယုံကြည်စိတ်ချရသော ပတ်ဝန်းကျင်ရှိ သိထားသည့် မှီခိုမှုဆိုင်ရာ အားနည်းချက်များကို စစ်ဆေးရန်အတွက် အသုံးပြုနိုင်သည်။ ၎င်းသည် အန္တရာယ်ရှိသော ကုဒ်စကင်နာတစ်ခုမဟုတ်ပါ၊ စကားပြန်၊ စနစ်စာကြည့်တိုက်နှင့် ယုံကြည်စိတ်ချရသောစတိုးဆိုင်အန္တရာယ်အားလုံးကို အကျုံးမဝင်ပါ။ S44

စနစ်အား တွန်းအားပေးရန် အကြံပြုထားခြင်း မရှိပါ။ /usr/bin/python3 စုစည်းထားသော ဗားရှင်းအသစ်ကို ညွှန်ပြရန်။ စနစ်အပေါ်အားကိုးသော စီမံခန့်ခွဲမှုကိရိယာများကို ချိုးဖျက်ခြင်းမှ ရှောင်ကြဉ်ရန် လုံခြုံရေးအပ်ဒိတ်များ သို့မဟုတ် ပရောဂျက် သီးခြားလုပ်ဆောင်ချိန်များကို အသုံးပြုပါ။ Python . ၎င်းသည် အကောင်အထည်ဖော်မှုရွေးချယ်မှုတစ်ခုဖြစ်ပြီး ဤအားနည်းချက်အတွက် နောက်ထပ်ပြင်ဆင်မှုလိုအပ်ချက်တစ်ခုမဟုတ်ပါ။

6.5 ပြန်လည်တည်ဆောက်ပြီး လုပ်ဆောင်နေသည့် စံနမူနာကို အစားထိုးပါ။

ပြီးပြည့်စုံသောပြောင်းလဲမှုအဖြစ် အောက်ပါအဆင့်များကို လုပ်ဆောင်ရန် အကြံပြုအပ်ပါသည်။

  1. မူရင်းယုံကြည်ရသောအရင်းအမြစ်မှ patch ကိုရယူပြီး ဗားရှင်း/hash နှင့် မှီခိုမှုလော့ခ်ကို သိမ်းဆည်းပါ။
  2. အနီးအနားရှိ ထုတ်လုပ်မှုပတ်ဝန်းကျင်ရှိ သော့ချက်လုပ်ဆောင်ချက်များကို ပြန်ပေးကာ မူရင်း extension များသည် JVM/framework နှင့် တွဲဖက်အသုံးပြုနိုင်ကြောင်း အတည်ပြုပါ။
  3. အလုပ်လုပ်ချိန်၊ အပလီကေးရှင်းမှီခိုမှုနှင့် အမှန်တကယ်ယုံကြည်မှုစတိုးကို အပ်ဒိတ်လုပ်ပါ။ ကွန်တိန်နာအတွက် အခြေခံရုပ်ပုံနှင့် စနစ် CA ကို ပြန်လည်ဆန်းသစ်ပါ၊ အလွှာဟောင်းကို ပြန်သုံးရုံဖြင့် မပါ။
  4. အပလီကေးရှင်းများနှင့် ရုပ်ပုံများကို ပြန်လည်တည်ဆောက်ပါ၊ ဝန်ဆောင်မှု၊ အလုပ်သမား၊ တန်းစီစောင့်ဆိုင်းသုံးစွဲသူနှင့် အစီအစဉ်ဆွဲထားသော အလုပ်ဖြစ်ရပ်များကို အလှည့်ကျအခြေခံ၍ အစားထိုးပါ။
  5. လည်ပတ်နေသည့် စံနမူနာအသစ်တွင် ဗားရှင်းနှင့် ဖွဲ့စည်းမှုပုံစံကို ပြန်လည်စစ်ဆေးပြီး ကော်ပီအဟောင်းများအားလုံး ထွက်သွားကြောင်း အတည်ပြုပါ။
  6. အမှားအယွင်းနှုန်းများ၊ တုံ့ပြန်ချိန်၊ CPU/မမ်မိုရီ၊ TLS လက်ဆွဲခြင်း ပျက်ကွက်မှုများနှင့် လုပ်ငန်းစဉ် ပျက်စီးမှုများကို စောင့်ကြည့်ပါ။

Rollback သည် လုံခြုံသော runtime နှင့် patch မှီခိုမှုကို ထိန်းသိမ်းထားရန်နှင့် အပလီကေးရှင်းဖွဲ့စည်းပုံ သို့မဟုတ် လုပ်ငန်းအပြောင်းအလဲများကို ပြန်လည်လုပ်ဆောင်ရန် ဦးစားပေးသင့်သည်။ အကယ်၍ သင်သည် အားနည်းချက်များရှိသည့် ထုတ်ကုန်ဟောင်းသို့ ပြန်သွားရမည်ဆိုပါက သက်ဆိုင်ရာ ဝင်ခွင့်ကန့်သတ်ချက်များကို တစ်ပြိုင်နက် ပြန်လည်ရယူသင့်ပြီး တာဝန်ရှိပုဂ္ဂိုလ်နှင့် အနည်းဆုံး ပြန်လည်ရယူရေးကာလကို ရှင်းရှင်းလင်းလင်း သတ်မှတ်သင့်သည်။

7. ယာယီလျော့ပါးရေးနှင့် ဖာထေးရွေးချယ်မှု

7.1 အကျုံးဝင်သော ယာယီအတိုင်းအတာများ နယ်နိမိတ်

အောက်ပါတို့သည် ထုတ်ပြန်ကြေညာထားသော အသုံးချမှုအခြေအနေများအပေါ် အခြေခံ၍ အကောင်အထည်ဖော်ရန် အကြံပြုချက်များဖြစ်သည်။ တရားဝင်အစီအစဥ်ကို မှတ်သားထားခြင်းမရှိပါက၊ အမျိုးအစားအားလုံးကို လုံးလုံးပိတ်ဆို့နိုင်ကြောင်း ရောင်းချသူမှ အာမမခံနိုင်ပါ။

အန္တရာယ်ယာယီအစီအမံများ ဆောင်ရွက်နိုင်သည်။ဒီအပိုင်းကို အခြေခံပြီး ပြီးမြောက်တယ်လို့ မယူဆနိုင်ပါဘူး။
Brotli စကားဝှက်စိတ်မချရသော ထည့်သွင်းမှုကို ကုဒ်ဆွဲခြင်းကို ရပ်ပါ။ Inbound နှင့် Outbound အလိုအလျောက် ဖိသိပ်မှုကို စစ်ဆေးပါ။Inbound WAF သို့မဟုတ် တုံ့ပြန်မှု ဖိသိပ်မှုကို ပိတ်ခြင်း သည် ကုဒ်ကုဒ်ထည့်သည့်အရာအားလုံး S3 အကျုံးဝင်မည်မဟုတ်ပါ။
Next.js typed arrays RCEချက်ချင်းအဆင့်မြှင့်ပါ။ လိုအပ်ပါက ထိခိုက်မှုရှိသော ဝန်ဆောင်မှုများကို ယာယီခွဲထုတ်ပါ။S9 တွင် တရားဝင်ယုံကြည်စိတ်ချရသော universal workaround မရှိပါ။
Next.js SVG RCEတရားဝင်အစီအစဉ်- အမှန်တကယ် ထက်ထက် ≥0.35.5 သေချာပါစေ။ လုပ်ငန်းခွင့်ပြုသည့်အခါ သက်ဆိုင်ရာ ပိုမိုကောင်းမွန်အောင်ပြုလုပ်ထားသော ဝင်ခွင့်အမှတ်များကို ရပ်ဆိုင်းပါ။အခြား Next/RSC ပြဿနာများကို S11 မပါဝင်ပါ။
Tomcat Realm / HTTP/2 / AJPသက်ဆိုင်ရာလမ်းကြောင်းကို ခွဲထုတ်ပြီး မလိုအပ်သော ချိတ်ဆက်မှုများကို ပိတ်ပါ။သက်ဆိုင်ရာဌာနခွဲပြုပြင်ခြင်းပက်ကေ့ဂျ် S21S22S23 လိုအပ်နေသေးသည်
GraphQL Deserializationသက်ရောက်မှုရှိသော ချိတ်ဆက်မှုနယ်ပယ်များကို ဆိုင်းငံ့ပါ။ စိတ်မချရသော ဖုန်းခေါ်ဆိုသူများကို ကန့်သတ်ပါ။တောင်းဆိုမှုအတိုင်းအတာကန့်သတ်ချက်သာလျှင် အမျိုးအစား/ခွဲထွက်ခြင်းပြဿနာ S25 ကို မဖြေရှင်းနိုင်ပါ။
Spring embedded LDAPမလိုအပ်သောအခါ ပိတ်ပါ။ စစ်မှန်သော နားထောင်မှု ပို့တ်၏ လက်လှမ်းမီမှုကို ကန့်သတ်ပါ။မူရင်း စီမံခန့်ခွဲရေးအထောက်အထားနှင့် လမ်းညွှန်သမာဓိ S27 ကို စစ်ဆေးရန် လိုအပ်ပါသေးသည်။
CPython SNI UAFတရားဝင်အစီအစဉ်- သက်ဆိုင်ရာ SSLContext ဝန်ဆောင်မှုပြီးဆုံးသည်အထိ ခိုင်မာသောရည်ညွှန်းချက်ကို ထားရှိပါ။ဖန်တီးမှု/ပြောင်းခြင်းလမ်းကြောင်းများအားလုံး S29 အကျုံးဝင်ရပါမည်။
Python လက်ခံသူအမည် ကျော်သွားပါ။တရားဝင်ဖြေရှင်းချက်- မျှော်လင့်ထားသော server_hostname ကို မှန်ကန်စွာဖြတ်သန်းပါ။check_hostname အလံကို စစ်ဆေးရုံသာမက သတိပေးချက် S30S31 ကို လျစ်လျူရှု၍မရပါ။
ကတ္တရာစေးသီးသန့်ခွဲထုတ်ခြင်းအား ပိတ်ပါ၊ မရှိမဖြစ်လိုအပ်သော လင့်ခ်များနှင့် စက်ထည့်သွင်းမှုများကို ငြင်းပယ်ပါ။စစ်ထုတ်မှုများ သို့မဟုတ် အရင်းအမြစ်ခွဲတမ်းများသည် universal sandboxes S32S40S45 မဟုတ်ပါ
သက်သေခံလက်မှတ်ကိစ္စမှန်ကန်သော CA ပစ္စည်းကို အပ်ဒိတ်လုပ်ပါ။ Java ယုံကြည်မှုသည် တရားဝင် လျော့ပါးသက်သာမှုအရ ကန့်သတ်နိုင်သည်။TLS အတည်ပြုခြင်းကို ပိတ်ခြင်းသည် S19S37 ဖြစ်နိုင်ချေကို တိုးစေသည်

7.2 ပေးပို့မှုနည်းလမ်းအပေါ်အခြေခံ၍ patch ကိုရွေးချယ်ပါ။

ပေးပို့နည်းပြုပြင်နည်းများကို ဦးစားပေးပါ။အထောက်အထားတွေ သိမ်းဆည်းထားရမယ်။
ဖြန့်ဝေမှု-စီမံလုပ်ဆောင်ချိန်ထုတ်လုပ်သူ၏ သက်ဆိုင်ရာ လုံခြုံရေးအပ်ဒိတ်များပက်ကေ့ဂျ်ဗားရှင်းအပြည့်အစုံ၊ ကြေညာချက်၊ သိုလှောင်မှုအရင်းအမြစ်
တရားဝင် Binary/Runtime မန်နေဂျာတစ်ခုတည်းသော ဌာနခွဲမှ တရားဝင် လုံခြုံရေး ထုတ်ပြန်သည်။ဗားရှင်း၊ အရင်းအမြစ်နှင့် အချေအတင်၊ အမှန်တကယ် လုပ်ဆောင်မှုလမ်းကြောင်း
ကိုယ်တိုင်စုစည်းထားသော Node / CPythonကိုက်ညီသောဌာနခွဲ၏တရားဝင်ရင်းမြစ်ဖြန့်ချိမှု သို့မဟုတ် ရောင်းချသူ၏ ပြီးပြည့်စုံသော ဖာထေးမှုအစုံသတ်မှတ်သတ်မှတ်မှု၊ ကန့်သတ်ချက်များတည်ဆောက်မှု၊ မှီခိုစာကြည့်တိုက်များနှင့် ဆုတ်ယုတ်မှုရလဒ်များ
Spring / Next / Djangoဌာနခွဲအတွင်း အပ်ဒိတ်များ၊ မှီခိုမှုလော့ခ်များကို ပြန်လည်တည်ဆောက်ခြင်းနှင့် နောက်ဆုံးအပလီကေးရှင်းများနှင့် လိုက်ဖက်သည်။နောက်ဆုံးမှီခိုမှုသစ်ပင်၊ JAR/package/image ရှိ တကယ့်ဗားရှင်း
စိတ်ကြိုက်ယုံကြည်မှုစတိုးဆိုင်တရားဝင်ငွေထုတ်ခြင်းအစီအစဉ် သို့မဟုတ် ရုပ်သိမ်းမှုကို အတည်ပြုသည့် ရောင်းချသူ အပ်ဒိတ်အမှန်တကယ်အသုံးပြုမှုလမ်းကြောင်း၊ ပစ္စည်းပြောင်းလဲမှု၊ TLS အောင်မြင်မှုနှင့် ငြင်းပယ်ခြင်းစမ်းသပ်မှုများ
အန္တရာယ်ရှိသောပတ်ဝန်းကျင်သန့်ရှင်းပြီး ယုံကြည်စိတ်ချရသော ထုတ်ကုန်များမှ ပြန်လည်တည်ဆောက်ကာ သီးခြားဖြစ်ရပ် စုံစမ်းစစ်ဆေးမှု ပြုလုပ်ပါ။သမိုင်းဆိုင်ရာ ပက်ကေ့ဂျ်/ရုပ်ပုံ အတိုချုံး၊ တပ်ဆင်မှုမှတ်တမ်း၊ အထောက်အထား လည်ပတ်မှု မှတ်တမ်း

7.3 Key patch ယန္တရားနှင့် အာရုံစူးစိုက်မှု ပြန်လည်သုံးသပ်ခြင်း။

  • Brotli: သည် တည်ဆောက်မှုမဝင်မီ ဇာတိကုဒ်ပြောင်းခြင်းအခြေအနေ၏ နယ်နိမိတ်စစ်ဆေးခြင်းနှင့် အမှားအယွင်း ပြန်လာခြင်းရှိမရှိကို အာရုံစိုက်ပါသည်။ JavaScript ပက်ကေ့ဂျ်ကို အစားထိုးမှသာ Node တွင် ကိန်းဂဏာန်းစုစည်းထားသောကုဒ်ကို ပြောင်းလဲ၍မရပါ။ S4
  • Node DNS / TLS : input rejection၊ address normalization၊ အကြားခြားနားမှုကို အာရုံစိုက်သည်။ IP SAN နှင့် DNS အထောက်အထားများနှင့် DNS ပြန်ခေါ်/ကတိ ခွဲခြမ်းစိတ်ဖြာမှု လမ်းကြောင်း နှင့် TLS hostname match test S5 S6
  • Tomcat JNDIRealm: သည် အထောက်အထားစိစစ်ခြင်းလုပ်ငန်းစဉ်သည် လမ်းညွှန်အကြောင်းအရာကို ရယူရုံမဟုတ်ဘဲ၊ တရားဝင်ဗားရှင်းကို ဦးစားပေးပြီး တစ်ခုတည်းသော အရင်းအမြစ်ဖိုင်အစားထိုးခြင်းကို ပြီးပြည့်စုံသော binary patch တစ်ခုအဖြစ် မဆက်ဆံပါ။ S24
  • CPython ssl: သည် Python ရည်ညွှန်းပိုင်ဆိုင်မှုနှင့် အရင်းခံ SSLContext ၏ ဘဝသံသရာကို အလေးပေးပါသည်။ wrap_bio() backports များသည် ဌာနခွဲလိုက်ဖက်ညီမှု ကွဲပြားမှုများရှိနေစဉ်၊ အသုံးပြုထားသော ဌာနခွဲ၏ လက်တွေ့အကောင်အထည်ဖော်မှုကို သင်ဖတ်ရပါမည်။ S31S47
  • Certificate မယုံကြည်မှု- ဤအပ်ဒိတ်များသည် ယုံကြည်စိတ်ချရသော ပစ္စည်းအဖြစ် ပေါ်လာနိုင်သည် သို့မဟုတ် သိသာထင်ရှားသော API အပြောင်းအလဲများထက် စာရင်းပြောင်းလဲမှုများကို ငြင်းပယ်နိုင်သည်။ Node ၏တူညီသောအသုတ်တွင် သက်ရောက်မှုရှိသော အလယ်အလတ် CA ၏ ငြင်းပယ်ခြင်း ယန္တရားလည်း ပါဝင်သည်။ Java နှင့် Python ၏သက်ဆိုင်ရာယုံကြည်မှုရင်းမြစ်များကို သီးခြားစီစစ်ဆေးရန် လိုအပ်နေသေးသည်။ S19S37S46

လွတ်လပ်သော Brotli ချည်နှောင်မှုကိုလည်း စစ်ဆေးသင့်သည်။ Google upstream မှထွက်ရှိခဲ့သည်။ 1.0.10 / 1.1.1 / 1.2.1 နေ့ချင်းပြန်ပြင်ဖို့ CVE-2026-111497 . Python တူညီသော သက်ရောက်မှုရှိသော C အကောင်အထည်ဖော်မှုတွင် ထည့်သွင်းထားသည့် မူရင်း extension များ သို့မဟုတ် JNI ရှေးဟောင်းပစ္စည်းများကို လွတ်လပ်စွာ မွမ်းမံပြင်ဆင်/ပြန်လည်တည်ဆောက်ရန် လိုအပ်ပါသည်။ အလုံးစုံ သန့်ရှင်းသည်ဟု မဆိုနိုင်ပေ။ Java ကုဒ်ဒုဒ်ကိရိယာများကို ထိခိုက်စေသည်၊ အဆင့်မြှင့်တင်ခြင်းဟု ယူဆ၍မရနိုင်ပါ။ Node အခြားဘာသာစကားများဖြင့် ကော်ပီများကို အလိုအလျောက် အစားထိုးသည်။ S42

8. အတည်ပြုခြင်းနှင့် နောက်ဆက်တွဲစစ်ဆေးမှုများ

8.1 အနိမ့်ဆုံး အတည်ပြုစစ်ဆေးမှုစာရင်း

ပစ္စည်းများကို စစ်ဆေးပါ။အထောက်အထား လိုအပ်ပါသည်။
runtimeဗားရှင်းအပြည့်အစုံ သို့မဟုတ် ရောင်းချသူ ကျောထောက်နောက်ခံ အထောက်အထားများသည် စစ်မှန်သော လုပ်ငန်းစဉ်/ကွန်တိန်နာတွင် မှန်ကန်ပါသည်။
လျှောက်လွှာမှီခိုမှုNext/RSC/sharp၊ Tomcat/Spring၊ နှင့် Django/certifi နောက်ဆုံးဖြန့်ကျက်ထားသော ထုတ်ကုန်များတွင် သက်ဆိုင်ရာအဆင့်သို့ ရောက်ရှိသွားပါပြီ
အစားထိုးပါဝင်ပါသည်။အလုပ်သမား/JVM/ကွန်တိန်နာမိတ္တူများနှင့် နောက်ခံအလုပ်များအားလုံးကို အသစ်များဖြင့် အစားထိုးခဲ့ပြီး၊ ဖြစ်ရပ်ဟောင်းများ ထွက်သွားပါပြီ။
TLSတရားဝင် ဒိုမိန်း လက်မှတ်များ အောင်မြင်သည် ။ မူဝါဒအရ ကိုက်ညီမှုမရှိသော အမည်များနှင့် မမှန်ကန်သော ကွင်းဆက်များ ပျက်ကွက်ခြင်း၊ စိတ်ကြိုက်ယုံကြည်မှုစတိုးဆိုင်များပါဝင်သည်။
eMudhra မယုံကြည်မှုထိခိုက်သည့်အလယ်အလတ် CA မှတည်ဆောက်ထားသော လက်မှတ်ကွင်းဆက်သည် အမှန်တကယ်လည်ပတ်နေချိန်အတွင်း ပယ်ချခံရသည် သို့မဟုတ် သတ်မှတ်ထားသောရောင်းချသူ၏လုံခြုံရေးတည်ဆောက်မှု/သက်ဆိုင်သောငြင်းပယ်မှုစာရင်းကို ဖြန့်ကျက်ချထားကြောင်း အထောက်အထားများရှိပါသည်။ ယေဘူယျ TLS စမ်းသပ်မှု သို့မဟုတ် Java 8 ဗားရှင်းတိုနံပါတ်ကို အခြေခံ၍ အမှုပိတ်၍မရပါ။
Node စကားဝှက်နှင့် ပုံများပုံမှန်ချုံ့ထားသော တုံ့ပြန်မှု၊ အပ်လုဒ်လုပ်မှု၊ ရုပ်ပုံ ပိုမိုကောင်းမွန်အောင်ပြုလုပ်ခြင်းနှင့် RSC လုပ်ဆောင်ချက်များကို ရရှိနိုင်သည်။ မယုံကြည်ရသော အရင်းအမြစ်မူဝါဒသည် အသက်ဝင်ပါသည်။
Java စစ်မှန်ကြောင်းအထောက်အထားပြခြင်းနှင့် သီးခြားခွဲထားခြင်းစကားဝှက်မှား ပယ်ချခံရသည်၊ အထောက်အထား/တုံ့ပြန်မှု ရောနှောခြင်းမရှိဘဲ တစ်ပြိုင်နက်တည်း တစ်ပြိုင်နက်တည်း အလွတ်သဘော တောင်းဆိုမှုများ၊ မျှော်လင့်ထားသည့်အတိုင်း LDAP နားထောင်ခြင်း။
Python SNI / စုစည်းမှုပုံမှန် multi-domain name TLS လုပ်ငန်းသည် တည်ငြိမ်သည်။ မော်ကွန်းတင်ခြင်းသည် လမ်းကြောင်းဖြတ်ကျော်ခြင်းနှင့် ခွင့်မပြုသောလင့်ခ်များကို ပယ်ချပြီး လမ်းညွှန်အပြင်ဘက်ရှိ ဖိုင်များကို ပြုပြင်မွမ်းမံမည်မဟုတ်ပါ။
ဒေတာနှင့် လုပ်ငန်းဆိုင်ရာ ဆုတ်ယုတ်မှုစာမျက်နှာရှာဖွေခြင်း၊ အာကာသဆိုင်ရာမေးမြန်းချက်၊ ခွင့်ပြုချက်စစ်ဆေးခြင်းနှင့် နောက်ခံလုပ်ဆောင်မှုများသည် ပရောဂျက်၏ လက်ရှိစမ်းသပ်မှုများကို ကျော်ဖြတ်ခဲ့သည်။
အရင်းအမြစ်များနှင့် လေ့လာတွေ့ရှိချက်များCPU၊ မှတ်ဉာဏ်၊ အမှားအယွင်းနှုန်း၊ latency နှင့် TLS အမှားအယွင်းများတွင် ပုံမှန်မဟုတ်သောတိုးလာခြင်းမရှိပါ။
ခြေရာခံနိုင်မှုအဆင့်မြှင့်ချိန်၊ ပက်ကေ့ဂျ်/ရုပ်ပုံအညွှန်း၊ ဖွဲ့စည်းမှုပြောင်းလဲမှုများ၊ အတည်ပြုခြင်းရလဒ်များနှင့် မဖြေရှင်းရသေးသော အရာများကို သိမ်းဆည်းပါ။

၎င်းတို့သည် အကောင်အထည်ဖော်မှုလက်ခံမှု အကြံပြုချက်များဖြစ်ပြီး CVE တစ်ခုစီအတွက် တိုက်ခိုက်ရေး script ကို ထုတ်လုပ်ရန် မလိုအပ်ပါ။ ပျက်စီးမှုများ၊ အရင်းအမြစ်များ ကုန်ခန်းသွားခြင်းနှင့် ဝေးလံသောနေရာများတွင် သိမ်းဆည်းခြင်းများ ပါ၀င်သော အတည်ပြုခြင်းတွင် ရေစီးကြောင်းဆုတ်ယုတ်မှုစမ်းသပ်ခြင်း သို့မဟုတ် သီးခြားပတ်ဝန်းကျင်ရှိ ပရောဂျက်ထိန်းချုပ်ထားသော စမ်းသပ်ဒေတာကို အသုံးပြုသင့်သည်။

8.2 Patching နှင့် ကျူးကျော်ဝင်ရောက်မှု စုံစမ်းစစ်ဆေးခြင်းများသည် မတူညီသော အလုပ်များဖြစ်သည်။

ပုံမှန်မဟုတ်သော ကုဒ်ပြောင်းခြင်းအမှားများ၊ အလုပ်သမား/JVM ပျက်စီးမှုများ၊ သံသယဖြစ်ဖွယ်ဖိုင်များရေးသားမှုများ၊ လမ်းညွှန်ဒေတာပြောင်းလဲမှုများ၊ အထောက်အထားစိစစ်ခြင်း ခြွင်းချက်များ၊ ပြင်ပတောင်းဆိုမှုများနှင့် အထောက်အထားအသုံးပြုမှု မှတ်တမ်းများအတွက် ရှိပြီးသားမှတ်တမ်းများကို စစ်ဆေးပါ။ ဤလက္ခဏာများကို ဆက်စပ်သုံးသပ်ရန် လိုအပ်သည်- ပျက်ကျခြင်း သို့မဟုတ် OOM သည် အောင်မြင်သော အမြတ်ထုတ်ခြင်း၏ သက်သေမဟုတ်ပါ။ သတိပေးချက်များမရှိခြင်းသည် စနစ်တစ်ခုအား ထိခိုက်ခြင်းမရှိကြောင်း သက်သေမပြပါ။

ခွင့်ပြုချက်မရှိဘဲ ပြုပြင်မွမ်းမံမှုများ၊ အပေးအယူခံရသော အထောက်အထားများ၊ သို့မဟုတ် အတည်ပြုထားသော အန္တရာယ်ရှိသော မှီခိုမှုများကို ရှာဖွေတွေ့ရှိသည့်အခါ၊ အထောက်အထားများကို ထိန်းသိမ်းထားသင့်သည်၊ သက်ဆိုင်ရာ ဖြစ်ရပ်များကို သီးခြားခွဲထားသင့်သည်၊ ယုံကြည်ရသော ပတ်ဝန်းကျင်မှ ထိခိုက်သောအထောက်အထားများကို လှည့်ပတ်ကာ စနစ်အား ပြန်လည်တည်ဆောက်ပါသည်။ Patch သည် တိုက်ခိုက်သူမှရရှိထားသော တိုကင်များကို ပြန်လည်ရုပ်သိမ်းမည်မဟုတ်ပါ သို့မဟုတ် ပြုပြင်ထားသောဒေတာကို ပြန်လည်ရယူမည်မဟုတ်ပါ။

9. ထောက်ပံ့ရေးကွင်းဆက်လုံခြုံရေးဖြစ်ရပ်- LiteLLM 1.107.0 အပေးအယူလုပ်ခြင်း။

**တရားဝင်အတည်ပြုသည့်ရက်စွဲ- 2026-10-21.**LiteLLM အစီရင်ခံတင်ပြသည်မှာ ၎င်း၏ ပိုက်လိုင်းသည် ဖောက်ပြန်ပျက်စီးသွားကြောင်း သိရသည်။ PyPI ၏ litellm==1.107.0 နှင့် အချို့သော Docker/GHCR ထုတ်ကုန်များတွင် အလားတူအချိန်အတွင်း လျှို့ဝှက်ခိုးယူခြင်းနှင့် အဝေးထိန်းခလုတ် အန္တရာယ်ရှိသောကုဒ်များပါရှိပြီး ဆက်စပ်ထုတ်ကုန်များကို ရုပ်သိမ်းလိုက်ပါသည်။ S41

သက်ရောက်မှုကိုဆုံးဖြတ်ရန်၊ သမိုင်းဝင်တပ်ဆင်မှုမှတ်တမ်းများနှင့် ရုပ်ပုံအကျဉ်းချုပ်ကို စစ်ဆေးသင့်သည်။ latest၊ main-latest၊ နှင့် main-stable ကဲ့သို့သော အညွှန်းများသည် ယခုအခါ သန့်ရှင်းသောပုံများကို ညွှန်ပြသည်၊ ယင်းသည် အခင်းဖြစ်ပွားချိန်တွင် ဆွဲထုတ်ထားသော ထုတ်ကုန်များသည် သန့်ရှင်းကြောင်း သက်သေမပြနိုင်ပါ။ ထိုအချိန်တွင် တရားဝင် အကြံပြုချက်မှာ 1.106.2 ကို ယာယီ ပင်ထိုးရန် ဖြစ်ပါသည်။ ဤအကြံပြုချက်သည် ဤဖြစ်ရပ်အပေါ်အခြေခံပြီး ဖြန့်ကျက်စဉ်အတွင်း အခြားလုံခြုံရေးကြေညာချက်များကို စစ်ဆေးရန် လိုအပ်နေသေးသည်။ S41

ဆက်စပ်ထုတ်ကုန်များ ထည့်သွင်းခြင်း သို့မဟုတ် လုပ်ဆောင်သည့် ပတ်ဝန်းကျင်အတွက်-

  1. တပ်ဆင်မှုမှတ်တမ်းများ၊ ရုပ်ပုံများနှင့် မှတ်တမ်းများကို သီးခြားခွဲ၍ ထိန်းသိမ်းကာ ၎င်းတို့အား သန့်ရှင်းသော ပတ်ဝန်းကျင်မှ စစ်ဆေးပါ။
  2. Python/pip ကို သံသယဖြစ်ဖွယ်ပတ်ဝန်းကျင်တွင် ဦးစွာမစတင်ပါနှင့်။ အန္တရာယ်ရှိသော .pth / sitecustomize.py ကို စတင်ပြီးနောက်တွင် ထပ်မံလုပ်ဆောင်နိုင်ပါသည်။
  3. ယုံကြည်ရသောအရင်းအမြစ်များမှအိမ်ရှင်များ၊ venvs/containers ကိုပြန်လည်တည်ဆောက်ပါ။ ပက်ကေ့ဂျ်များကို ဖြုတ်ချရုံ သို့မဟုတ် အဆင့်နှိမ့်ချရုံဖြင့် မရပါ။
  4. cloud အထောက်အထားများ၊ LLM ဝန်ဆောင်မှုပေးသောကီးများ၊ LiteLLM သော့များနှင့် ဒေတာဘေ့စ်အထောက်အထားများကို အမှန်တကယ်သုံးစွဲနိုင်မှုနှင့် ပုံမှန်မဟုတ်သောအသုံးပြုမှုအပေါ် အခြေခံ၍ ပြန်လည်သုံးသပ်ခြင်းကို ရုပ်သိမ်း/လှည့်ပါ။ S41

၎င်းသည် အတည်ပြုထားသော ထောက်ပံ့ရေးကွင်းဆက်ဖြစ်ရပ်တစ်ခုဖြစ်ပြီး ၎င်းကိုကိုင်တွယ်ဖြေရှင်းရာတွင် အန္တရာယ်ရှိသောကုဒ်လုပ်ဆောင်မှု၊ အထောက်အထားများ ပေါက်ကြားမှုနှင့် ဆက်ရှိနေမည့်အန္တရာယ်များကို ထည့်သွင်းစဉ်းစားရန် လိုအပ်သည်။ 2026 ခုနှစ် အောက်တိုဘာလ 23 ရက်နေ့အထိ တာဝန်ရှိသူများက ကနဦးကျူးကျော်ဝင်ရောက်မှုကို စုံစမ်းစစ်ဆေးနေဆဲဖြစ်သည်။

နောက်ဆက်တွဲ- သတင်းရင်းမြစ်များနှင့် လင့်ခ်များကို ကိုးကားထားသည်။

ပရောဂျက်၏တရားဝင်လုံခြုံရေးကြေညာချက်၊ တရားဝင်ကုဒ်သိုလှောင်မှုနှင့် ရောင်းချသူ၏ညွှန်ကြားချက်များအပါအဝင် အောက်ပါအရင်းအမြစ်အတည်ပြုရက်စွဲသည် 2026-10-23 ဖြစ်သည်။ ပင်မစာသား [Sx] သည် ဤနောက်ဆက်တွဲနှင့် သက်ဆိုင်ပါသည်။ အပ်ဒိတ်များကို လုပ်ဆောင်သည့်အခါ၊ ပေးသွင်းသူသည် နောက်ဆက်တွဲ ပြင်ဆင်မှုများကို ထုတ်ပြန်ခြင်းရှိမရှိ စစ်ဆေးသင့်သည်။

S1 — Node.js- 2026-10-21 လုံခြုံရေး သတိပေးချက်

  • ရည်ရွယ်ချက်- High လေးခု၊ အကိုင်းအခက်များကို ထိခိုက်စေသော၊ အောက်တိုဘာလ လုံခြုံရေး ထုတ်ဝေမှု။
  • ကိုးကားချက်: Official Security Bulletin

S2 — Node.js- ပြုပြင်ထိန်းသိမ်းမှုလိုင်းသုံးလိုင်းအတွက် တရားဝင်ထုတ်ပြန်ထားသည့် ညွှန်ကြားချက်များ

  • ရည်ရွယ်ချက်- 22.23.4၊ 24.22.1၊ 26.12.1 နှင့် အမှန်တကယ် ပေါင်းစပ်ထားသော ပြင်ဆင်မှုများကို စစ်ဆေးပါ။
  • ကိုးကားချက်: Node.js 22.23.4
  • ကိုးကားချက်: Node.js 24.22.1
  • ကိုးကားချက်: Node.js 26.12.1

S3 — Vercel- Node.js Brotli RCE လုံခြုံရေး အကြံပေးချက်

  • ရည်ရွယ်ချက်- အဝင်/အထွက် ကုဒ်ပြောင်းခြင်းအခြေအနေများ၊ WAF လွှမ်းခြုံနယ်နိမိတ်၊ Node 20 အခြေအနေ။
  • ကိုးကားချက်: Node.js security advisory: Brotli decoder RCE

S4 — Node.js- Brotli တရားဝင် patch တင်ပြခြင်း

  • ရည်ရွယ်ချက်- မူရင်းစကားဝှက်ကို စစ်ဆေးခြင်းနှင့် အမှားအယွင်း ပျံ့နှံ့ခြင်းအတွက် အကောင်အထည်ဖော်မှု အခြေခံ။
  • ကိုးကားချက်: Brotli Patch commit 49dff6f57a

S5 — Node.js- TLS လိပ်စာကို ပုံမှန်ဖြစ်အောင် ပြင်ဆင်ခြင်း

S6 — Node.js- DNS NUL အတည်ပြုပြင်ဆင်ဖာထေးမှု

  • ရည်ရွယ်ချက်- ထည့်သွင်းရန် ငြင်းပယ်ခြင်းနှင့် ဆုတ်ယုတ်မှု လွှမ်းခြုံမှု။
  • ကိုးကားချက်: dns.resolve Input verification patch

S7 — Node.js- 2026-07-29 လုံခြုံရေး သတိပေးချက်

  • ရည်ရွယ်ချက်- HTTP/2 မမ်မိုရီကုန်ခန်းခြင်း၊ UAF နှင့် ခွင့်ပြုချက်မော်ဒယ် အားနည်းချက်များ။
  • ကိုးကားချက်: July 2026 Security Releases

S8 — Next.js- 2026-10-14 လုံခြုံရေးအပ်ဒိတ်

  • ရည်ရွယ်ချက်- အခြေခံအဆင့် အဆင့်မြှင့်တင်ခြင်းနှင့် အဓိက အန္တရာယ်သုံးခုကို ပေါင်းစည်းပါ။
  • ကိုးကားချက်: Next.js Security Update for Upstream Vulnerabilities

ကိုးကားချက်: S9 — Next.js：typed arrays / use cache RCE

  • ရည်ရွယ်ချက်- GHSA-673q-mjm6-r5xr; ကြားကာလ၊ အခြေအနေ၊ ရမှတ်နှင့် ပြေလည်မှုအခြေအနေတို့ကို သက်ရောက်သည်။
  • ကိုးကားချက်: Next.js Official Security Bulletin

ကိုးကားချက်: S10 — React：React Server Components RCE

  • ရည်ရွယ်ချက်- GHSA-xqc2-xf4c-x3h3; RSC ပက်ကေ့ဂျ် သုံးခု၏ ထိခိုက်ပြီး ပုံသေဗားရှင်းများ။
  • ကိုးကားချက်: React Official Security Bulletin

ကိုးကားချက်: S11 — Next.js：SVG Image Optimization RCE

  • ရည်ရွယ်ချက်- CVE-2026-96889 / GHSA-2464-fhr4-w9xw; glibc၊ ပြတ်သားပြီး မူရင်းဗားရှင်း နယ်နမိတ်များ။
  • ကိုးကားချက်: SVG Image Optimization Official Security Bulletin

ကိုးကားချက်: S12 — Next.js：Server Actions DoS

  • ရည်ရွယ်ချက်- GHSA-p3m5-59mp-jv5r; အခြေအနေများ၊ ဗားရှင်းများနှင့် အဆင့်သတ်မှတ်ချက်များအပေါ် သက်ရောက်မှုရှိသည်။
  • ကိုးကားချက်: Server Actions DoS Official Security Bulletin

S13 — Next.js- AVIF ရုပ်ပုံ ပိုမိုကောင်းမွန်အောင်ပြုလုပ်ခြင်း RCE

ကိုးကားချက်: S14 — Next.js：Windows RCE

ကိုးကားချက်: S15 — Next.js：next/og ImageResponse RCE

ကိုးကားချက်: S16 — Oracle: October 2026 CPU

S17 — Oracle- CVE-2026-91403 တီးဝိုင်းပြင်ပနှိုးဆော်သံ

  • ရည်ရွယ်ချက်- 2026-10-21၊ JSSE အသိအမှတ်ပြုလက်မှတ် အန္တရာယ်၊ ထိခိုက်နိုင်သော ထုတ်ကုန်များနှင့် CVSS 3.1 9.1။
  • ကိုးကားချက်: Oracle Security Alert

S18 — Oracle- JDK တရားဝင်ဗားရှင်းနှင့် ဒေါင်းလုဒ်လုပ်ပါ။

  • ရည်ရွယ်ချက်- အောက်တိုဘာ 20 ရက်မှာ CPU နဲ့ အောက်တိုဘာ 21 ရက်မှာ တီးဝိုင်းဗားရှင်းကို ခွဲခြားပါ။ Java 8 ၏ တိုတောင်းသောဗားရှင်း၏ ကန့်သတ်ချက်များကို ပိုင်းခြားပါ။
  • ကိုးကားချက်: JDK release list
  • ကိုးကားချက်: Oracle Java Download page

S19 — Oracle- eMudhra ယာယီငွေထုတ်အစီအစဉ်

  • ရည်ရွယ်ချက်- အပ်ဒိတ်လုပ်ထားသော 2026-10-22; root လက်မှတ်နှစ်ခု၊ keytool၊ custom truststore နှင့် revocation checking။
  • ကိုးကားချက်: Distrusting eMudhra Intermediate Certificates in Oracle JDK

S20 — Eclipse Adoptium- တည်ဆောက်မှုမှတ်တမ်းကို ထုတ်ဝေပါ

  • ရည်ရွယ်ချက်- Temurin ကို လက်မှတ်ဖြစ်ရပ်ကြောင့် ပြန်လည်ထုပ်ပိုးထားသည်။ Oracle ဗားရှင်း နောက်ဆက်တွဲကို စက်ပိုင်းဆိုင်ရာ အသုံးချ၍မရပါ။
  • ကိုးကားချက်: Adoptium Release Scorecards

S21 — Apache Tomcat 9 လုံခြုံရေး သတိပေးချက်

  • ရည်ရွယ်ချက်- 9.0.123 ပြင်ဆင်မှုနှင့်အတူ 9-ဌာနခွဲ အတိအကျ ထိခိုက်သည့်ကြားကာလ။
  • ကိုးကားချက်: Tomcat 9 vulnerabilities

S22 — Apache Tomcat 10 လုံခြုံရေး သတိပေးချက်

  • ရည်ရွယ်ချက်- 10.1 အကိုင်းအခက် တိကျသောကြားကာလနှင့် 10.1.61 ပြုပြင်ခြင်း၊ 10.0 EOL။
  • ကိုးကားချက်: Tomcat 10 vulnerabilities

S23 — Apache Tomcat 11 လုံခြုံရေး သတိပေးချက်

  • ရည်ရွယ်ချက်- Important၊ 11.0.27၊ AJP သက်ဆိုင်သည့် နယ်ပယ်နှင့် ထုတ်ဖော်/ထုတ်ဝေသည့် ရက်စွဲသုံးမျိုး။
  • ကိုးကားချက်: Tomcat 11 vulnerabilities

S24 — Apache Tomcat- JNDIRealm patch ကျူးလွန်သည်

  • ရည်ရွယ်ချက်- အသိအမှတ်ပြုလက်မှတ် စိစစ်ရေးကွာဟချက်များကို ပြုပြင်ခြင်းအတွက် တရားဝင်အခြေခံ။
  • ကိုးကားချက်: JNDIRealm Patch commit

ကိုးကားချက်: S25 — Spring：GraphQL CVE-2026-59285

  • ရည်ရွယ်ချက်- 2026-08-20၊ လိုအပ်သော၊ 2.0.5 OSS / 2.0.4.1 လုပ်ငန်းသုံး ပြုပြင်ရေး။
  • ကိုးကားချက်: Spring for GraphQL Unsafe Deserialization

ကိုးကားချက်: S26 — Spring：GraphQL CVE-2026-41699

  • ရည်ရွယ်ချက်- အစောပိုင်း ပြင်ဆင်မှု အဆင့်သတ်မှတ်ချက်တစ်ခု၊ သင် ဘာကြောင့် အခြေခံလိုင်းဟောင်းမှာ မရပ်တည်နိုင်ဘူးဆိုတာ ရှင်းပြဖို့ပါ။
  • ကိုးကားချက်: 6 Month GraphQL Security Bulletin

ကိုးကားချက်: S27 — Spring Security：CVE-2026-59270

  • ရည်ရွယ်ချက်- UnboundID LDAP၊ လူသိများသောစီမံခန့်ခွဲမှုအထောက်အထားနှင့် OSS/စီးပွားဖြစ်ဗားရှင်းကို ခွဲခြားသတ်မှတ်ပါ။
  • ကိုးကားချက်: Spring embedded LDAP Security Bulletin

ကိုးကားချက်: S28 — Spring Security：CVE-2026-47841

  • ရည်ရွယ်ချက်- WebAuthn အသုံးပြုသူ စစ်မှန်ကြောင်းအထောက်အထားပြခြင်း၊ စက်ရှင်အမှတ်စဉ်ပြုလုပ်ခြင်းနှင့် တိုက်ခိုက်မှုဆိုင်ရာ အချက်အလက်များ။
  • ကိုးကားချက်: WebAuthn Security Bulletin

S29 — PSF- CVE-2026-19445 လွတ်လပ်သော လုံခြုံရေးအကြံပေး

  • ရည်ရွယ်ချက်- 2026-09-30၊ Critical၊ SNI အခြေအနေများနှင့် SSLContext မှ ကိုးကားထားသော ယာယီအစီအမံများ။
  • ကိုးကားချက်: SSLContext UAF Official announcement

S30 — PSF- CVE-2026-19553 လွတ်လပ်သော လုံခြုံရေးအကြံပေး

  • ရည်ရွယ်ချက်- 2026-09-30၊ High၊ အသုံးမပြုသူအမည် ပျောက်ဆုံးခြင်းနှင့် တိကျပြတ်သားသော ကန့်သတ်ဘောင်များ လျှော့ချရေး။
  • ကိုးကားချက်: wrap_bio Official announcement of hostname verification

S31 — CPython- wrap_bio တရားဝင် patch နှင့် 3.12 backport

  • ရည်ရွယ်ချက်- 3.10—3.12 သတိပေးချက်နှင့် လိုက်ဖက်ညီမှုမူဝါဒ၊ None နှင့် အလွတ်စာကြောင်းကြား ကွာခြားချက်။
  • ကိုးကားချက်: Main Patch PR #158503
  • ကိုးကားချက်: 3.12 Backfill PR #158513
  • ကိုးကားချက်: 3.15 Backfill PR #158511

S32 — PSF- CVE-2026-82049 လွတ်လပ်သော လုံခြုံရေးအကြံပေး

  • ရည်ရွယ်ချက်- 2026-09-14၊ High၊ လင့်ခ်ပေါင်းစပ်မှု၊ မက်တာဒေတာမွမ်းမံမှုနှင့် အကြောင်းအရာထိတွေ့မှု။
  • ကိုးကားချက်: tarfile link bypasses the official announcement

S33 — CPython- စက်တင်ဘာလကုန်/အောက်တိုဘာလအစောပိုင်းတွင် တရားဝင်လုံခြုံရေးဖြန့်ချိမှု

  • ရည်ရွယ်ချက်- အနိမ့်ဆုံး ပြင်ဆင်သည့်ဗားရှင်း၊ အရင်းအမြစ်ကုဒ် ဖြန့်ဖြူးရေးနည်းလမ်းနှင့် tarfile သီးခြားပြဿနာများအတွက် 3.14 ကင်းလွတ်ခွင့်။
  • ကိုးကားချက်: Python Cross-branch security release instructions
  • ကိုးကားချက်: Python 3.11.17
  • ကိုးကားချက်: Python 3.12.15
  • ကိုးကားချက်: Python 3.13.16
  • ကိုးကားချက်: Python 3.14.8

S34 — CPython- 3.10 နောက်ဆုံး ဘေးကင်းသော ဖြန့်ချိမှု

  • ရည်ရွယ်ချက်- 3.10.22 နှင့် အထက်စီးကြောင်းဘဝစက်ဝန်း၏အဆုံး။
  • ကိုးကားချက်: Python 3.10.22

S35 — CPython- 2026-10-21 အရေးပေါ် ပြုပြင်ထိန်းသိမ်းမှု ဗားရှင်း

  • ရည်ရွယ်ချက်- 3.13.17 / 3.14.9 / 3.15.1၊ built-in pip နှင့် certifi အပ်ဒိတ်များ၊ ရှိပြီးသား venv လိုအပ်ချက်များ။
  • ကိုးကားချက်: Python 3.13.17
  • ကိုးကားချက်: Python 3.14.9
  • ကိုးကားချက်: Python 3.15.1

S36 — certifi- emSign လက်မှတ် မယုံကြည်မှု ကြေညာချက်

  • ရည်ရွယ်ချက်- 2026-10-20၊ GHSA-6q48-6c7w-9gw2၊ Critical၊ မသိသော CVE။
  • ကိုးကားချက်: certifi Official Security Bulletin

S37 — PSF- eMudhra / emSign ၏ Python အသုံးပြုသူများအပေါ်သက်ရောက်မှု

  • ရည်ရွယ်ချက်- certifi .19 အကြံပြုချက်၊ pip/uv အခြေခံလိုင်း၊ SHA-256 ဖြင့် ယုံကြည်ရသော boot upgrade command
  • ကိုးကားချက်: PSF Official event and upgrade instructions

ဟိ pip တရားဝင်ညွှန်ကြားချက်များဖြင့် boot upgrade command ကို ကိုးကားထားသည်။ S37 အောက်ပါအတိုင်းဖြစ်ပါသည်။ တွင်သာအသုံးပြုသည်။ Python ယုံကြည်စိတ်ချရသည်ဟု အတည်ပြုထားသော ပတ်ဝန်းကျင်၊ ပုဒ်မ ၉ တွင် အဆိပ်သင့်သည်ဟု သံသယရှိပါက အခင်းဖြစ်ပွားမှုဖြစ်စဉ်အရ ဦးစွာခွဲထုတ်ပြီး ပြန်လည်တည်ဆောက်ပါ။ ၎င်းသည် wheel content hash ကို ပြင်ဆင်ပြီး ပရောဂျက်လုပ်ငန်းစဉ်အရ အခြားမှီခိုအားထားမှုများကို အပ်ဒိတ်လုပ်သည်။

python -m pip install "pip @ https://files.pythonhosted.org/packages/3f/06/3e4420302363fbb71be3c7f35ce042f54bfca330e3e66b3a2e3c4cca579f/pip-26.2.2-py3-none-any.whl#sha256=fd7f4dfa8190e014013b9f08f3e973f4e4c26ffd179a204895533a7254813a70"

S38 — Django- 2026-08-04 ဘေးကင်းသော ထုတ်ဝေမှု

  • အသုံးပြုမှု- CVE-2026-15307၊ GeoDjango အသုံးချမှုအခြေအနေများ၊ ကနဦးပြင်ဆင်မှုများနှင့် လိုက်ဖက်ညီသောပြောင်းလဲမှုများ။
  • ကိုးကားချက်: Django 6.0.8 / 5.2.17

S39 — Django- 2026-10-06 ဘေးကင်းသော ထုတ်ဝေမှု

  • ရည်ရွယ်ချက်- CVE-2026-87890၊ ဂျီသြမေတြီ DoS လက်ရှိရွေးချယ်ထားသော အခြေခံလိုင်းနှင့် နောက်ဆက်တွဲအားဖြည့်မှု။
  • ကိုးကားချက်: Django 6.1.2 / 6.0.9 / 5.2.18

S40 — PSF / CPython- နောက်ဆုံးပေါ် tar_filter ဘေးထွက်မှတ်စု

  • ရည်ရွယ်ချက်- 2026-10-22၊ CVE-2026-114583 (Medium); PR ပေါင်းစည်းခြင်းသည် တရားဝင်ပြုပြင်ထိန်းသိမ်းမှုဗားရှင်းကို ထုတ်ပြန်လိုက်ပြီဟု မဆိုလိုပါ။
  • ကိုးကားချက်: PSF Independent Announcement
  • ကိုးကားချက်: CPython Patch PR #160098

S41 — LiteLLM- တရားဝင် Supply Chain Incident အစီရင်ခံစာ၊ အောက်တိုဘာလ 21 ရက်

  • ရည်ရွယ်ချက်- 1.107.0 ညစ်ညမ်းသောထုတ်ကုန်၊ သမိုင်းဆိုင်ရာအချေအတင်၊ အထီးကျန်ပြန်လည်တည်ဆောက်ရေးနှင့် ယုံကြည်စိတ်ချရသောစွန့်ပစ်ခြင်း။
  • ကိုးကားချက်: Contained: LiteLLM v1.107.0 Compromised

S42 — Google Brotli- တရားဝင် လုံခြုံသောဗားရှင်း

  • ရည်ရွယ်ချက်- အမှီအခိုကင်းသော Brotli 1.0.10 / 1.1.1 / 1.2.1 နှင့် ဘာသာစကားဖြတ်၍ ထည့်သွင်းထားသော မိတ္တူအတည်ပြုခြင်းအခြေခံ။
  • ကိုးကားချက်: Brotli releases

S43 — mise- command တရားဝင်စာရွက်စာတမ်းကို အသုံးပြုပါ။

  • ရည်ရွယ်ချက်- ကမ္ဘာလုံးဆိုင်ရာ ဖွဲ့စည်းမှုပုံစံ၏ ကိရိယာဗားရှင်းနှင့် အမိန့်ပေးစာမန်များကို သတ်မှတ်ပါ။
  • ကိုးကားချက်: mise use

S44 — PyPA- pip- စာရင်းစစ်တရားဝင်ပရောဂျက်

  • ရည်ရွယ်ချက်- Python မှီခိုအားနည်းချက်ကို စစ်ဆေးခြင်း၏ ရည်ရွယ်ချက်နှင့် စွမ်းဆောင်ရည် နယ်နိမိတ်များ။
  • ကိုးကားချက်: pip-audit

S45 — Python- tarfile ထုတ်ယူခြင်း စစ်ထုတ်မှုစာရွက်စာတမ်း

  • ရည်ရွယ်ချက်- ဒေတာဗျူဟာ၊ မူရင်းအပြုအမူပြောင်းလဲမှုများနှင့် sandbox ကို အစားထိုး၍မရသော ကန့်သတ်ချက်များ။
  • ကိုးကားချက်: tarfile extraction filters

S46 — Node.js- အလယ်အလတ် CA ငြင်းပယ်ခြင်း ယန္တရား

  • ရည်ရွယ်ချက်- ဤ eMudhra ဆက်စပ်ယုံကြည်မှု ကွင်းဆက်လုပ်ဆောင်ခြင်းသည် အရင်းလက်မှတ်များအားလုံးကို ကုဒ်ဝှက်စနစ် ပျက်ပြယ်စေခြင်းနှင့် ညီမျှသည်မဟုတ်ပါ။
  • ကိုးကားချက်: Node.js PR #66871

S47 — CPython- SNI UAF နည်းပညာမှတ်စုများနှင့် ပြင်ဆင်မှုများ

  • ရည်ရွယ်ချက်- ရည်ညွှန်းဘဝစက်ဝန်း၊ အထူးတည်ဆောက်မှုအခြေအနေများနှင့် ဌာနခွဲနောက်ပြန်လှည့်ခြင်း။
  • ကိုးကားချက်: official issue #156293
  • ကိုးကားချက်: official patch PR #158504
  • ကိုးကားချက်: 3.15 Backfill PR #158514