Node.js, Java e Python: vulnerabilidades recentes e guia de correção

Fontes verificadas em 23 de outubro de 2026 (UTC) Período de cobertura: 25 de julho a 23 de outubro de 2026, com foco em novos anúncios e patches subsequentes de setembro a outubro. Apúblico: engenheiros e profissionais de segurança que mantêm serviços Node.js, Java, Python, contêineres, criam pipelines e ambientes de desenvolvimento.

Este artigo resume riscos de segurança importantes e recentes nos tempos de execução Node.js, Java e Python, bibliotecas padrão e estruturas e dependências de servidor comuns e fornece escopo de impacto, versões corrigidas, medidas de mitigação temporárias, seleção de patches e métodos de verificação.

Avalie o impacto em relação às versões dos componentes, recursos habilitados e pontos de entrada acessíveis. Os fatos sobre vulnerabilidade vêm de avisos oficiais; as datas referem-se à divulgação pública, a menos que um lançamento de patch anterior seja explicitamente mencionado. Não inferimos condições de exploração não confirmadas, pontuações CVSS ou exploração em estado selvagem. O aconselhamento de implantação é identificado como orientação de implementação.

TL;DR: prioridades de remediação

Atualize o tempo de execução que realmente hospeda o serviço primeiro. Atualize a ramificação Node.js correspondente para pelo menos 22.23.4 / 24.22.1 / 26.12.1. Os serviços que usam Node 24 podem ser atualizados para 24.22.1 na mesma versão principal ou em uma versão posterior que contém as mesmas correções. S1 S2
Atualize as dependências do aplicativo Node separadamente. Para Next.js, use 15.5.28 / 16.4.1 como linha de base de atualização; ao usar React Server Components de forma independente, verifique o pacote react-server-dom-* realmente instalado. Somente a atualização do binário Node não cobre essas vulnerabilidades da estrutura. S8 S9 S10 S11 S12
Java: cobre ambas as rodadas de atualizações. Instale uma compilação do fornecedor cobrindo tanto o CPU de 20 de outubro quanto o CVE-2026-91403 de 21 de outubro, correção de confiança de certificado de emergência. Consulte a seção 2.2 para versões fora de banda do Oracle JDK 11-27; verifique outras distribuições em relação aos seus próprios pacotes de segurança e números completos de compilação. Atualize a ramificação Tomcat correspondente para 9.0.123/10.1.61/11.0.27. S16 S17 S18 S20 S21 S22 S23
Python : atualize o intérprete, os pacotes de aplicativos e os pacotes de certificados separadamente. Veja a seção 2.3 para linhas de base do intérprete; certifi recomenda ≥ 2026.10.19 , pip ≥ 26.2.2 , ao usar uv ≥ 0.13.4 . Cada ambiente existente precisa ser verificado. Para wrap_bio() códigos relacionados, corretos e não vazios server_hostname também deve ser repassado. S29 S30 S31 S33 S35 S36 S37
Se uma atualização imediata for impossível, reduza a exposição nos pontos de entrada relevantes. Priorize a interrupção da decodificação Brotli não confiável, do processamento de imagem/paginação/arquivamento afetado e do isolamento de LDAP problemático ou entradas de autenticação; mantendo certificados e nomes de host TLS verificados. O WAF de entrada não pode cobrir caminhos de saída, como aplicativos que extraem respostas compactadas maliciosas. S3 S11 S25 S27 S30 S32
Reconstrua, substitua processos antigos e verifique por meio de caminhos de serviço reais. Salve o arquivo de bloqueio e o resumo da imagem, reconstrua o aplicativo e a imagem, implemente substituições para todos os trabalhadores/JVM/contêineres; verifique o processo real, a árvore de dependências, o armazenamento confiável e os testes de regressão de negócios. Uma versão mais recente da linha de comando por si só não estabelece que a correção foi concluída.
Se LiteLLM 1.107.0 foi instalado ou executado, siga os procedimentos de resposta a incidentes. O projeto confirmou o compromisso de lançamento em 21 de outubro. Isole os ambientes afetados, investigue a partir de um ambiente limpo, reconstrua e alterne as credenciais expostas. Não inicie Python/pip em um ambiente suspeito para verificação primeiro. Consulte a Seção 9 para obter detalhes. S41

1. Visão geral da vulnerabilidade e avaliação de riscos

1.1 Priorizar a correção pela exposição real

As prioridades de implantação abaixo são orientações de implementação. Os rótulos de gravidade seguem cada fornecedor, incluindo a classificação Important de Apache. CVSS 3.1 e 4.0 são sistemas de pontuação diferentes; não classifique os problemas apenas por pontuação.

Ecossistema/camada	Principais questões	Nota oficial ou pontuação verificada	Implantação prioritária
Dependência nativa Node.js	CVE-2026-111497: Brotli está escrito fora dos limites e há risco de RCE	Node：High	Decodifique os dados Brotli S1 S3 no corpo da solicitação externa ou na resposta externa
Node.js TLS / DNS	CVE-2026-105482, 105483, 106069: A análise e a verificação de identidade são inconsistentes	High	Rastreamento URL, proxy, Webhook, endereço de destino dinâmico S1 S5 S6
Node.js HTTP/2	CVE-2026-56846, 56848: Memória esgotada e UAF	High	Node lida diretamente com tráfego HTTP/2 não confiável S7
React / Next.js	RSC / `use cache` typed arrays RCE	Critical；CVSS 4.0 9.5	Servidor RSC, componentes de cache relacionados e caminho de dados S9 S10
Next.js Otimização de imagem	CVE-2026-96889: SVG Processamento de imagem RCE	Critical；CVSS 4.0 9.5	Instâncias em glibc Linux que podem lidar com imagens não confiáveis S11
Next.js Server Actions	Solicitação especialmente elaborada faz com que CPU se esgote	High；CVSS 4.0 8.2	App Router e pelo menos um Server Action S12
Confiança Java TLS	CVE-2026-91403: Continue confiando no intermediário afetado CA	CVSS 3.1 9.1	TLS/API Cenário S17 usando cadeia de confiança afetada
Tomcat	Desvio de autenticação JNDIRealm, confusão de solicitações cruzadas HTTP/2, vazamento de resposta AJP	Important	Correspondente ao caminho Realm / Connector / async Servlet S21 S22 S23
Spring for GraphQL	CVE-2026-59285: Desserialização de paginação RCE	High	Paginação Jackson 2 + Connection + Caminho de classe explorável S25
Spring Security	CVE-2026-59270: Identidade de gerenciamento conhecida LDAP integrada exposta	Critical	O LDAP incorporado está habilitado e a porta de escuta está acessível ao invasor S27
CPython `ssl`	CVE-2026-19445: contexto de comutação SNI resulta em UAF	Critical	Python termina TLS sozinho e atende à condição do ciclo de vida do contexto S29
CPython `ssl`	CVE-2026-19553: Ignorar verificação quando o nome do host estiver ausente	High	`wrap_bio()` / Chamada assíncrona relacionada sem nome de host esperado S30
CPython `tarfile`	CVE-2026-82049: Bypass de combinação de link físico e link simbólico	High	Extraia automaticamente o arquivo tar não confiável S32
Django / GeoDjango	CVE-2026-15307: Arquivo de gravação de consulta espacial, SSRF, sob a condição RCE	High	Consultas espaciais ou interfaces de administração relacionadas que aceitam entradas não confiáveis S38
Dependência do certificado Python	certifi: desconfiança de certificado relacionado a emSign	Critical; GHSA, nenhum CVE conhecido	TLS cliente e ferramenta de gerenciamento de pacotes S36 S37 ainda usando CA bundle afetado

Abreviações: RCE significa execução remota de código, UAF significa uso após liberação e SSRF significa falsificação de solicitação do lado do servidor. As permissões diretas de RCE geralmente são as permissões do processo que hospeda o aplicativo e não podem ser automaticamente equivalentes às permissões de root.

Sequência recomendada: primeiro lida com RCE, que é acessível externamente e atende às condições, desvio de autenticação, vazamento de dados entre usuários e problemas de autenticação de certificado; ao mesmo tempo, agende atualizações para o ponto de entrada DoS público. Não há necessidade de executar cargas de ataque em produção para provar a capacidade de exploração. Existem dependências, caminhos de código são acessíveis e condições de ataque são atendidas. Estas são três questões que precisam ser verificadas separadamente.

1.2 Três limites facilmente confundidos

Atualize tempos de execução e dependências separadamente. As atualizações de segurança para Node, JDK, CPython não reparam automaticamente instalações autônomas de Next.js, Spring, Django, certifi ou extensões nativas.
O limite de correção é separado da linha de base de implantação atual. Não é garantido que o primeiro patch para uma vulnerabilidade em agosto cubra novos problemas de setembro a outubro; A Seção 2 usa atualizações subsequentes verificadas como meta de implementação.
Distinguir uma vulnerabilidade de um comprometimento real da cadeia de suprimentos. Para vulnerabilidades comuns, os patches eliminam caminhos de ataque futuros; quando pacotes maliciosos são executados, o impacto das credenciais e da persistência precisa ser investigado. O LiteLLM da Seção 9 é o evento oficialmente confirmado. S41

A existência de exploração confirmada na natureza deve basear-se em divulgações oficiais. O fornecedor não mencionou as atividades de exploração e não pode provar que não houve ataque; a correção deve ser realizada com base na superfície de ataque real.

2. Verificação rápida da versão fixa e da linha de base de implantação

Referência: 2.1 Node.js、React、Next.js

componente/ramificação	Linha de base da versão recomendada	Instruções de uso
Node.js 22.x	22.23.4	Lançamento de segurança S1 S2 em 21 de outubro
Node.js 24.x	24.22.1	Aplica-se à ramificação 24.x; 24.22.0 não contém o patch de segurança de 21 de outubro S1 S2
Node.js 26.x	26.12.1	Liberação de segurança no mesmo lote S1 S2
Node.js 20 e ramificações upstream anteriores	Migrar para uma filial compatível	Node 20 não aceita esta correção upstream; o suporte estendido do fornecedor deve ser verificado separadamente S3
Next.js 15.x	15.5.28	Atualizado em 14 de outubro S8
Next.js 16.x	16.4.1	Igual ao acima S8
Filial RSC 19.0 / 19.1 / 19.2 / 19.3 autônoma	19.0.9 / 19.1.10 / 19.2.9 / 19.3.1	Verifique os três pacotes `react-server-dom-*` separadamente; não apenas olhe para a camada superior `react` S10
Next realmente carregou `sharp`	≥0.35.5	Condições oficiais de correção temporária para a vulnerabilidade SVG; não substitui outros patches Next.js S11

Node lista oficialmente as ramificações de manutenção afetadas para a vulnerabilidade de outubro, mas não fornece a versão do patch inicialmente introduzida item por item, portanto, a versão inicial precisa de cada vulnerabilidade não pode ser determinada apenas com base na faixa de ramificação de manutenção. Ao implantar, dê prioridade ao uso da versão acima da mesma ramificação ou de uma versão subsequente confirmada para conter as mesmas correções.

2.2 Java: CPU de outubro mais atualização de certificado fora de banda

Esta tabela se aplica a Oracle JDK. A segunda coluna cobre apenas CPU de 20 de outubro; o terceiro inclui o lançamento fora da banda em 21 de outubro. As versões CPU por si só não cobrem todos os riscos Java discutidos aqui. S16 S17 S18

filial	20 de outubro CPU	Oracle lançado fora da banda em 21 de outubro
11	11.0.33	11.0.33.0.2
17	17.0.21	17.0.21.0.2
21	21.0.13	21.0.13.0.2
25	25.0.5	25.0.5.0.2
27	27.0.1	27.0.1.0.2
8	8u511	A tabela de lançamento público ainda mostra 8u511; a construção de segurança específica e o reparo da cadeia de confiança devem ser verificados e não podem ser determinados apenas com base no número curto da versão

**Java 8 precisa ser verificado em relação às informações completas de compilação:**Oracle O alerta lista 8u511 como uma versão afetada e a lista de lançamento lista atualizações subsequentes com o mesmo nome abreviado. O status do patch não pode ser diferenciado apenas com base no número de versão abreviado “8u511”. Você deve confirmar a construção de segurança específica e as correções da cadeia de confiança. S17 S18

Temurin, Corretto, Zulu, Microsoft Build of OpenJDK, versão de lançamento OpenJDK, etc., verifique de acordo com seus respectivos anúncios e números completos de pacote/construção. Por exemplo, o registro de lançamento oficial de Adoptium afirma que a compilação relevante foi reempacotada para adicionar a correção eMudhra; o mesmo nome da versão upstream não significa que o conteúdo do pacote seja o mesmo. As regras de sufixo .0.2 para Oracle não podem ser aplicadas mecanicamente a outros editores. S20

Componentes do aplicativo Java	Linha de base da versão recomendada	Observações
Tomcat 9 / 10.1 / 11	9.0.123 / 10.1.61 / 11.0.27	Confira filial por filial; Tomcat 10.0 interrompeu a manutenção S21 S22 S23
Spring for GraphQL 2.0.x	2.0.5（OSS）	O suporte comercial também é 2.0.4.1 S25
Spring Security 7.1 / 7.0	7.1.1 / 7.0.7（OSS）	Corresponde à versão mínima de correção anunciada em agosto; você precisa verificar o boletim de segurança subsequente S27 S28 antes da implantação
Spring Security 6.5 / 6.4 / 5.8 / 5.7	6.5.12 / 6.4.19 / 5.8.28 / 5.7.26	O anúncio está listado como uma solução de suporte comercial; a migração é avaliada quando não há suporte correspondente e não se pode presumir que Maven Central esteja disponível gratuitamente S27

As atualizações do Spring devem respeitar a versão mínima Spring Boot BOM, Java do projeto e as linhas de compatibilidade. Não force diretamente todos os módulos Spring para o mesmo número apenas para obter um patch.

2.3 CPython, Django e dependências de certificado

A segunda coluna da tabela abaixo concentra-se na emissão TLS divulgada em setembro; as diferenças de ramificação para tarfile são mostradas na seção 5.3.. As versões de 21 de outubro também atualizaram as ferramentas de certificado agrupadas, portanto, a última coluna inclui essas linhas de base de implantação posteriores. S29 S30 S33 S35

Filial CPython	Versão mínima do lote de segurança de setembro	Linha de base de implantação recomendada
3.10	3.10.22	Última versão do upstream, EOL; organizar a migração ou verificar o suporte à extensão de lançamento S34
3.11	3.11.17	3.11.17 e atualizar pip/certifi em cada ambiente individualmente
3.12	3.12.15	3.12.15 e atualizar pip/certifi em cada ambiente individualmente
3.13	3.13.16	3.13.17
3.14	3.14.8	3.14.9
3.15	A versão final do 3.15.0 inclui as duas correções TLS S31 S47	3.15.1

As versões de segurança upstream de 3.11 e 3.12 só podem ser lançadas em código-fonte; ao usar o pacote do sistema operacional, verifique o aviso de backport do fornecedor e a versão completa do pacote, e não há necessidade de substituir à força o sistema Python por uma versão autocompilada. S33 S34

dependência independente	Linha de base da versão recomendada	Descrição
Django 5.2 / 6.0 / 6.1	5.2.18 / 6.0.9 / 6.1.2	Incorporar a correção subsequente S38 S39 em 6 de outubro
certifi	≥2026.10.19	O patch inicial GHSA é 0,18; PSF recomenda .19 para preservar a compatibilidade para certificados não afetados S36 S37
pip	≥26.2.2	A cópia integrada de certifi precisa ser atualizada separadamente S35 S37
uv (se usado)	≥0.13.4	Atualize S37 de acordo com o método de instalação real

Essas linhas de base cobrem as correções listadas. Outro problema de gravidade média em tar_filter foi divulgado em 22 de outubro. Em 23 de outubro de 2026, uma versão de manutenção oficial contendo essa correção ainda não foi confirmada; portanto, 3.13.17 / 3.14.9 / 3.15.1 não pode ser considerado como tendo coberto todos os problemas do arquivo tar. Consulte a seção 5.4. S40

2.4 Verificando backports de distribuição

Princípios de implementação aplicáveis a Ubuntu, Debian, RHEL e outros pacotes de software:

Registre a versão do sistema operacional, a fonte do repositório, a versão completa do pacote e o número do boletim de segurança do fornecedor.
Confirme se o comunicado cobre o CVE específico e identifica um pacote fixo para a versão de distribuição relevante.
Compare os binários/bibliotecas carregados pelo processo em execução real, não apenas pela versão curta do upstream.
Quando não houver evidência de um patch do fornecedor, deixe-o “para ser confirmado” e não tome como única conclusão que o número da versão parece antigo ou novo.

Existem diferenças nas versões do pacote apt/RPM e nas estratégias de backport de diferentes distribuições. O boletim de segurança e a versão completa do pacote de cada distribuição deverão prevalecer.

3. Ecossistema Node.js / JavaScript: Análise de causas e remediação

3.1 CVE-2026-111497: gravação fora dos limites do decodificador nativo Brotli

Divulgação: 2026-10-21; Grau oficial Node: High. As compilações afetadas de Node 22.x, 24.x, 26.x requerem a instalação da seção de patch 2.1. Node O anúncio não lista uma pontuação numérica CVSS. S1

O problema ocorre na lógica de decodificação nativa ao manipular o fluxo compactado Brotli malformado, o que pode levar a gravações fora dos limites. A descrição oficial do Vercel confirma que a demonstração da pesquisa envolve vazamentos de memória de processo e execução de comandos. Se um invasor pode alcançar o decodificador depende se o aplicativo ou a dependência realmente decodifica os dados que controla. S3

Ambas as direções precisam ser verificadas ao mesmo tempo:

inbound: A estrutura ou middleware descompacta automaticamente o corpo da solicitação Brotli enviado pelo usuário.
**outbound:**HTTP Clientes, captadores de imagens, etc. acessam fontes controláveis pelo invasor e descompactam automaticamente o conteúdo retornado.

Desativar a compactação Brotli de respostas enviadas aos navegadores não remove um ponto de entrada de decodificação. A proteção de entrada WAF também não cobre aplicativos que buscam e decodificam respostas externas. S3

**Direção do patch:**Node Mova a correção upstream Brotli para a dependência nativa e complemente a verificação de status de decodificação ilegal e a propagação de erros. Ao manter uma versão autocompilada, você deve usar o lançamento de segurança oficial ou o patch completo do branch correspondente. Você não pode simplesmente alterar a instrução de versão de um pacote JavaScript. S4

Sugestões de implementação provisórias: interrompe a decodificação Brotli desnecessária e não confiável; verifique o comportamento de descompactação automática do middleware e do cliente HTTP; se a empresa precisar aceitar esse formato, conclua o processamento no ambiente corrigido o mais rápido possível. Ajustar Accept-Encoding é apenas um ato de negociação e não deve ser considerado apenas uma prova de que uma resposta maliciosa foi bloqueada.

3.2 TLS / DNS três High: O objeto de verificação é inconsistente com o destino real

Todos os três foram divulgados em 21 de outubro, com o limite oficial de atualização definido na Seção 2.1. S1

Identificador	Problema confirmado	Ramos afetados
CVE-2026-105482	`dns.resolve` Truncamento de nomes contendo NUL	22.x / 24.x / 26.x
CVE-2026-105483	IP no formato numérico de largura total faz com que a verificação do nome do host do certificado seja ignorada	24.x / 26.x
CVE-2026-106069	Nome do host que pode ser interpretado livremente como IP resulta no desvio de verificação TLS	22.x / 24.x / 26.x

DNS A essência do problema é que a string verificada pela camada superior é diferente do nome realmente analisado pela camada inferior. O patch oficial rejeita NUL na entrada de análise e adiciona cobertura de regressão. S6

TLS Dois itens envolvem normalização de nomes, consistência de interpretação de IP e correspondência de certificados. Patch para que a entrada IP não padrão seja rejeitada ou tratada corretamente para evitar confundir o endpoint IP real com a identidade do domínio do certificado. S5

As sugestões reais de solução de problemas para : dão prioridade à verificação do código do usuário receptor URL, destino do proxy dinâmico ou endereço Webhook; padronização unificada e permissão de julgamento de lista, rejeita NUL/caracteres de controle, confirma que IPv4, IPv6 legais e nomes de domínio internacionalizados ainda funcionam. Se SSRF pode ser formado posteriormente, requer a aplicação de evidência de link, que não pode ser deduzida diretamente do nome CVE.

Não use NODE_TLS_REJECT_UNAUTHORIZED=0 ou rejectUnauthorized: false para eliminar erros de soma de verificação pós-atualização. O endereço, certificado e configuração comercial deverão ser corrigidos.

3.3 Julho HTTP/2 High - problemas de risco e modelo de permissão

As seguintes questões divulgadas em julho ainda precisam ser incluídas na investigação. Recomenda-se usar diretamente a linha de base da versão de segurança de outubro na Seção 2.1 ao implantar. S7

CVE	Causas e efeitos	Primeira versão fixa
CVE-2026-56846	O bloco HTTP/2 header retido não está incluído corretamente no orçamento `maxSessionMemory` e pode esgotar a memória; Impacto 22.x / 24.x	22.23.2 / 24.18.1
CVE-2026-56848	HTTP/2 entra novamente no caminho de envio durante a coleta de pacotes, causando um heap UAF; impacto 22.x / 24.x / 26.x	22.23.2 / 24.18.1 / 26.5.1
CVE-2026-58043	`--permission` A correspondência do limite do prefixo do caminho é muito ampla e arquivos fora da lista permitida podem ser acessados.	Igual às três linhas de manutenção acima

Todos os três são oficialmente High. Os dois primeiros itens dão prioridade à verificação se HTTP/2 é processado pelo próprio Node; o terceiro item só tem significado correspondente ao usar o modelo de permissão e confiar neste limite. Os itens do modelo de permissão não podem ser descritos como rede RCE que não requer autenticação. S7

Encerrar temporariamente o HTTP/2 em um proxy separado e atualizado e limitar as fontes de back-end é uma opção de implantação para reduzir a exposição; as cotas de recursos só podem controlar as consequências do esgotamento dos recursos e não podem corrigir UAF.

3.4 Outubro React / Next.js: dois itens RCE e um item DoS

A. RCE em funções RSC / `use cache` retornando matrizes digitadas

Data pública: 14/10/2026; Critical, CVSS 4.0 9.5. Identificadores oficiais de aconselhamento:

React：GHSA-xqc2-xf4c-x3h3。
Next.js：GHSA-673q-mjm6-r5xr。S9 S10

O problema upstream React envolve vários arrays digitados combinados com valores controláveis pelo invasor na resposta RSC. As três versões do pacote react-server-dom-* afetadas são 19.0.0 — 19.0.8, 19.1.0 — 19.1.9, 19.2.0 — 19.2.8, 19.3.0; consulte o capítulo Seção 2.1. React puro do lado do navegador ou aplicativos que não usam estruturas/plug-ins que suportam RSC, não se enquadram no escopo deste item. S10

O anúncio downstream Next.js lista 16.0.0 — 16.4.0, revisado em 16.4.1; o cenário são as funções App Router, Cache Components e use cache que retornam diversas matrizes digitadas. Não existe uma solução geral oficial confiável e os usuários das versões afetadas são obrigados a atualizar a tempo. Não é apropriado confiar apenas em pesquisas manuais por “esta função parece não existir” para encerrar o processamento. S9

Referência: B. SVG Image Optimization RCE

CVE-2026-96889/GHSA-2464-fhr4-w9xw, 2026-10-14, Critical, CVSS 4.0 9.5. O problema ocorre na biblioteca nativa upstream usada para otimização de imagem. As autoridades apontaram que o risco RCE existe no cenário glibc Linux. S11

Os campos da versão oficial são:

>=10.0.0 <=15.5.27；
>16.0.0 <=16.4.0。

O oficial usa um limite inferior estrito de >16.0.0 para a ramificação 16.x, mas esta declaração de intervalo não é suficiente para provar que 16.0.0 é seguro. O alvo de atualização real é uniformemente 15.5.28/16.4.1. S11

A solução temporária oficial é garantir que Next realmente carregue ≥0.35.5 nítido. Arquivos de bloqueio, dependências aninhadas e imagens de implantação ainda podem conter instâncias antigas, portanto, apenas adicionar uma nova versão da dependência sharp no nível superior não é suficiente, a árvore de dependência final deve ser verificada e reconstruída. S11

C. Server Actions CPU esgotado

**GHSA-p3m5-59mp-jv5r, 2026-10-14, High, CVSS 4.0 8.2.**Next afeta 13.0.0—15.5.27, 16.0.0—16.4.0, corrige 15.5.28 /16.4.1. As condições são App Router e pelo menos um Server Action; solicitações maliciosas podem manter CPU ocupado por muito tempo, bloqueando solicitações subsequentes no mesmo processo. Aplicações com Pages Router ou sem Server Actions não são afetadas por isso. S12

Não há solução oficial que possa substituir a atualização. Limites de taxa, limites de simultaneidade e cotas de recursos podem reduzir danos, mas não podem ser usados como conclusão para verificação de patches.

3.5 Anteriormente Next.js na mesma janela Problema sério

Os itens a seguir destinam-se a evitar implantações perdidas que ainda estão travadas nas versões anteriores a agosto-setembro; não é recomendado apenas passar para os antigos limites de correção na tabela agora.

Data	Identificador/cenário	Primeira correção; ação atual
2026-08-25	GHSA-2xp9-vwfh-vxw4: Biblioteca nativa de otimização de imagem AVIF RCE, Critical	15.5.24/16.3.3; agora 15.5.28 / 16.4.1 S13
2026-08-25	CVE-2026-75604: RCE, Critical quando Pages Router e App Router são usados simultaneamente em Windows e Cache Components não está habilitado; versões `>=13.4.0 <15.5.24`, `>=16.0.0 <16.3.3`	15.5.24/16.3.3; Linux/macOS não são afetados por este problema específico Windows S14
2026-09-22	GHSA-vcvr-r3jv-pc5j: o caminho de geração de imagem Node em `next/og` processa SVG, Critical não confiáveis; 16.2.0—16.3.5	16.3.6; a implementação Edge está fora do escopo deste problema e 15.x não é uma ramificação afetada para este RCE S15

4. Ecossistema Java: confiança em tempo de execução, contêineres e estruturas são tratados separadamente

4.1 JDK: CPU e CVE-2026-91403 regulares são atualizações de duas camadas

A matriz de risco Java SE para Oracle CPU em 20 de outubro lista 55 novos patches de segurança, 49 dos quais são marcados como exploráveis na rede sem autenticação. Isso não significa que existam 55 Critical, nem que existam 49 caminhos RCE diretamente exploráveis para cada serviço da web Java; deve ser entendido em conjunto com os componentes, APIs, interações do usuário e condições de implantação na matriz. S16

O CVE-2026-91403 (CVSS 3.1 9.1) do dia seguinte lida com outro tipo de risco: um conjunto de CA intermediários relacionados ao evento eMudhra que não é mais confiável. Afeta a autenticação de pares TLS e a confidencialidade/integridade da comunicação e não pode ser descrita como uma vulnerabilidade de corrupção de memória JVM. S17

O comunicado Oracle lista a versão lançada em 20 de outubro como afetada, portanto, a atualização fora de banda de 21 de outubro também precisa ser instalada. Consulte a seção 2.2 para a versão específica. GraalVM também possui produtos afetados correspondentes, e a versão corrigida deve estar sujeita ao seu boletim de segurança exclusivo. S17 S18

Medidas oficiais temporárias: Faça backup primeiro e, em seguida, remova o certificado raiz especificado de cada armazenamento confiável realmente usado:

emSign ECC Root CA - G3, Oracle também conhecido como emsigneccrootcag3 [jdk].
AAA Certificate Services, Oracle também conhecido como comodoaaaca [jdk]. S19

JDK 11 e posterior, o exemplo oficial é:

keytool -delete -cacerts -alias "emsigneccrootcag3 [jdk]"
keytool -delete -cacerts -alias "comodoaaaca [jdk]"

Use keytool do destino JDK para esses comandos e confirme se eles estão operando no armazenamento confiável real do aplicativo. Java 8 usa o caminho correspondente a jre/lib/security/cacerts; a personalização do armazenamento confiável deve ser tratada separadamente e outros editores podem ter aliases diferentes. A remoção do certificado raiz expandirá o escopo da rejeição e testará a regressão de cadeias de certificados de serviço legítimos. S19

O funcionário também oferece a opção de habilitar a verificação de revogação, mas o efeito depende da implementação real do TLS, da acessibilidade do serviço de revogação e da estratégia de falha. Para implantações gerais, priorize a instalação de atualizações completas do fornecedor para evitar tratar dois switches JVM como evidência de que todas as bibliotecas TLS foram corrigidas.

4.2 Tomcat: Ignorar autenticação e isolamento de solicitação entre usuários

Os três itens a seguir foram publicados em 2026-10-20; a entrada da versão reparada tem a data de 12 de outubro. A nota oficial de Apache é Important. S21 S22 S23

CVE	Versões afetadas confirmadas	Cenários/resultados necessários
CVE-2026-101296	9.0.0.M1—9.0.122；10.1.0-M1—10.1.60；11.0.0-M1—11.0.26	JNDIRealm Configura mecanismo de autenticação SASL não GSSAPI, falta verificação de credencial e senhas incorretas também podem passar
CVE-2026-101356	9.0.118—9.0.122；10.1.55—10.1.60；11.0.22—11.0.26	O erro de servlet assíncrono do HTTP/2 ao lidar incorretamente recicla/reutiliza objetos, fazendo com que solicitações ou respostas sejam misturadas entre usuários
CVE-2026-103119	Confirme apenas 11.0.0-M25—11.0.26	Grandes gravações sem bloqueio AJP podem causar subleitura do buffer, expondo dados de resposta anteriores em solicitações posteriores.

A correção correspondente é 9.0.123/10.1.61/11.0.27; AJP está listado apenas como Tomcat 11 de acordo com o anúncio e não pode ser expandido para três filiais com o mesmo problema. S21 S22 S23

O patch JNDIRealm corrige uma lacuna de verificação no processo de autenticação real, onde “a interface de login do aplicativo parece normal” não pode ser usada em vez da verificação. Realm, os mecanismos SASL devem ser verificados quanto à configuração real do serviço e os testes devem falhar em busca de senhas incorretas. S24

Sugestões de implementação provisória: isola o caminho de autenticação afetado; suspender o processamento HTTP/2 de Tomcat quando o negócio permitir; feche AJP inútil. Somente a restrição do acesso direto à porta AJP não pode provar que o tráfego que entra pelo proxy frontal legal não será afetado. Após a atualização oficial, as solicitações simultâneas assíncronas de dois usuários independentes deverão ser testadas para confirmar que não há conversa cruzada entre identidades e respostas.

Referência: 4.3 Spring for GraphQL：CVE-2026-59285

Data pública: 20/08/2026; High. 2.0.0 afetado — 2.0.4, 2.0.5 reparado (OSS) ou 2.0.4.1 (suporte comercial). S25

Este é um risco de desserialização inseguro em consultas de paginação. O requisito oficial é que as seguintes condições sejam atendidas ao mesmo tempo:

Utilize Spring for GraphQL.
Desserializar JSON usando Jackson 2.x.
Fornece campo de paginação Conexão para o mundo externo.
O classpath contém classes específicas que podem executar lógica inesperada durante a instanciação ou desserialização.

Uma solicitação GraphQL maliciosa pode causar RCE quando as condições forem atendidas. Não pode ser reduzido a “todos os programas Java que usam Jackson podem ser explorados”. S25

Por que 2.0.4 é insuficiente: Em junho, CVE-2026-41699 forneceu linhas de base de patch como 2.0.4, e em agosto o anúncio incluiu claramente 2.0.4 no novo escopo de influência. Portanto, o registro de reparo deve ser atualizado de acordo com anúncios subsequentes, e a versão mínima do antigo CVE não pode ser usada. S26

Quando a atualização estiver temporariamente indisponível, os campos de paginação afetados acessíveis a chamadores não confiáveis poderão ser suspensos; restringir os tipos desserializáveis e caminhos de classe é uma medida profunda. As regressões devem abranger cursores legais, resultados paginados e rejeições de entrada de exceção, além de verificar as versões reais dos componentes no JAR do aplicativo final.

4.4 Spring Security: CVE-2026-59270 e riscos de autenticação relacionados

CVE-2026-59270, 2026-08-20, Critical. UnboundIdContainer incorporado registra credenciais de administrador conhecidas por padrão e escuta em todas as interfaces de rede. Quando o componente está habilitado e a porta acessível, um invasor pode ler ou modificar os dados do diretório; projetos que geralmente apresentam Spring Security não exporão automaticamente LDAP. S27

Área afetada:

filial	afetado	Primeiro canal de correção/aquisição
7.1	7.1.0	7.1.1 OSS; também comercial 7.1.0.1
7.0	7.0.0—7.0.6	7.0.7 OSS; também comercial 7.0.6.1
6.5 / 6.4	6.5.0—6.5.11；6.4.0—6.4.18	6.5.12/6.4.19, comercial
5.8 / 5.7	5.8.0—5.8.27；5.7.0—5.7.25	5.8.28/5.7.26, comercial

Fonte: S27. Solucionar problemas de configuração automática spring.ldap.embedded.* e código de instanciação direta; feche o componente quando ele não for necessário para produção e verifique o endereço de escuta real. Quando a empresa realmente precisar, primeiro limite as fontes de chamada e depois conclua a atualização do componente.

**Problema de autenticação relacionado: CVE-2026-47841 (High).**WebAuthn A autenticação do usuário é definida como REQUIRED e depois que a sessão HTTP é serializada pelo armazenamento distribuído, a comparação incorreta da identidade do objeto pode invalidar o requisito de autenticação. O ataque também exige que o invasor tenha posse do dispositivo autenticador do usuário, e não do login remoto arbitrário sem um dispositivo. Para as versões afetadas correspondentes de 7.1, 7.0, 6.5 e 6.4, a linha de base do patch é consistente com essas ramificações na tabela acima; a verificação deve abranger sessões entre nós e ainda exigir verificação PIN/biométrica. S28

5. Ecossistema Python: intérprete, biblioteca padrão, estrutura e certificados

5.1 CVE-2026-19445: SSLContext UAF no retorno de chamada SNI

Data de publicação: 30/09/2026; PSF Nível: Critical. No servidor Python TLS, sni_callback alterna a conexão para outro SSLContext e quando o contexto original não tem outras referências sobreviventes, o TLS não autenticado o cliente pode travar o serviço ou chamar um ponteiro em um objeto liberado. S29

O principal é que o objeto Python é inconsistente com o ciclo de vida de retorno de chamada TLS subjacente. O contexto original foi liberado e a camada subjacente ainda pode manter o estado necessário para o retorno de chamada; o patch nativo do interpretador precisa ser usado para corrigir o ciclo de vida de referência. S47

Escopo: O código Python que atua apenas como um cliente TLS não é afetado por este item; o modo normal do soquete de escuta que mantém o contexto original por um longo período não cai no caminho de falha específico descrito no anúncio. Depois que o Nginx encerra o TLS, ele apenas entrega o HTTP local para o Python, e o Python lida diretamente com o SNI sozinho, que é uma superfície de ataque diferente. S29

Correspondente à versão fixa 3.10—3.14, consulte a seção 2.3. A versão oficial do 3.15 foi reparada e 3.15.1 pode realmente ser selecionado. Somente a atualização da dependência pip não pode substituir a implementação _ssl do interpretador. S33 S35 S47

Mitigação temporária oficial: mantém referências fortes a todos os SSLContext que definiram o retorno de chamada SNI até o final do ciclo de vida do servidor. Isto precisa cobrir a criação dinâmica real e os caminhos de comutação; a construção personalizada do OpenSSL 1.1.1 também deve verificar as condições de renegociação em conjunto com o registro oficial do problema e dar prioridade à conclusão das atualizações. S29 S47

5.2 CVE-2026-19553: O sinalizador do nome do host está ativado, mas o nome do host está ausente ao chamar

Data pública: 30/09/2026; High. QuandoSSLContext.check_hostname=True, se wrap_bio() não for passado em server_hostname, a implementação original pode ignorar silenciosamente a verificação do nome do host. A verificação bem-sucedida da cadeia de certificados não significa que o nome de domínio de destino também tenha sido correspondido. S30

A correção requer ambas as etapas:

Instale a versão de segurança do intérprete listada na seção 2.3.
Verifique os caminhos wrap_bio(), asyncio.create_connection()/loop.start_tls() relacionados, passe explicitamente o nome do host esperado e não vazio e mantenha a verificação do certificado ativada. S30

**Diferenças de compatibilidade que não podem ser omitidas:**3.10, 3.11, 3.12 são para compatibilidade, apenas DeprecationWarning é emitido para alguns casos em que o nome do host está ausente; 3.13 e posteriormente aumentam ValueError. O backport 3.12 também distingue claramente None de strings vazias: um novo aviso é adicionado para None e um erro ainda é relatado para strings vazias. Portanto, os usuários de baixa filial não podem presumir que a verificação de nome de domínio originalmente ausente foi restaurada automaticamente simplesmente pela atualização. S31 S33

Em um ambiente de teste, use um certificado de cadeia confiável com um nome de host incompatível e confirme se o cliente TLS do aplicativo real o rejeita. A mera leitura do valor booleano check_hostname não constitui aceitação completa.

5.3 CVE-2026-82049: Desvio de combinação de link no filtro tarfile

Data pública: 14/09/2026; High. Em CPython 3.13 e implementações relacionadas anteriores, a combinação de links físicos e links simbólicos em tar não confiável pode ignorar o filtro de extração data / tar, expondo o conteúdo dos arquivos fora do diretório de descompactação na árvore de descompactação ou modificando seus permissões e tempos de modificação. S32

Os impactos confirmados desta vulnerabilidade incluem exposição do conteúdo do arquivo e modificação de metadados; esses impactos por si só não são suficientes para demonstrar a substituição arbitrária do conteúdo de arquivos externos ou a implementação incondicional de RCE.

Para obter as linhas de base do patch correspondentes de 3.10 — 3.13, consulte a seção 2.3. Python 3.14 foi isento deste problema específico devido a mudanças de comportamento de os.link() desde 3.14.0b1, portanto, o escopo afetado da ramificação 3.10—3.13 acima não se aplica. S33

Medidas temporárias e profundas: suspender a extração automática de arquivos não confiáveis; usar processos de trabalho isolados de baixo privilégio e novos diretórios exclusivos quando os negócios precisarem ser processados, negar links simbólicos, links físicos e entradas de dispositivos por negócios e limitar o número de arquivos e recursos de descompactação. Estas são recomendações de implantação.

filter="data" é mais adequado para arquivos não confiáveis em geral do que a estratégia de confiança total, mas o próprio filtro na versão antiga também tem essa vulnerabilidade e adicionar esse parâmetro por si só não pode substituir a atualização. O filtro também não é uma sandbox completa do sistema de arquivos. S32 S45

5.4 Risco suplementar: CVE-2026-114583 (Medium) e status de lançamento do patch

PSF divulgado em 2026-10-22 que o processamento de nomes de links específicos de tarfile.tar_filter pode ser ignorado, permitindo que membros subsequentes escrevam fora do diretório de descompactação, com um nível de Medium. A correção oficial PR foi mesclada naquele dia; em 23 de outubro de 2026, nenhuma versão de manutenção oficial contendo este commit foi confirmada. S40

Portanto:

Este item está listado separadamente como Medium.
As versões do interpretador lançadas em 21 de outubro não podem ser consideradas como tendo incluído esta correção.
O processo que ainda usa filter="tar" para lidar com arquivos não confiáveis deve rastrear backport de lançamento; isolar ou suspender esse caminho de processamento por um curto período de tempo. Ao mudar para data e rejeitar links, você também deve confirmar se ele atende aos requisitos de negócios e a alteração do filtro não pode ser descrita como uma sandbox incondicional.

5.5 GeoDjango: CVE-2026-15307 e correções subsequentes em outubro

2026-08-04, Django consulta espacial oficial High. passa implicitamente certas strings/dicionários para GDALRaster, e o driver pode gravar arquivos ou iniciar solicitações de rede; RCE pode ser formado quando existem caminhos específicos e condições de execução subsequentes. A equipe com permissões de visualização do modelo de campo espacial também pode acessar esse caminho através da lista de alterações do administrador. S38

A correção inicial é 5.2.17/6.0.8, que restringe os tipos de entrada aceitos por pesquisas espaciais. Esta mudança pode afetar o negócio original de usar string/dicionário para expressar raster; simplesmente agrupar entradas não confiáveis no GDALRaster não significa verificá-las. S38

Em 6 de outubro, CVE-2026-87890 (Moderado) foi reparado: VRT expresso em bytes pode fazer referência a recursos externos e ainda acionar solicitações de rede; no mesmo dia, a proteção da geometria aninhada DoS de CVE-2026-15830 também foi reforçada. Os dois últimos não podem ser atualizados para descrever o novo RCE de alto risco, mas indicam que a linha de base de implantação deve ser 5.2.18 / 6.0.9 / 6.1.2. S39

A implementação verifica os dois pontos de entrada da API e da interface de administração, restringe a pesquisa espacial não confiável, as permissões de gravação de arquivos e o acesso de saída; após a atualização, teste de regressão consultas espaciais válidas e rejeição de entradas proibidas. Os aplicativos Django comuns que não usam GeoDjango não devem aplicar diretamente esta conclusão RCE.

5.6 certifi / pip: A confiança do certificado deve cobrir todas as cópias

GHSA-6q48-6c7w-9gw2, 2026-10-20, Critical, CVE conhecido não listado. Esta é a atualização de desconfiança de certificado causada pelo incidente intermediário eMudhra CA. Não pode ser resumido como o mecanismo de criptografia do HTTPS ou que todos os certificados raiz foram quebrados. S36

O comunicado certifi listou originalmente 2026.10.18 como um patch; PSF posteriormente recomendou explicitamente 2026.10.19 para preservar a compatibilidade com certificados raiz não afetados. A linha de base operacional é 0,19. S36 S37

Precisa distinguir:

Confie na localização do material	Por que você precisa verificar separadamente
Pacote do sistema operacional CA	Material confiável do sistema para a imagem ou host
certifi em venv	CA bundle realmente usado por aplicativos ou solicitações etc.
pip integrado certifi	É uma cópia diferente do certifi instalado externamente
uv / Outras ferramentas de embalagem	Siga as atualizações e fontes confiáveis da própria ferramenta
Arquivos CA personalizados, instantâneos empacotados	Pode continuar a substituir fontes confiáveis padrão para sistemas ou pacotes

A lista acima é uma lista de verificação baseada em diferentes locais de embalagem. PSF requer atualização de ferramentas relacionadas, ambientes virtuais existentes e reconstrução da imagem; apenas atualizar o host CA ou reinstalar o intérprete não pode provar que todas as cópias foram atualizadas. S35 S37

Ao atualizar do antigo bootstrap seguro pip, PSF fornece os comandos para fixed wheel e SHA-256, consulte o apêndice S37. Não desative a verificação TLS nem adicione --trusted-host para ignorar problemas de certificado.

6. Processo formal de remediação

Os comandos a seguir são para ambientes confiáveis confirmados. Ao executar, o gerenciador de pacotes existente, o arquivo de bloqueio e o processo de implantação do projeto devem ser combinados para evitar misturar npm/pnpm/yarn ou pip/uv/Poetry para gerar arquivos de bloqueio conflitantes.

Trate uma exceção primeiro: Se você suspeitar que o ambiente executou o pacote comprometido na Seção 9, isole-o primeiro e verifique o disco, bloqueie o arquivo e o registro de imagem de um ambiente limpo; não execute o seguinte comando Python/pip primeiro. S41

6.1 Estabeleça um livro-razão que possa corresponder ao tráfego real

Cada serviço registra pelo menos:

Ponto de entrada externo, proxy reverso, caminho de conexão direta ao site de origem e fila em segundo plano/tarefas agendadas.
O comando de inicialização real, conta em execução, caminho binário, processo ou identidade do contêiner.
Versão completa do tempo de execução, editor/repositório, versão completa do pacote ou resumo da imagem.
Dependências de estrutura e transitivas, arquivos de bloqueio, bibliotecas nativas e caminhos de armazenamento confiável.
Correspondente à existência da condição de vulnerabilidade, alvo do patch, escopo de reinicialização, pessoa responsável e resultado da verificação.

Máquinas de desenvolvimento, executores de CI, contêineres de construção e tarefas em segundo plano também devem ser verificados de acordo com seus caminhos para conteúdo não confiável; não atualize apenas o contêiner da web voltado ao público.

6.2 Node.js: Determine primeiro o tempo de execução e depois atualize as dependências do aplicativo

Verifique no ambiente de serviço real:

node -p 'JSON.stringify({execPath:process.execPath,node:process.version,openssl:process.versions.openssl,brotli:process.versions.brotli},null,2)'
npm ls next react react-dom react-server-dom-webpack react-server-dom-parcel react-server-dom-turbopack sharp --all
npm audit --omit=dev

node -p deve ser executado usando o executável real do serviço ou dentro de um contêiner real; ele verifica processos recém-lançados e não prova que o antigo trabalhador foi substituído. Node pode adicionar o patch ao Brotli integrado, mantendo a string da versão da biblioteca original. Portanto, não confie apenas no process.versions.brotli para determinar se ele foi reparado. Você deve combiná-lo com a versão de segurança Node ou com a evidência de backport do fornecedor. S2 S4

npm ls é usado para ver a árvore de dependências real; pacotes ausentes ou conflitos entre pares também podem produzir códigos de saída diferentes de zero, portanto você deve ler a saída específica. npm audit é usado como um auxílio para verificação de dependência e não pode substituir a verificação binária e de biblioteca nativa Node.

Use mise para gerenciar o ambiente de Node 24, que pode ser atualizado da seguinte forma:

mise use -g [email protected]
mise exec [email protected] -- node -p 'process.version + " " + process.execPath'

mise use -g configura a versão global; a configuração local do projeto ainda precisa ser verificada separadamente. Se o serviço tiver corrigido o caminho absoluto antigo, a imagem base do contêiner ou o ambiente de uma conta diferente, a configuração correspondente deverá ser atualizada e o serviço deverá ser reiniciado. O comando em si não substitui um processo antigo em execução. S43

No projeto Next execute o comando correspondente de acordo com a ramificação selecionada. Para Next 15:

# Next 15 分支
npm install --save-exact [email protected]

Para Next 16:

# Next 16 分支
npm install --save-exact [email protected]

Verifique as dependências compatíveis com React/RSC, bloqueie os arquivos e a instância final afiada e, em seguida, construa de acordo com o processo do projeto. Use o arquivo de bloqueio atualizado no CI para instalação reproduzível e verifique a versão na imagem em execução após a construção. Não use o reparo automático não controlado nas versões principais como solução padrão para esta emergência.

6.3 Java: Verifique o editor, JVM real e componentes incorporados

Inventário preliminar:

java -XshowSettings:properties -version

O java.home, java.runtime.version e o editor na saída devem estar alinhados com o JVM realmente usado pelo serviço. Para JVM com permissão de anexação, jcmd de JDK pode ser usado para verificar o processo de destino, não apenas o shell de login.

Verifique as dependências em projetos confiáveis e selecione com base nas ferramentas de construção reais:

./mvnw dependency:tree '-Dincludes=org.apache.tomcat.embed:*,org.springframework.security:*,org.springframework.graphql:*'

./gradlew dependencyInsight --dependency tomcat-embed-core --configuration runtimeClasspath
./gradlew dependencyInsight --dependency spring-security-core --configuration runtimeClasspath
./gradlew dependencyInsight --dependency spring-graphql --configuration runtimeClasspath

Esses comandos de compilação podem executar plug-ins e resolver dependências on-line, além de serem executados apenas em projetos confiáveis. Verifique o JAR/WAR final ou o JAR real na imagem e não substitua as declarações do arquivo de construção pelo artefato final. Spring A inicialização Tomcat incorporada requer a reconstrução do aplicativo; atualizar uma instalação Tomcat separada no sistema não modificará a cópia no pacote do aplicativo.

Após a atualização do tempo de execução, verifique o javax.net.ssl.trustStore personalizado, o KeyStore autocarregado do aplicativo, o tempo de execução jlink, a imagem GraalVM/nativa e outros formulários de entrega item por item. Os aplicativos que já possuem materiais de confiança customizados não podem encerrar a verificação apenas porque o diretório JDK se tornou novo.

6.4 Python: Processamento de intérprete por intérprete e ambiente virtual

Dentro do venv/contêiner real confirmado como confiável:

python - <<'PY'
import sys
import ssl
import importlib.metadata as metadata

print("executable:", sys.executable)
print("version:", sys.version)
print("openssl:", ssl.OPENSSL_VERSION)
print("verify_paths:", ssl.get_default_verify_paths())
for name in ("pip", "certifi", "Django", "urllib3", "Brotli", "litellm"):
    try:
        print(name + ":", metadata.version(name))
    except metadata.PackageNotFoundError:
        print(name + ": not installed")
PY

python -m pip --version
python -m pip check

Este script coleta apenas informações e não executa determinação de qualificação de versão. ssl.get_default_verify_paths() é a informação de caminho padrão e não pode provar que todos os clientes de terceiros usam o mesmo armazenamento confiável; deve ser confirmado com base na configuração do aplicativo.

Depois de concluir a atualização de inicialização pip confiável do apêndice S37, atualize as dependências do certificado de acordo com as restrições do projeto, por exemplo:

python -m pip install --upgrade 'certifi>=2026.10.19'

# 仅适用于当前就选择 Django 5.2 的项目
python -m pip install --upgrade 'Django>=5.2.18,<5.3'

python -m pip check

O arquivo de requisitos/bloqueio do projeto precisa ser atualizado ao mesmo tempo, caso contrário, a próxima implantação poderá reverter para a versão antiga. Ao usar uv, Poetry ou um repositório de pacotes corporativos, use seus processos de bloqueio e publicação existentes; não modifique manualmente os pacotes apenas dentro de um contêiner de produção.

O fluxo de trabalho pip-audit existente do projeto pode ser usado para verificar vulnerabilidades de dependência conhecidas em um ambiente confiável; não é um scanner de código malicioso e não cobre todos os riscos do intérprete, da biblioteca do sistema e do armazenamento confiável. S44

Não é recomendado forçar o sistema /usr/bin/python3 a apontar para uma nova versão compilada. Use atualizações de segurança de lançamento ou tempos de execução de isolamento de projeto para evitar quebras de ferramentas de gerenciamento que dependem do sistema Python. Esta é uma opção de implementação e não um requisito de correção adicional para esta vulnerabilidade.

6.5 Reconstruir e substituir a instância em execução

Recomenda-se que as seguintes etapas sejam tomadas como uma mudança completa:

Obtenha o patch da fonte confiável original e salve a versão/hash e o bloqueio de dependência.
Retorne as principais funções em um ambiente quase de produção e confirme se as extensões nativas são compatíveis com JVM/framework.
Atualize o tempo de execução, as dependências do aplicativo e o armazenamento confiável real; atualize a imagem base e o sistema CA para o contêiner, não apenas reutilize a camada antiga.
Recrie aplicativos e imagens e substitua instâncias de serviço, trabalhador, consumidor de fila e tarefas agendadas continuamente.
Verifique novamente a versão e a configuração na nova instância em execução e confirme se todas as cópias antigas foram encerradas.
Observe taxas de erro, latência, CPU/memória, falhas de handshake TLS e falhas de processo.

A reversão deve dar prioridade à manutenção segura do tempo de execução e às dependências de patches, e à reversão da configuração do aplicativo ou das alterações de negócios. Caso seja necessário retornar a um produto antigo com vulnerabilidades, as restrições de entrada correspondentes deverão ser restauradas simultaneamente, e o responsável e o período mínimo de recuperação deverão ser claramente definidos.

7. Mitigação temporária e seleção de patches

7.1 Limite de cobertura de medidas temporárias

A seguir estão sugestões de implementação com base nas condições de utilização anunciadas. A menos que o plano oficial seja anotado, o fornecedor não garante que todas as variantes possam ser completamente bloqueadas.

risco	Medidas temporárias que podem ser tomadas	A parte que não pode ser considerada concluída com base neste
Decodificação Brotli	Pare a decodificação de entrada não confiável; verifique a descompressão automática de entrada e saída	A entrada WAF ou a desativação da compactação de resposta não cobrem todas as entradas de decodificação S3
Next.js typed arrays RCE	Atualize imediatamente; isolar temporariamente os serviços afetados, se necessário	Não existe uma solução alternativa universal oficial e confiável S9
Next.js SVG RCE	Plano oficial: Garantir a nitidez real ≥0.35.5; suspender pontos de entrada de otimização relevantes quando o negócio permitir	Não cobre outros problemas Next/RSC S11
Reino Tomcat / HTTP/2 / AJP	Isole o caminho correspondente e feche os conectores desnecessários	Ainda precisa do pacote de reparo de filial correspondente S21 S22 S23
Desserialização GraphQL	Suspender campos de conexão afetados; restringir chamadas não confiáveis	Somente o limite de comprimento da solicitação não pode corrigir o problema de tipo/desserialização S25
Spring embedded LDAP	Desative quando não for necessário; limitar o alcance da porta de escuta real	A identidade administrativa padrão e a integridade do diretório ainda precisam ser verificadas S27
CPython SNI UAF	Plano oficial: Mantenha a referência forte SSLContext relevante até o final do serviço	Todos os caminhos de criação/troca devem ser cobertos S29
Nome do host Python ignorado	Solução oficial: passe o server_hostname esperado corretamente	Não é possível simplesmente verificar o sinalizador check_hostname ou ignorar o aviso S30 S31
Alcatrão não confiável	Desativar/colocar em quarentena a extração, rejeitar links não essenciais e entradas de dispositivos	Nem filtros nem cotas de recursos são sandboxes universais S32 S40 S45
Evento de confiança de certificado	Atualize o material CA correto; A confiança Java pode ser restrita de acordo com a mitigação oficial	Desativar a verificação TLS aumenta o risco S19 S37

7.2 Selecione patch com base no método de entrega

Método de entrega	Priorize métodos de reparo	Evidências que devem ser retidas
Tempo de execução gerenciado por distribuição	Atualizações de segurança correspondentes do fabricante	Versão completa do pacote, anúncio, fonte do repositório
Gerenciador Oficial de Binário/Tempo de Execução	Lançamento oficial de segurança da mesma filial	Versão, origem e resumo, caminho de execução real
Node / CPython autocompilado	O lançamento fonte oficial da filial correspondente ou o conjunto completo de patches do fornecedor	Conjunto de commits, parâmetros de construção, bibliotecas dependentes e resultados de regressão
Spring / Next / Django	Compatível com atualizações na filial, reconstrução de bloqueios de dependência e aplicativos finais	Árvore de dependência final, versão atual em JAR/pacote/imagem
Armazenamento confiável personalizado	Plano oficial de retirada ou atualização do fornecedor confirmando a retirada	Caminho de uso real, mudança de material, testes de sucesso e rejeição de TLS
Um ambiente comprometido	Reconstrua a partir de produtos limpos e confiáveis e conduza investigações de incidentes separadas	Resumo histórico de pacote/imagem, registro de instalação, registro de rotação de credenciais

7.3 Mecanismo de patch principal e foco de revisão

Brotli: presta atenção se a verificação de limite e o retorno de erro do status de decodificação nativa foram concluídos antes de entrar na construção; apenas a substituição do pacote JavaScript não pode alterar o código compilado estaticamente em Node. S4
Node DNS/TLS: concentra-se na rejeição de entrada, normalização de endereço, distinção entre identidades SAN IP e DNS e retorno de chamada/promessa DNS A análise caminho e teste de correspondência de nome de host TLS. S5 S6
Tomcat JNDIRealm: se concentra em se o processo de autenticação realmente verifica as credenciais, em vez de apenas obter um contexto de diretório; priorizando a versão oficial e não tratando uma única substituição de arquivo de origem como um patch binário completo. S24
CPython ssl: concentra-se na propriedade de referência Python e no ciclo de vida do SSLContext subjacente; wrap_bio() suporta backports embora tenha diferenças de compatibilidade de ramificação e você deve ler a implementação real da ramificação usada. S31 S47
Desconfiança de certificado: Essas atualizações podem aparecer como material confiável ou alterações na lista de negações, em vez de alterações óbvias na API. O mesmo lote de Node também inclui o mecanismo de rejeição do intermediário afetado CA; as respectivas fontes de confiança de Java e Python ainda precisam ser verificadas separadamente. S19 S37 S46

**A ligação Brotli independente também deve ser verificada.**O upstream do Google lançou 1.0.10 / 1.1.1 / 1.2.1 no mesmo dia para corrigir CVE-2026-111497. Extensões nativas Python ou artefatos JNI que incorporam a mesma implementação C afetada precisam ser atualizadas/reconstruídas de forma independente; não se pode inferir que todos os decodificadores Java puros sejam afetados, nem se pode presumir que a atualização do Node substitua automaticamente as cópias em outros idiomas. S42

8. Verificação e verificações de acompanhamento

8.1 Lista de verificação mínima de verificação

Verifique os itens	Evidência necessária
tempo de execução	Versão completa ou evidência de backport do fornecedor correta em processo/contêiner real
dependências de aplicativos	Next/RSC/sharp, Tomcat/Spring e Django/certifi nos produtos de implantação finais atingiram o limite correspondente
Faixa de substituição	Todas as cópias de trabalhador/JVM/contêiner e tarefas em segundo plano foram substituídas por novas e as instâncias antigas foram encerradas.
TLS	Certificados de domínio válidos foram bem-sucedidos; nomes de host incompatíveis e cadeias inválidas falham de acordo com a política; lojas confiáveis personalizadas estão incluídas
Desconfiança eMudhra	A cadeia de certificados construída pelo intermediário afetado CA foi rejeitada durante o tempo de execução real ou há evidências de que a compilação de segurança/lista de rejeição correspondente do fornecedor específico foi implantada; o caso não pode ser encerrado com base no teste geral TLS ou no número de versão abreviado Java 8.
Decodificação e imagens Node	Resposta compactada normal, upload, otimização de imagem e funções RSC estão disponíveis; a política de fontes não confiáveis está em vigor
Autenticação e isolamento Java	Senha errada rejeitada; solicitações assíncronas simultâneas de usuários independentes sem mistura de identidade/resposta; LDAP ouvindo conforme esperado
Python SNI / Arquivo	O negócio normal de vários domínios TLS é estável; o arquivamento rejeita passagem de caminho e links não permitidos, e arquivos fora do diretório não são modificados
Dados e regressão funcional	Paginação, consulta espacial, verificação de permissão e tarefas em segundo plano passaram nos testes existentes do projeto
Recursos e Observações	Não há aumento anormal em CPU, memória, taxa de erro, latência e erros TLS.
Rastreabilidade	Economize tempo de atualização, resumo de pacote/imagem, alterações de configuração, resultados de verificação e itens não resolvidos

Estas são recomendações de aceitação de implementação e não exigem a produção de um script de ataque para cada CVE. A verificação envolvendo falhas, esgotamento de recursos e arquivamento fora dos limites deve usar testes de regressão upstream ou dados de teste controlados pelo projeto em um ambiente isolado.

8.2 Patching e investigação de intrusão são tarefas diferentes

Verifique os logs existentes em busca de erros de decodificação incomuns, travamentos do trabalhador/JVM, gravações de arquivos suspeitos, alterações de dados de diretório, exceções de autenticação, solicitações de saída e registros de uso de credenciais. Estes sinais precisam de ser avaliados no contexto: uma falha ou OOM não é prova de uma exploração bem sucedida; a ausência de alertas não prova que um sistema não foi afetado.

Quando modificações não autorizadas, credenciais comprometidas ou dependências maliciosas confirmadas são descobertas, as evidências devem ser preservadas, as instâncias relevantes isoladas, as credenciais afetadas rotacionadas de um ambiente confiável e o sistema reconstruído. O patch não revogará tokens obtidos pelo invasor nem restaurará dados que foram modificados.

9. Incidente de segurança na cadeia de suprimentos: comprometimento LiteLLM 1.107.0

**Data de confirmação oficial: 2026-10-21.**LiteLLM relatou que seu pipeline de lançamento foi comprometido. litellm==1.107.0 do PyPI e alguns produtos Docker/GHCR do mesmo período continham roubo de segredos e código malicioso de controle remoto, e os produtos relacionados foram retirados. S41

Para determinar o impacto, você deve verificar os registros históricos da instalação e o resumo da imagem; rótulos como latest, main-latest e main-stable agora apontam para imagens limpas, o que não prova que os produtos retirados no momento do incidente estavam limpos. A recomendação oficial na época era fixar temporariamente 1.106.2; esta recomendação foi baseada neste incidente, e outros anúncios de segurança ainda precisam ser verificados durante a implantação. S41

Para ambientes onde produtos relacionados foram instalados ou executados:

Isole e preserve registros, imagens e logs de instalação e inspecione-os em um ambiente limpo.
Não inicie Python/pip primeiro em um ambiente suspeito; .pth / sitecustomize.py malicioso pode ser executado novamente após a inicialização.
Reconstruir hosts, venvs/contêineres de fontes confiáveis; não pode simplesmente desinstalar ou fazer downgrade de pacotes.
Revogue/alterne credenciais de nuvem, chaves de provedor LLM, chaves LiteLLM e credenciais de banco de dados com base na acessibilidade real e analise o uso anormal. S41

Este é um incidente confirmado na cadeia de suprimentos e requer consideração de execução de código malicioso, vazamento de credenciais e riscos de persistência ao lidar com ele. Em 23 de outubro de 2026, as autoridades ainda investigavam a intrusão inicial.

Apêndice: Fontes citadas e links

A seguinte data de verificação da fonte é 2026-10-23, incluindo o anúncio oficial de segurança do projeto, repositório de código oficial e instruções do fornecedor. O texto principal [Sx] corresponde a este apêndice; ao realizar atualizações, você deve verificar se o fornecedor lançou revisões subsequentes.

S1 — Node.js: Aviso de segurança de 21/10/2026

Objetivo: Quatro tempos de execução High, afetando filiais, versão de segurança de outubro.
Referência: Boletim Oficial de Segurança

S2 — Node.js: Instruções oficiais de lançamento para três linhas de manutenção

Objetivo: Verifique 22.23.4, 24.22.1, 26.12.1 e os patches mesclados reais.
Referência: Node.js 22.23.4
Referência: Node.js 24.22.1
Referência: Node.js 26.12.1

S3 — Vercel: aviso de segurança Node.js Brotli RCE

Objetivo: Condições de decodificação de entrada/saída, limite de cobertura WAF, status Node 20.
Referência: Node.js security advisory: Brotli decoder RCE

S4 — Node.js: envio do patch oficial Brotli

Objetivo: Base de implementação para verificação de decodificação nativa e propagação de erros.
Referência: Brotli Confirmação do patch 49dff6f57a

S5 — Node.js: patch de normalização de endereço TLS

Finalidade: Verificação de identidade do certificado de números de largura total e IP não padrão.
Referência: IP normalization regression Patch
Referência: rejeita o patch do endereço IP não padrão

S6 — Node.js: patch de verificação DNS NUL

Objetivo: Rejeição de entrada e cobertura de regressão.
Referência: dns.resolve Patch de verificação de entrada

S7 — Node.js: Aviso de segurança de 29/07/2026

Objetivo: esgotamento de memória HTTP/2, UAF e vulnerabilidades de modelo de permissão.
Referência: July 2026 Security Releases

S8 — Next.js: atualização de segurança de 14/10/2026

Objetivo: Unificar a linha de base da atualização e três riscos principais.
Referência: Next.js Security Update for Upstream Vulnerabilities

Referência: S9 — Next.js：typed arrays / use cache RCE

Finalidade: GHSA-673q-mjm6-r5xr; afeta o intervalo, a condição, a pontuação e o status da solução alternativa.
Referência: Next.js Boletim Oficial de Segurança

Referência: S10 — React：React Server Components RCE

Finalidade: GHSA-xqc2-xf4c-x3h3; versões afetadas e corrigidas de três pacotes RSC.
Referência: React Boletim Oficial de Segurança

Referência: S11 — Next.js：SVG Image Optimization RCE

Finalidade: CVE-2026-96889/GHSA-2464-fhr4-w9xw; glibc, limites de versão nítidos e originais.
Referência: SVG Boletim Oficial de Segurança de Otimização de Imagem

Referência: S12 — Next.js：Server Actions DoS

Finalidade: GHSA-p3m5-59mp-jv5r; afeta condições, versões e classificações.
Referência: Server Actions DoS Boletim Oficial de Segurança

S13 — Next.js: AVIF Otimização de imagem RCE

Objetivo: 25/08/2026, GHSA-2xp9-vwfh-vxw4.
Referência: AVIF Boletim Oficial de Segurança

Referência: S14 — Next.js：Windows RCE

Objetivo: 25/08/2026, CVE-2026-75604/GHSA-p293-qw3h-jr36.
Referência: Windows RCE Boletim Oficial de Segurança

Referência: S15 — Next.js：next/og ImageResponse RCE

Objetivo: 22/09/2026, GHSA-vcvr-r3jv-pc5j; Diferença entre Node e Edge.
Referência: ImageResponse Boletim Oficial de Segurança
Referência: Notas de versão de 22 de setembro

Referência: S16 — Oracle: October 2026 CPU

Objetivo: Matriz de risco Java SE, quantidade de patch e condições aplicáveis.
Referência: Oracle Critical Patch Update – October 2026
Referência: Oracle Java SE CPU Lista de versões

S17 — Oracle: CVE-2026-91403 alarme fora de banda

Objetivo: 2026-10-21, risco de confiança do certificado JSSE, produtos afetados e CVSS 3.1 9.1.
Referência: Oracle Security Alert

S18 — Oracle: JDK versão oficial e download

Objetivo: Distinguir entre CPU em 20 de outubro e a versão fora de banda em 21 de outubro; distinguir as limitações da versão curta de Java 8.
Referência: JDK release list
Referência: Oracle Java Página de download

S19 — Oracle: plano de retirada temporária eMudhra

Objetivo: Atualizado em 22/10/2026; dois certificados raiz, keytool, armazenamento confiável personalizado e verificação de revogação.
Referência: Distrusting eMudhra Intermediate Certificates in Oracle JDK

S20 — Eclipse Adoptium: Liberar registro de compilação

Finalidade: Temurin é reembalado devido ao incidente do certificado; o sufixo da versão Oracle não pode ser aplicado mecanicamente.
Referência: Adoptium Release Scorecards

S21 — Aviso de segurança Apache Tomcat 9

Objetivo: intervalo afetado exato de 9 ramificações com correção 9.0.123.
Referência: Tomcat 9 vulnerabilities

S22 — Aviso de segurança Apache Tomcat 10

Finalidade: intervalo preciso da ramificação 10.1 e reparo 10.1.61; 10.0 EOL.
Referência: Tomcat 10 vulnerabilities

S23 — Aviso de segurança Apache Tomcat 11

Objetivo: Três itens Important, 11.0.27, AJP escopo aplicável e divulgação/data de lançamento.
Referência: Tomcat 11 vulnerabilities

S24 — Apache Tomcat: confirmação do patch JNDIRealm

Objetivo: Base formal para reparar lacunas na verificação da certificação.
Referência: JNDIRealm Confirmação do patch

Referência: S25 — Spring：GraphQL CVE-2026-59285

Finalidade: 20/08/2026, Obrigatório, 2.0.5 OSS / 2.0.4.1 Reparo comercial.
Referência: Spring for GraphQL Unsafe Deserialization

Referência: S26 — Spring：GraphQL CVE-2026-41699

Objetivo: Um limite de correção anterior, apenas para explicar por que você não pode permanecer na linha de base antiga.
Referência: 6 mês GraphQL Boletim de segurança

Referência: S27 — Spring Security：CVE-2026-59270

Objetivo: Incorporar UnboundID LDAP, identidade de gerenciamento conhecida e distinguir OSS/versão comercial.
Referência: Spring embedded LDAP Boletim de segurança

Referência: S28 — Spring Security：CVE-2026-47841

Finalidade: Autenticação de usuário WebAuthn, serialização de sessão e premissa de ataque.
Referência: WebAuthn Boletim de segurança

S29 — PSF: CVE-2026-19445 Consultoria de segurança independente

Objetivo: 30/09/2026, Critical, SNI Condições e medidas temporárias citadas por SSLContext.
Referência: SSLContext UAF Anúncio oficial

S30 — PSF: CVE-2026-19553 Consultoria de segurança independente

Objetivo: 30/09/2026, High, nome de host ausente e mitigação de parâmetro explícito.
Referência: wrap_bio Anúncio oficial de verificação de nome de host

S31 — CPython: patch oficial wrap_bio e backport 3.12

Objetivo: 3.10 — política de compatibilidade de aviso 3.12, a diferença entre None e a string vazia.
Referência: PR #158503
Referência: 3.12 Aterro PR #158513
Referência: 3.15 Aterro PR #158511

S32 — PSF: CVE-2026-82049 Consultoria de segurança independente

Finalidade: 2026-09-14, High, combinação de links, modificação de metadados e exposição de conteúdo.
Referência: tarfile ignora o anúncio oficial

S33 — CPython: lançamento oficial de segurança no final de setembro/início de outubro

Objetivo: Versão mínima de correção, método de distribuição de código-fonte e isenção 3.14 para problemas específicos do arquivo tar.
Referência: Python Instruções de liberação de segurança entre filiais
Referência: Python 3.11.17
Referência: Python 3.12.15
Referência: Python 3.13.16
Referência: Python 3.14.8

S34 — CPython: 3.10 última liberação segura

Finalidade: 3.10.22 e fim do ciclo de vida upstream.
Referência: Python 3.10.22

S35 — CPython: versão de manutenção de emergência 2026-10-21

Finalidade: 3.13.17 / 3.14.9 / 3.15.1, atualizações pip e certifi integradas, requisitos de venv existentes.
Referência: Python 3.13.17
Referência: Python 3.14.9
Referência: Python 3.15.1

S36 — certifi: anúncio de desconfiança do certificado emSign

Finalidade: 2026-10-20, GHSA-6q48-6c7w-9gw2, Critical, nenhum CVE conhecido.
Referência: certifi Boletim Oficial de Segurança

S37 — PSF: Impacto de eMudhra / emSign em usuários Python

Objetivo: recomendação certifi .19, linha de base pip/uv, comando de atualização de inicialização confiável com SHA-256.
Referência: PSF Evento oficial e instruções de atualização

O comando de atualização de inicialização pip fornecido pelas instruções oficiais citadas por S37 é o seguinte. Deve ser usado apenas em ambientes Python que tenham sido confirmados como confiáveis; se houver suspeita de envenenamento na Seção 9, primeiro isole e reconstrua de acordo com o processo do incidente. Ele corrige o hash do conteúdo da roda e posteriormente atualiza outras dependências de acordo com o processo do projeto.

python -m pip install "pip @ https://files.pythonhosted.org/packages/3f/06/3e4420302363fbb71be3c7f35ce042f54bfca330e3e66b3a2e3c4cca579f/pip-26.2.2-py3-none-any.whl#sha256=fd7f4dfa8190e014013b9f08f3e973f4e4c26ffd179a204895533a7254813a70"

S38 — Django: liberação segura em 04/08/2026

Uso: CVE-2026-15307, GeoDjango Condições de exploração, correções iniciais e alterações de compatibilidade.
Referência: Django 6.0.8 / 5.2.17

S39 — Django: liberação segura de 06/10/2026

Finalidade: CVE-2026-87890, reforço subsequente da geometria DoS com a linha base atualmente selecionada.
Referência: Django 6.1.2 / 6.0.9 / 5.2.18

S40 — PSF / CPython: Nota lateral mais recente sobre tar_filter

Finalidade: 2026-10-22, CVE-2026-114583 (Medium); A fusão PR não significa que a versão oficial de manutenção foi lançada.
Referência: PSF Anúncio Independente
Referência: CPython Patch PR #160098

S41 – LiteLLM: Relatório oficial de incidente na cadeia de suprimentos, 21 de outubro

Objetivo: produto contaminado 1.107.0, resumo histórico, reconstrução de isolamento e descarte de credenciais.
Referência: Contained: LiteLLM v1.107.0 Compromised

S42 — Google Brotli: versão oficial segura

Objetivo: Brotli 1.0.10 / 1.1.1 / 1.2.1 independente e base de verificação de cópia integrada em vários idiomas.
Referência: Brotli releases

S43 — mise: use a documentação oficial do comando

Objetivo: Especificar a versão da ferramenta e a semântica de comando da configuração global.
Referência: mise use

S44 — PyPA: projeto oficial de auditoria pip

Finalidade: Python A finalidade e os limites de capacidade da auditoria de vulnerabilidade de dependência.
Referência: pip-audit

S45 — Python: documento de filtro de extração de arquivo tar

Objetivo: estratégia de dados, mudanças de comportamento padrão e restrições que não podem substituir o sandbox.
Referência: tarfile extraction filters

S46 — Node.js: Mecanismo de rejeição intermediário CA

Objetivo: Este processamento de cadeia confiável relacionado ao eMudhra não é equivalente à invalidação criptográfica de todos os certificados raiz.
Referência: Node.js PR #66871

S47 — CPython: notas técnicas e correções de SNI UAF

Finalidade: ciclo de vida de referência, condições especiais de construção e retrocesso de ramificação.
Referência: #156293
Referência: PR #158504
Referência: 3.15 Aterro PR #158514