Node.js, Java și Python: vulnerabilități recente și ghid de remediere

Surse verificate începând cu 23 octombrie 2026 (UTC) Perioada de acoperire: 25 iulie-23 octombrie 2026, concentrându-se pe noile anunțuri și pe patch-uri ulterioare din septembrie până în octombrie. Audience: ingineri și respondenți de securitate care întrețin serviciile, containerele Node.js, Java, Python, construiesc conducte și medii de dezvoltare.

Acest articol rezumă riscurile de securitate importante recente în runtime Node.js, Java și Python, biblioteci standard și cadre și dependențe comune ale serverului și oferă domeniul de aplicare al impactului, versiuni fixe, măsuri temporare de atenuare, selecție de corecții și metode de verificare.

Evaluați impactul față de versiunile componente, caracteristicile activate și punctele de intrare accesibile. Faptele de vulnerabilitate provin din avizele oficiale; datele se referă la dezvăluirea publică, cu excepția cazului în care o lansare anterioară a patch-urilor este menționată în mod explicit. Nu deducem condiții de exploatare neconfirmate, scoruri CVSS sau exploatare în sălbăticie. Sfaturile de implementare sunt identificate ca îndrumări de implementare.

TL;DR: priorități de remediere

Actualizați mai întâi timpul de execuție care găzduiește serviciul. Actualizați corespunzătoare Node.js ramură la cel puțin 22.23.4 / 24.22.1 / 26.12.1 . Utilizarea serviciilor Node 24 poate face upgrade la 24.22.1 în aceeași versiune majoră sau o versiune ulterioară care conține aceleași remedieri. S1 S2
Actualizare Node dependențele aplicației separat. Pentru Next.js , folosiți 15.5.28 / 16.4.1 ca bază de actualizare; la utilizare React Server Components independent, verificați instalația reală react-server-dom-* Node binary nu acoperă aceste vulnerabilități ale cadrului. S8 S9 S10 S11 S12
Java : acoperă ambele runde de actualizări. Instalați o versiune de furnizor care să acopere atât 20 octombrie CPU și 21 octombrie CVE-2026-91403 certificat de urgență-remediere de încredere. Vezi secțiunea 2.2 pentru Oracle JDK 11 -27 versiuni out-of-band; verificați alte distribuții în raport cu propriile pachete de securitate și cu numere complete de build. Actualizați corespunzătoare Tomcat ramură către 9.0.123 / 10.1.61 / 11.0.27 . S16 S17 S18 S20 S21 S22 S23
Python : actualizați separat interpretul, pachetele de aplicații și pachetele de certificate. Vezi secțiunea 2.3 pentru liniile de bază pentru interpret; certifi recomanda ≥ 2026.10.19 , pip ≥ 26.2.2 , când se utilizează uv ≥ 0.13.4 . Fiecare venv existent trebuie verificat. Pentru wrap_bio() coduri aferente, corecte și nevide server_hostname trebuie de asemenea transmis. S29 S30 S31 S33 S35 S36 S37
Dacă o actualizare imediată este imposibilă, reduceți expunerea la punctele de intrare relevante. Prioritizați oprirea decodării Brotli neîncrezătoare, procesarea imaginii/paging/arhivare afectată și izolarea LDAP sau autentificări problematice; păstrarea certificatelor TLS și a numelor de gazdă verificate. Intrarea WAF nu poate acoperi căile de ieșire, cum ar fi aplicațiile care atrag răspunsuri comprimate rău intenționate. S3 S11 S25 S27 S30 S32
Reconstruiți, înlocuiți procesele vechi și verificați prin căi de serviciu reale. Salvați fișierul de blocare și rezumatul imaginii, reconstruiți aplicația și imaginea, lansați înlocuitori pentru toți lucrătorii/JVM/containere; verificați procesul real, arborele de dependență, depozitul de încredere și testele de regresie a afacerii. Numai o versiune mai nouă de linie de comandă nu stabilește că remedierea este completă.
IDacă LiteLLM 1.107.0 a fost instalat sau rulat, urmați procedurile de răspuns la incident. Proiectul a confirmat compromisul de lansare pe 21 octombrie. Izolați mediile afectate, investigați dintr-un mediu curat, reconstruiți și rotiți acreditările expuse. Nu porniți Python/pip într-un mediu suspect pentru a verifica mai întâi. Consultați Secțiunea 9 pentru detalii. S41

1. Prezentare generală a vulnerabilității și evaluarea riscurilor

1.1 Prioritizează remedierea prin expunerea efectivă

Prioritățile de implementare de mai jos sunt ghiduri de implementare. Etichetele de severitate urmează fiecărui furnizor, inclusiv evaluarea Apache Important. CVSS 3.1 și 4.0 sunt sisteme de notare diferite; nu clasați problemele din ele numai după scor.

Ecosistem / strat	Probleme cheie	Nota oficială sau scor verificat	Desfășurare prioritară
Node.js dependență nativă	CVE-2026-111497: Brotli este scris în afara limitelor și există riscul de RCE	Node：High	Decodificați datele Brotli S1 S3 în corpul solicitării externe sau răspunsul extern
Node.js TLS / DNS	CVE-2026-105482, 105483, 106069: analizarea și verificarea identității sunt inconsecvente	High	URL acces cu crawlere, proxy, Webhook, adresă țintă dinamică S1 S5 S6
Node.js HTTP/2	CVE-2026-56846, 56848: Memoria epuizată și UAF	High	Node gestionează direct traficul neîncrezat HTTP/2 S7
React / Next.js	RSC / `use cache` typed arrays RCE	Critical；CVSS 4.0 9.5	Server RSC, componentele cache aferente și calea datelor S9 S10
Next.js Optimizarea imaginii	CVE-2026-96889: SVG Procesarea imaginii RCE	Critical；CVSS 4.0 9.5	Instanțe pe glibc Linux care pot gestiona imagini nede încredere S11
Next.js Server Actions	Solicitarea special concepută face ca CPU să fie epuizat	High；CVSS 4.0 8.2	App Router și cel puțin un Server Action S12
Java TLS Încredere	CVE-2026-91403: Continuați să aveți încredere în intermediarul afectat CA	CVSS 3.1 9.1	TLS/API Scenariu S17 folosind lanțul de încredere afectat
Tomcat	JNDIRealm bypass de autentificare, HTTP/2 confuzii între cereri încrucișate, scurgere de răspuns AJP	Important	Corespunzător căii Realm / Connector / async Servlet S21 S22 S23
Spring for GraphQL	CVE-2026-59285: deserializare paginare RCE	High	Jackson 2 + Connection Paging + Claspath exploatabil S25
Spring Security	CVE-2026-59270: identitate de management cunoscută LDAP încorporată expusă	Critical	LDAP încorporat este activat, iar portul de ascultare este accesibil atacatorului S27
CPython `ssl`	CVE-2026-19445: contextul de comutare SNI are ca rezultat UAF	Critical	Python termină TLS de la sine și îndeplinește condiția contextului ciclului de viață S29
CPython `ssl`	CVE-2026-19553: Omiteți verificarea când lipsește numele de gazdă	High	`wrap_bio()` / Apel asincron asociat lipsește numele de gazdă așteptat S30
CPython `tarfile`	CVE-2026-82049: Ocolire a unei combinații de legătură rigidă și legătură simbolică	High	Extrageți automat arhiva tar neîncrezătoare S32
Django / GeoDjango	CVE-2026-15307: Fișier de scriere a interogării spațiale, SSRF, în condiția RCE	High	Interogări spațiale sau interfețe de administrare aferente care acceptă intrări nesigure S38
Dependența de certificat Python	certifi: neîncredere legată de certificatul emSign	Critical; GHSA, nici unul cunoscut CVE	TLS client și instrument de gestionare a pachetelor S36 S37 încă folosește CA bundle afectat

Abrevieri: RCE reprezintă execuția de cod de la distanță, UAF înseamnă utilizare după liberă și SSRF reprezintă falsificarea cererilor pe server. Permisiunile directe ale lui RCE sunt de obicei permisiunile procesului care găzduiește aplicația și nu pot fi automat echivalente cu permisiunile root.

Secvența recomandată: tratează mai întâi RCE, care este accesibil din exterior și îndeplinește condițiile, ocolirea autentificarii, scurgerea de date între utilizatori și problemele de autentificare cu certificate; în același timp, programați actualizări pentru punctul de intrare DoS orientat spre public. Nu este nevoie să rulați încărcături utile de atac în producție pentru a dovedi capacitatea de exploatare. Există dependențe, căile de cod sunt accesibile și condițiile de atac sunt îndeplinite. Acestea sunt trei probleme care trebuie verificate separat.

1.2 Trei granițe ușor de confundat

Actualizați runtime și dependențe separat. Actualizări de securitate pentru Node , JDK , CPython nu repară automat instalațiile de sine stătătoare ale Next.js , Spring , Django , certifi sau extensii native.
Pragul de remediere este separat de linia de bază actuală de implementare. Nu este garantat că primul patch pentru o vulnerabilitate din august acoperă probleme noi din septembrie până în octombrie; Secțiunea 2 utilizează actualizări ulterioare verificate ca obiectiv de implementare.
Distingeți o vulnerabilitate de un compromis real al lanțului de aprovizionare. Pentru vulnerabilități comune, corecțiile elimină viitoarele căi de atac; atunci când au fost rulate pachete rău intenționate, impactul acreditărilor și al persistenței trebuie investigat. LiteLLM din Secțiunea 9 este evenimentul confirmat oficial. S41

Dacă există exploatare confirmată în sălbăticie, ar trebui să se bazeze pe dezvăluiri oficiale. Vânzătorul nu a menționat activitățile de exploatare și nu poate dovedi că nu există atac; remedierea ar trebui efectuată în funcție de suprafața reală de atac.

2. Verificare rapidă a versiunii fixe și a liniei de bază pentru implementare

Referință: 2.1 Node.js、React、Next.js

componentă/ramură	Versiunea de bază recomandată	Instructiuni de utilizare
Node.js 22.x	22.23.4	Lansarea de securitate S1 S2 pe 21 octombrie
Node.js 24.x	24.22.1	Se aplică la ramura 24.x; 24.22.0 nu conține corecția de securitate din 21 octombrie S1 S2
Node.js 26.x	26.12.1	Lansare de securitate în același lot S1 S2
Node.js 20 și ramurile anterioare din amonte	Migrați către o sucursală acceptată	Node 20 nu acceptă această remediere în amonte; suportul extins al furnizorului trebuie verificat separat S3
Next.js 15.x	15.5.28	Actualizat pe 14 octombrie S8
Next.js 16.x	16.4.1	La fel ca mai sus S8
Sucursală autonomă RSC 19.0 / 19.1 / 19.2 / 19.3	19.0.9 / 19.1.10 / 19.2.9 / 19.3.1	Verificați cele trei pachete `react-server-dom-*` separat; nu priviți doar stratul superior `react` S10
Next a încărcat efectiv `sharp`	≥0.35.5	Condiții oficiale de remediere temporară pentru vulnerabilitatea SVG; nu înlocuiește alte corecții Next.js S11

Node enumeră oficial ramurile de întreținere afectate pentru vulnerabilitatea din octombrie, dar nu furnizează versiunea de corecție introdusă inițial articol cu articol, astfel încât versiunea de pornire precisă a fiecărei vulnerabilități nu poate fi determinată doar pe baza intervalului de ramuri de întreținere. La implementare, acordați prioritate utilizării versiunii de mai sus a aceleiași ramuri sau unei versiuni ulterioare confirmate că conține aceleași remedieri.

2.2 Java: octombrie CPU plus actualizare de certificat în afara benzii

Acest tabel se aplică pentru Oracle JDK. A doua coloană acoperă doar CPU din 20 octombrie; al treilea include lansarea în afara bandă din 21 octombrie. Numai versiunile CPU nu acoperă toate riscurile Java discutate aici. S16 S17 S18

ramură	20 octombrie CPU	Oracle a fost lansat în afara trupei pe 21 octombrie
11	11.0.33	11.0.33.0.2
17	17.0.21	17.0.21.0.2
21	21.0.13	21.0.13.0.2
25	25.0.5	25.0.5.0.2
27	27.0.1	27.0.1.0.2
8	8u511	Tabelul de lansări publice arată în continuare 8u511; construirea de securitate specifică și repararea lanțului de încredere trebuie verificate și nu pot fi determinate numai pe baza numărului de versiune scurtă

**Java 8 trebuie verificat cu informațiile complete de build:**Oracle Alerta listează 8u511 ca versiune afectată, iar lista de lansări listează actualizările ulterioare cu același nume scurt. Starea patch-ului nu poate fi distinsă numai pe baza numărului de versiune scurtă „8u511”. Ar trebui să confirmați construcția de securitate și remedierea lanțului de încredere. S17 S18

Temurin , Corretto , Zulu , Microsoft Build of OpenJDK , versiune de lansare OpenJDK , etc., verificați în funcție de anunțurile lor respective și numere complete de pachet/build. De exemplu, înregistrarea oficială a lansării Adoptium afirmă că versiunea relevantă este reambalată pentru a adăuga eMudhra repara; același nume al versiunii din amonte nu înseamnă că conținutul pachetului este același. The .0.2 reguli de sufix pentru Oracle nu poate fi aplicat mecanic altor edituri. S20

Componentele aplicației Java	Versiunea de bază recomandată	Remarci
Tomcat 9 / 10.1 / 11	9.0.123 / 10.1.61 / 11.0.27	Verificați filială cu filială; Tomcat 10.0 a întrerupt întreținerea S21 S22 S23
Spring for GraphQL 2.0.x	2.0.5（OSS）	Suportul comercial este, de asemenea, 2.0.4.1 S25
Spring Security 7.1 / 7.0	7.1.1 / 7.0.7（OSS）	Corespunde versiunii de corecție minimă anunțată în august; trebuie să verificați buletinul de securitate următor S27 S28 înainte de implementare
Spring Security 6.5 / 6.4 / 5.8 / 5.7	6.5.12 / 6.4.19 / 5.8.28 / 5.7.26	Anunțul este listat ca remediere de asistență comercială; migrarea este evaluată atunci când nu există suport corespunzător și nu se poate presupune că Maven Central este disponibil gratuit S27

Actualizările Spring ar trebui să respecte versiunea minimă Spring Boot BOM, Java și liniile de compatibilitate ale proiectului. Nu forțați direct toate modulele Spring la același număr doar pentru a obține un patch.

2.3 CPython, Django și dependențe de certificat

A doua coloană a tabelului de mai jos se concentrează pe problema TLS dezvăluită în septembrie; diferențele de ramuri pentru tarfile sunt afișate în secțiunea 5.3. Versiunile din 21 octombrie au actualizat, de asemenea, instrumentele de certificate incluse, astfel încât ultima coloană include acele linii de bază de implementare ulterioară. S29 S30 S33 S35

Sucursala CPython	Versiunea minimă a lotului de securitate din septembrie	Linia de referință recomandată pentru implementare
3.10	3.10.22	Ultima lansare din amonte, EOL; aranjați migrarea sau verificați suportul pentru extensia de lansare S34
3.11	3.11.17	3.11.17 și actualizați pip/certifi în fiecare mediu individual
3.12	3.12.15	3.12.15 și actualizați pip/certifi în fiecare mediu individual
3.13	3.13.16	3.13.17
3.14	3.14.8	3.14.9
3.15	Versiunea finală 3.15.0 include ambele remedieri TLS S31 S47	3.15.1

Versiunile de securitate din amonte ale 3.11 și 3.12 pot fi lansate numai în codul sursă; atunci când utilizați pachetul de sistem de operare, verificați avizul de backport al furnizorului și versiunea completă a pachetului și nu există nicio cerință de a înlocui forțat sistemul Python cu o versiune autocompilată. S33 S34

dependenta independenta	Versiunea de bază recomandată	Descriere
Django 5.2 / 6.0 / 6.1	5.2.18 / 6.0.9 / 6.1.2	Încorporați corecția ulterioară S38 S39 pe 6 octombrie
certifi	≥2026.10.19	Patch-ul inițial GHSA este .18; PSF recomandă .19 pentru a păstra compatibilitatea pentru certificatele neafectate S36 S37
pip	≥26.2.2	Copia încorporată a certifi trebuie actualizată separat S35 S37
uv (dacă este utilizat)	≥0.13.4	Actualizați S37 conform metodei actuale de instalare

Aceste linii de bază acoperă remedierile enumerate. O altă problemă de severitate medie în tar_filter a fost dezvăluită pe 22 octombrie. Începând cu 23 octombrie 2026, o versiune oficială de întreținere care conține această remediere nu a fost încă confirmată; prin urmare, nu se poate considera că 3.13.17 / 3.14.9 / 3.15.1 au acoperit toate problemele fișierelor tar. Vezi Secțiunea 5.4. S40

2.4 Verificarea backport-urilor de distribuție

Principii de implementare aplicabile Ubuntu, Debian, RHEL și altor pachete software:

Înregistrați versiunea sistemului de operare, sursa depozitului, versiunea completă a pachetului și numărul buletinului de securitate al furnizorului.
Confirmați că avizul acoperă CVE specific și identifică un pachet fix pentru versiunea de distribuție relevantă.
Comparați binarele/bibliotecile încărcate de procesul de rulare real, nu doar versiunea scurtă din amonte.
Când nu există nicio dovadă a unui patch al furnizorului, lăsați-l „să fie confirmat” și nu o luați ca singura concluzie că numărul versiunii pare vechi sau nou.

Există diferențe între versiunile pachetului apt/RPM și strategiile de backport ale diferitelor distribuții. Buletinul de securitate și versiunea de pachet complet a fiecărei distribuții ar trebui să prevaleze.

3. Ecosistem Node.js / JavaScript: Analiza cauzelor și remediere

3.1 CVE-2026-111497: Brotli decodor nativ scriere în afara limitelor

Dezvăluire: 2026-10-21; Node grad oficial: High. Versiunile afectate ale Node 22.x, 24.x, 26.x necesită instalarea secțiunii de corecție 2.1. Node Anunțul nu listează un scor numeric CVSS. S1

Problema apare în logica nativă de decodare când se manipulează fluxul comprimat Brotli incorect, ceea ce poate duce la scrieri în afara limitelor. Descrierea oficială a Vercel confirmă faptul că demonstrația cercetării implică scurgeri de memorie de proces și execuția comenzilor. Dacă un atacator poate ajunge la decodor depinde dacă aplicația sau dependența decodifică efectiv datele pe care le controlează. S3

Ambele direcții trebuie verificate în același timp:

inbound: Cadrul sau middleware-ul decomprimă automat corpul cererii Brotli trimis de utilizator.
**outbound:**HTTP Clienții, dispozitivele de captare a imaginilor etc. accesează surse controlabile de atacator și decomprimă automat conținutul returnat.

Dezactivarea compresiei Brotli a răspunsurilor trimise către browsere nu elimină un punct de intrare de decodare. Protecția WAF de intrare nu acoperă, de asemenea, aplicațiile care preiau și decodifică răspunsuri externe. S3

**Direcția corespondenței:**Node Mutați corecția Brotli în amonte în dependența nativă și completați verificarea stării de decodificare ilegală și propagarea erorilor. Când mențineți o versiune auto-compilată, ar trebui să utilizați versiunea oficială de securitate sau patch-ul complet al ramurilor potrivite. Nu puteți schimba pur și simplu declarația de versiune a unui pachet JavaScript. S4

Sugestii de implementare intermediară: oprește decodificarea Brotli inutilă și neîncrezătoare; verificați comportamentul de decompresie automată a middleware-ului și a clientului HTTP; dacă afacerea trebuie să accepte acest format, finalizați procesarea în mediul corelat cât mai curând posibil. Ajustarea Accept-Encoding este doar un act de negociere și nu ar trebui să fie singură ca dovadă că un răspuns rău intenționat a fost blocat.

3.2 TLS / DNS trei High: obiectul de verificare este incompatibil cu ținta reală

Toate trei au fost dezvăluite pe 21 octombrie, cu pragul oficial de actualizare stabilit în secțiunea 2.1. S1

Identificator	Problemă confirmată	Ramurile afectate
CVE-2026-105482	`dns.resolve` Trunchierea numelor care conțin NUL	22.x / 24.x / 26.x
CVE-2026-105483	IP în formă numerică cu lățime completă face ca verificarea numelui de gazdă a certificatului să fie ocolită	24.x / 26.x
CVE-2026-106069	Numele de gazdă care poate fi interpretat vag ca IP are ca rezultat ocolirea verificării TLS	22.x / 24.x / 26.x

DNS Esența problemei este că șirul verificat de stratul superior este diferit de numele analizat efectiv de stratul inferior. Patch-ul oficial respinge NUL la intrarea de analiză și adaugă acoperire de regresie. S6

TLS Două elemente implică normalizarea numelui, consistența interpretării IP și potrivirea certificatelor. Corectați astfel încât intrarea non-standard IP să fie respinsă sau gestionată corect pentru a evita confundarea punctului final IP real cu identitatea domeniului certificatului. S5

Sugestii reale de depanare pentru : acordă prioritate verificării codului utilizatorului destinatar URL, țintei proxy dinamice sau adresei Webhook; standardizarea unificată și permite judecarea listelor, respinge NUL/caracterele de control, confirmă IPv4, IPv6 legale și numele de domenii internaționalizate încă funcționează. Dacă SSRF poate fi format în continuare necesită aplicarea dovezilor legăturii, care nu pot fi deduse direct din numele CVE.

Nu utilizați NODE_TLS_REJECT_UNAUTHORIZED=0 sau rejectUnauthorized: false pentru a elimina erorile de sumă de control post-upgrade. Adresa, certificatul și configurația afacerii ar trebui corectate.

3.3 iulie HTTP/2 High-risc și probleme cu modelul de permisiuni

Următoarele probleme dezvăluite în iulie trebuie încă incluse în anchetă. Se recomandă utilizarea directă a versiunii de securitate din octombrie în secțiunea 2.1 la implementare. S7

CVE	Cauze și efecte	Prima versiune fixă
CVE-2026-56846	Blocul HTTP/2 header reținut nu este inclus în mod corespunzător în bugetul `maxSessionMemory` și poate epuiza memoria; Impact 22.x / 24.x	22.23.2 / 24.18.1
CVE-2026-56848	HTTP/2 reintră în calea de trimitere în timpul colectării pachetelor, provocând un heap UAF; impact 22.x / 24.x / 26.x	22.23.2 / 24.18.1 / 26.5.1
CVE-2026-58043	`--permission` Potrivirea limitei prefixului căii este prea largă, iar fișierele din afara listei permise pot fi accesate.	La fel ca cele trei linii de întreținere de mai sus

Toate trei sunt oficial High. Primele două elemente dau prioritate verificării dacă HTTP/2 este procesat chiar de Node; al treilea element are semnificația corespunzătoare numai atunci când se utilizează modelul de permisiune și se bazează pe această limită. Elementele modelului de permisiuni nu pot fi descrise toate ca rețea RCE care nu necesită autentificare. S7

Terminarea temporară a HTTP/2 pe un proxy separat, actualizat și limitarea surselor de backend este o opțiune de implementare pentru a reduce expunerea; Cotele de resurse pot controla doar consecințele epuizării resurselor și nu pot corecta UAF.

3.4 octombrie React / Next.js: două articole RCE și un articol DoS

A. RCE în RSC / `use cache` funcții care returnează matrice tastate

Data publicului: 2026-10-14; Critical, CVSS 4.0 9.5. Identificatori oficiali de consiliere:

React：GHSA-xqc2-xf4c-x3h3。
Next.js：GHSA-673q-mjm6-r5xr。S9 S10

The React Problema în amonte implică mai multe matrice tipizate combinate cu valori controlabile de atacator în RSC răspuns. Cei trei afectați react-server-dom-* versiunile de pachete sunt 19.0.0 — 19.0.8 , 19.1.0 — 19.1.9 , 19.2.0 — 19.2.8 , 19.3.0 ; vezi capitolul Sectiunea 2.1. Pur partea browserului React , sau aplicații care nu folosesc cadre/plug-in-uri care acceptă RSC deloc, nu intră în domeniul de aplicare al acestui articol. S10

Next.js liste de anunțuri în aval 16.0.0—16.4.0, revizuite în 16.4.1; scenariul este funcțiile App Router, Cache Components și use cache care returnează mai multe matrice tipizate. Nu există o soluție generală oficială de încredere, iar utilizatorii versiunilor afectate trebuie să facă upgrade la timp. Nu este potrivit să te bazezi doar pe căutări manuale pentru „această funcție pare să nu existe” pentru a încheia procesarea. S9

Referință: B. SVG Image Optimization RCE

CVE-2026-96889/GHSA-2464-fhr4-w9xw, 2026-10-14, Critical, CVSS 4.0 9.5. Problema apare în biblioteca nativă din amonte utilizată pentru optimizarea imaginii. Oficialii au subliniat că riscul RCE există în scenariul glibc Linux. S11

Câmpurile versiunii oficiale sunt:

>=10.0.0 <=15.5.27；
>16.0.0 <=16.4.0。

Oficialul folosește o limită inferioară strictă a >16.0.0 pentru ramura 16.x, dar această declarație de interval nu este suficientă pentru a dovedi că 16.0.0 este sigur. Ținta actuală de actualizare este uniform 15.5.28 / 16.4.1. S11

Soluția oficială temporară este să vă asigurați că Next încarcă efectiv ≥0.35.5. Fișierele de blocare, dependențele imbricate și imaginile de implementare pot deține în continuare instanțe vechi, așa că doar adăugarea unei noi versiuni a dependenței sharp la nivelul superior nu este suficientă, arborele final de dependență ar trebui verificat și reconstruit. S11

C. Server Actions CPU epuizat

GHSA-p3m5-59mp-jv5r , 2026-10-14, High , CVSS 4.0 8.2 . Next afectează 13.0.0 — 15.5.27 , 16.0.0 — 16.4.0 , remedieri 15.5.28 / 16.4.1 . Conditiile sunt App Router si cel putin unul Server Action ; cererile rău intenționate pot păstra CPU ocupat mult timp, blocand cererile ulterioare in acelasi proces. Aplicatii cu Pages Router sau fără Server Actions nu sunt afectate de aceasta. S12

Nu există o soluție oficială care să poată înlocui actualizarea. Limitele de viteză, limitele de concurență și cotele de resurse pot reduce daunele, dar nu pot fi folosite ca concluzie pentru verificarea patch-urilor.

3.5 Anterior Next.js în aceeași fereastră Problemă gravă

Următoarele elemente sunt menite să evite implementările lipsă care sunt încă blocate în versiunile anterioare august-septembrie; nu este recomandat să treceți doar la vechile praguri de corecție din tabel acum.

Data	Identificator / scenariu	Prima reparație; actiune curenta
2026-08-25	GHSA-2xp9-vwfh-vxw4: AVIF bibliotecă nativă de optimizare a imaginii RCE, Critical	15.5.24 / 16.3.3; acum 15.5.28 / 16.4.1 S13
2026-08-25	CVE-2026-75604: RCE, Critical când Pages Router și App Router sunt utilizate simultan pe Windows, iar Cache Components nu este activat; versiunile `>=13.4.0 <15.5.24`, `>=16.0.0 <16.3.3`	15.5.24 / 16.3.3; Linux/macOS nu sunt afectate de această problemă specifică Windows S14
2026-09-22	GHSA-vcvr-r3jv-pc5j: calea de generare a imaginii Node în `next/og` procesează SVG, Critical neîncrezători; 16.2.0—16.3.5	16.3.6; implementarea Edge este în afara domeniului de aplicare al acestei probleme, iar 15.x nu este o ramură afectată pentru acest RCE S15

4. Ecosistem Java: încrederea de rulare, containerele și cadrele sunt gestionate separat

4.1 JDK: CPU și CVE-2026-91403 obișnuite sunt actualizări pe două niveluri

Matricea de risc Java SE pentru Oracle CPU pe 20 octombrie listează 55 noi corecții de securitate, dintre care 49 sunt marcate ca exploatabile în rețea fără autentificare. Acest lucru nu înseamnă că există 55 Critical și nici nu înseamnă că există 49 de căi RCE direct exploatabile pentru fiecare serviciu web Java; trebuie înțeles împreună cu componentele, API-urile, interacțiunile utilizatorilor și condițiile de implementare din matrice. S16

CVE-2026-91403 (CVSS 3.1 9.1) de a doua zi se ocupă de un alt tip de risc: un set de CA intermediar legat de evenimentul eMudhra care nu mai este de încredere. Afectează TLS autentificarea de la egal la egal și confidențialitatea/integritatea comunicării și nu poate fi descrisă ca o vulnerabilitate de corupție a memoriei JVM. S17

Avizul Oracle afișează versiunea lansată pe 20 octombrie ca fiind afectată, așa că trebuie instalată și actualizarea out-of-band din 21 octombrie. Consultați secțiunea 2.2 pentru versiunea specifică. GraalVM are, de asemenea, produse afectate corespunzătoare, iar versiunea fixă ar trebui să fie supusă buletinului său de securitate exclusiv. S17 S18

Măsuri oficiale temporare: Mai întâi faceți o copie de rezervă, apoi eliminați certificatul rădăcină specificat din fiecare truststore utilizat efectiv:

emSign ECC Root CA - G3, alias Oracle emsigneccrootcag3 [jdk].
AAA Certificate Services, alias Oracle comodoaaaca [jdk]. S19

JDK 11 și mai târziu, exemplul oficial este:

keytool -delete -cacerts -alias "emsigneccrootcag3 [jdk]"
keytool -delete -cacerts -alias "comodoaaaca [jdk]"

Utilizați keytool de la țintă JDK pentru aceste comenzi și confirmați că acestea funcționează pe depozitul de încredere real al aplicației. Java 8 utilizează calea corespunzătoare lui jre/lib/security/cacerts; personalizarea depozitului de încredere trebuie gestionată separat, iar alți editori pot avea aliasuri diferite. Eliminarea certificatului rădăcină va extinde domeniul de respingere și va testa regresia lanțurilor de certificate de serviciu legitime. S19

Oficialul oferă, de asemenea, opțiunea de a activa verificarea revocării, dar efectul depinde de implementarea efectivă a TLS, accesibilitatea serviciului de revocare și strategia de eșec. Pentru implementări generale, acordați prioritate instalării actualizărilor complete ale furnizorului pentru a evita tratarea a două switch-uri JVM ca dovadă că toate bibliotecile TLS au fost remediate.

4.2 Tomcat: Ocolire a autentificării și izolarea solicitărilor între utilizatori

Următoarele trei articole au fost publicate pe 2026-10-20; intrarea versiunii reparate este datată Ooctombrie 12. Clasa oficială a Apache este Important. S21 S22 S23

CVE	Versiuni afectate confirmate	Scenarii/rezultate necesare
CVE-2026-101296	9.0.0.M1—9.0.122；10.1.0-M1—10.1.60；11.0.0-M1—11.0.26	JNDIRealm Configurați mecanismul de autentificare SASL non-GSSAPI, verificarea acreditărilor lipsește și parolele incorecte pot trece, de asemenea
CVE-2026-101356	9.0.118—9.0.122；10.1.55—10.1.60；11.0.22—11.0.26	Gestionarea erorilor asincrone a Servletului HTTP/2 reciclează/reutilizează incorect obiectele, provocând amestecarea solicitărilor sau răspunsurilor între utilizatori
CVE-2026-103119	Confirmați doar 11.0.0-M25—11.0.26	Scrierile mari AJP neblocante pot cauza o citire insuficientă a memoriei tampon, expunând datele de răspuns anterioare în solicitările ulterioare.

Remedierea corespunzătoare este 9.0.123 / 10.1.61 / 11.0.27; AJP este listat doar ca Tomcat 11 conform anunțului și nu poate fi extins la trei filiale cu aceeași problemă. S21 S22 S23

Patch-ul JNDIRealm remediază o lacună de verificare în procesul de autentificare real, unde „interfața de conectare a aplicației arată normal” nu poate fi folosită în loc de verificare. Realm, mecanismele SASL ar trebui verificate pentru configurația reală a serviciului, iar testele trebuie să eșueze pentru parolele incorecte. S24

Sugestii de implementare intermediară: izolează calea de autentificare afectată; suspendarea procesării HTTP/2 a Tomcat atunci când afacerea permite; aproape inutil AJP. Numai restricționarea accesului direct la portul AJP nu poate dovedi că traficul care intră prin proxy-ul frontal legal nu va fi afectat. După actualizarea oficială, solicitările concurente asincrone de la doi utilizatori independenți ar trebui testate pentru a confirma că nu există interacțiuni între identități și răspunsuri.

Referință: 4.3 Spring for GraphQL：CVE-2026-59285

Data publicului: 2026-08-20; High . afectat 2.0.0 — 2.0.4 , reparat 2.0.5 ( OSS ) sau 2.0.4.1 (suport comercial) . S25

Acesta este un risc nesigur de deserializare în interogările de paginare. Cerința oficială este ca următoarele condiții să fie îndeplinite în același timp:

Utilizați Spring for GraphQL.
Deserializați JSON folosind Jackson 2.x.
Furnizați câmpul de paginare Conexiune către lumea exterioară.
Calea clasei conține clase specifice care pot efectua o logică neașteptată în timpul instanțierii sau deserializării.

O solicitare rău intenționată GraphQL poate provoca RCE atunci când sunt îndeplinite condițiile. Nu poate fi redus la „toate programele Java care folosesc Jackson pot fi exploatate”. S25

De ce 2.0.4 este insuficient: În iunie, CVE-2026-41699 a oferit linii de bază pentru patch-uri, cum ar fi 2.0.4, iar în august anunțul a inclus clar 2.0.4 în noul domeniu de influență. Prin urmare, înregistrarea reparațiilor trebuie actualizată conform anunțurilor ulterioare, iar versiunea minimă a vechiului CVE nu poate fi utilizată. S26

Când upgrade-ul este temporar indisponibil, câmpurile de paginare afectate accesibile apelanților neîncrezători pot fi suspendate; restrângerea tipurilor deserializabile și a căilor de clasă este o măsură aprofundată. Regresiile ar trebui să acopere cursoarele legale, rezultatele paginate și respingerile de intrare cu excepții și să verifice versiunile componentelor reale din JAR-ul final al aplicației.

4.4 Spring Security: CVE-2026-59270 și riscurile aferente de autentificare

CVE-2026-59270, 2026-08-20, Critical. UnboundIdContainer încorporat înregistrează în mod implicit acreditările cunoscute de administrator și ascultă pe toate interfețele de rețea. Când componenta este activată și portul este accesibil, un atacator poate citi sau modifica datele directorului; proiectele care introduc în general Spring Security nu vor expune automat LDAP. S27

Zona afectata:

ramură	afectate	Primul canal de reparare/achiziție
7.1	7.1.0	7.1.1 OSS; de asemenea comercial 7.1.0.1
7.0	7.0.0—7.0.6	7.0.7 OSS; de asemenea comercial 7.0.6.1
6.5 / 6.4	6.5.0—6.5.11；6.4.0—6.4.18	6.5.12/6.4.19, comercial
5.8 / 5.7	5.8.0—5.8.27；5.7.0—5.7.25	5.8.28/5.7.26, comercial

Sursa: S27. Depanați configurația automată spring.ldap.embedded.* și codul de instanțiere directă; închideți componenta când nu este necesară pentru producție și verificați adresa reală de ascultare. Când afacerea are într-adevăr nevoie de el, mai întâi limitați sursele de apelare și apoi finalizați upgrade-ul componentei.

Problemă legată de autentificare: CVE-2026-47841 ( High ). WebAuthn Autentificarea utilizatorului este setată la REQUIRED , iar după HTTP sesiunea este serializată prin stocare distribuită, compararea incorectă a identității obiectului poate invalida cerința de autentificare. Atacul necesită, de asemenea, ca atacatorul să aibă în posesia dispozitivului de autentificare a utilizatorului, nu autentificare la distanță arbitrară fără dispozitiv. Pentru versiunile afectate corespunzătoare ale 7.1 , 7.0 , 6.5 , și 6.4 , linia de bază a plasturelui este în concordanță cu aceste ramuri din tabelul de mai sus; verificarea ar trebui să acopere sesiunile între noduri și să necesite în continuare verificarea PIN/biometrică. S28

5. Ecosistem Python: interpret, bibliotecă standard, cadru și certificate

5.1 CVE-2026-19445: SSLContext UAF în SNI apel invers

Data publicării: 2026-09-30; PSF Nivel: Critical. În serverul Python TLS, sni_callback comută conexiunea la un alt SSLContext, iar atunci când contextul original nu a supraviețuit, nu există nici un alt context original. Clientul TLS poate bloca serviciul sau poate apela un pointer într-un obiect eliberat. S29

Esența este că obiectul Python este inconsecvent cu ciclul de viață de apel invers TLS. Contextul original a fost eliberat, iar stratul de bază poate păstra în continuare starea necesară pentru apel invers; patch-ul nativ al interpretului trebuie utilizat pentru a remedia ciclul de viață de referință. S47

Scope: Codul Python care acționează doar ca client TLS nu este afectat de acest articol; modul normal al prizei de ascultare care ține contextul original pentru o perioadă lungă de timp nu se încadrează în calea specifică a defecțiunii descrisă în anunț. După ce Nginx termină TLS, predă doar HTTP local către Python, iar Python se ocupă direct de SNI, care este o suprafață de atac diferită. S29

Corespunzător versiunii fixe 3.10—3.14, vezi secțiunea 2.3. Versiunea oficială a 3.15 a fost reparată, iar 3.15.1 poate fi selectat efectiv. Numai actualizarea dependenței pip nu poate înlocui implementarea _ssl a interpretului. S33 S35 S47

atenuare temporară oficială: păstrează referințe puternice la toate SSLContext care au setat apelul invers SNI până la sfârșitul ciclului de viață al serverului. Aceasta trebuie să acopere crearea dinamică reală și căile de comutare; versiunea personalizată OpenSSL 1.1.1 ar trebui să verifice, de asemenea, condițiile de renegociere împreună cu înregistrarea oficială a problemei și să acorde prioritate actualizărilor complete. S29 S47

5.2 CVE-2026-19553: flag-ul numelui de gazdă este activat, dar numele de gazdă lipsește la apelare

Data publicului: 2026-09-30; High. CândSSLContext.check_hostname=True, dacă wrap_bio() nu este trecut în server_hostname, implementarea inițială poate sări peste verificarea numelui de gazdă. Verificarea reușită a lanțului de certificate nu înseamnă că și numele domeniului țintă a fost potrivit. S30

Remedierea necesită ambii pași:

Instalați versiunea de securitate a interpretului listată în secțiunea 2.3.
Verificați wrap_bio(), căile asyncio.create_connection() / loop.start_tls() aferente, transmiteți în mod explicit numele de gazdă așteptat și nevid și mențineți activată verificarea certificatului. S30

**Diferențe de compatibilitate care nu pot fi omise:**3.10, 3.11, 3.12 sunt pentru compatibilitate, numai DeprecationWarning este emis pentru unele cazuri în care lipsește numele de gazdă; 3.13 și mai târziu ridicați ValueError. 3.12 backport distinge, de asemenea, clar None de șirurile goale: este adăugat un nou avertisment pentru None și o eroare este încă raportată pentru șirurile goale. Prin urmare, utilizatorii cu ramuri scăzute nu pot presupune că verificarea numelui de domeniu lipsă inițial a fost restabilită automat prin simpla actualizare. S31 S33

Într-un mediu de testare, utilizați un certificat de lanț de încredere cu un nume de gazdă nepotrivit și confirmați că aplicația actuală TLS îl respinge. Simpla citire a valorii booleene check_hostname nu constituie o acceptare completă.

5.3 CVE-2026-82049: Ocolire combinație de legături în filtrul tarfile

Data publicului: 14-09-2026; High . În CPython 3.13 și implementările anterioare asociate, combinația de link-uri hard și link-uri simbolice în gudron neîncrezător poate ocoli data / tar filtrul de extracție, expunând conținutul fișierelor din afara directorului de despachetare în arborele de despachetare sau modificând permisiunile și orele de modificare ale acestora. S32

Impacturile confirmate ale acestei vulnerabilități includ expunerea conținutului fișierului și modificarea metadatelor; Numai aceste impacturi nu sunt suficiente pentru a demonstra suprascrierea arbitrară a conținutului fișierului extern sau implementarea necondiționată a RCE.

Pentru liniile de bază ale plasturelui corespunzătoare 3.10 — 3.13 , vezi Secțiunea 2.3. Python 3.14 a fost exceptat de la această problemă specifică din cauza os.link() comportamentul se schimbă de atunci 3.14.0b1 , deci domeniul de aplicare afectat al 3.10 — 3.13 ramura de mai sus nu se aplică. S33

Măsuri temporare și aprofundate: suspendă extragerea automată a arhivelor nesigure; utilizați procese izolate ale lucrătorilor cu privilegii reduse și noi directoare exclusive atunci când afacerea trebuie procesată, refuzați legăturile simbolice, legăturile rigide și intrările de dispozitiv de către companie și limitați numărul de fișiere și resurse de decompresie. Acestea sunt recomandări de implementare.

filter="data" este mai potrivit pentru arhivele generale neîncrezătoare decât strategia de încredere completă, dar filtrul în sine de pe versiunea veche are și această vulnerabilitate, iar adăugarea acestui parametru nu poate înlocui actualizarea. De asemenea, filtrul nu este un sandbox complet al sistemului de fișiere. S32 S45

5.4 Risc suplimentar: CVE-2026-114583 (Medium) și starea eliberării patch-urilor

PSF a dezvăluit în 2026-10-22 că procesarea de către tarfile.tar_filter a numelor de link-uri specifice poate fi ocolită, permițând membrilor următori să scrie în afara directorului de despachetare, cu un nivel de Medium. Remedierea oficială PR a fost fuzionată în acea zi; din 23 octombrie 2026, nicio versiune oficială de întreținere care să conțină acest commit nu a fost confirmată. S40

Prin urmare:

Acest articol este listat separat ca Medium.
Versiunile pentru interpret lansate pe 21 octombrie nu pot fi considerate ca au inclus această remediere.
Procesul care încă folosește filter="tar" pentru a gestiona arhivele care nu sunt de încredere ar trebui să urmărească backport-ul de lansare; izolați sau suspendați această cale de procesare pentru o perioadă scurtă de timp. Când treceți la data și respingeți legăturile, trebuie, de asemenea, să confirmați că îndeplinește cerințele de afaceri, iar schimbarea filtrului nu poate fi descrisă ca un sandbox necondiționat.

5.5 GeoDjango: CVE-2026-15307 și remedieri ulterioare în octombrie

2026-08-04, Django oficial High. interogarea spațială trece implicit anumite șiruri/dicționare către GDALRaster, iar driverul poate cere să scrie fișiere sau să inițieze rețeaua; RCE poate fi format atunci când există căi specifice și condiții de execuție ulterioare. Personalul cu permisiuni de vizualizare a modelului de câmp spațial poate accesa această cale și prin lista de modificări de administrator. S38

Remedierea inițială este 5.2.17 / 6.0.8, care restricționează tipurile de intrare acceptate de căutările spațiale. Această modificare poate afecta activitatea inițială de utilizare a șirului de caractere/dicționar pentru a exprima raster; Pur și simplu includerea unei intrări neîncrezătoare în GDALRaster nu înseamnă verificarea acesteia. S38

Pe 6 octombrie, CVE-2026-87890 (Moderat) a fost reparat: VRT exprimat în octeți poate face referire la resurse externe și încă declanșează solicitări de rețea; în aceeași zi, a fost consolidată și protecția cu geometrie imbricată DoS a CVE-2026-15830. Ultimele două nu pot fi actualizate pentru a descrie noul RCE cu risc ridicat, dar indică faptul că linia de bază pentru implementare ar trebui să fie 5.2.18 / 6.0.9 / 6.1.2. S39

Implementarea verifică cele două puncte de intrare ale interfeței API și de administrare, restricționează căutarea spațială neîncrezătoare, permisiunile de scriere a fișierelor și accesul de ieșire; după actualizare, testează regresie interogări spațiale valide și respinge intrarea interzisă. Aplicațiile obișnuite Django care nu folosesc GeoDjango nu ar trebui să aplice direct această concluzie RCE.

5.6 certifi / pip: Certificatul de încredere trebuie să acopere fiecare copie

GHSA-6q48-6c7w-9gw2 , 2026-10-20, Critical , cunoscut CVE nu sunt enumerate. Aceasta este actualizarea de neîncredere a certificatului cauzată de eMudhra intermediar CA incident. Nu poate fi rezumat ca mecanism de criptare al HTTPS sau că toate certificatele rădăcină au fost sparte. S36

Avizul certifi a enumerat inițial 2026.10.18 ca patch; Ulterior, PSF a recomandat în mod explicit 2026.10.19 pentru a păstra compatibilitatea cu certificatele rădăcină neafectate. Linia de bază operațională este .19. S36 S37

Trebuie să distingem:

Aveți încredere în locația materialului	De ce trebuie să verificați separat
Sistem de operare pachet CA	Material de încredere în sistem pentru imagine sau gazdă
certifi în venv	CA bundle folosit efectiv de aplicații sau solicitări etc.
pip certifi încorporat	Este o copie diferită de cea a certifi instalată extern
uv / Alte instrumente de ambalare	Urmați actualizările proprii ale instrumentului și sursele de încredere
Fișiere personalizate CA, instantanee ambalate	Poate continua să suprascrie sursele implicite de încredere pentru sisteme sau pachete

Cele de mai sus este o listă de verificare bazată pe diferite locații de ambalare. PSF necesită actualizarea instrumentelor aferente, mediilor virtuale existente și reconstruirea imaginii; doar actualizarea gazdei CA sau reinstalarea interpretului nu poate dovedi că toate copiile au fost reîmprospătate. S35 S37

Când faceți upgrade de la vechiul bootstrap securizat pip, PSF furnizează comenzile pentru roata fixă și SHA-256, consultați anexa S37. Nu dezactivați verificarea TLS și nu adăugați --trusted-host pentru a ocoli problemele legate de certificat.

6. Procesul formal de remediere

Următoarele comenzi sunt pentru medii de încredere confirmate. La executare, managerul de pachete existent, fișierul de blocare și procesul de implementare al proiectului ar trebui să fie combinate pentru a evita amestecarea npm/pnpm/yarn sau pip/uv/Poetry pentru a genera fișiere de blocare conflictuale.

Gestionați mai întâi o excepție: Dacă bănuiți că mediul a rulat pachetul compromis din Secțiunea 9, izolați-l mai întâi și verificați discul, blocați fișierul și înregistrarea imaginii dintr-un mediu curat; nu rulați mai întâi următoarea comandă Python/pip. S41

6.1 Stabiliți un registru care poate corespunde traficului real

Fiecare serviciu înregistrează cel puțin:

Punct de intrare extern, proxy invers, cale de conectare directă la site-ul de origine și coadă de fundal/tascini programate.
Comanda de pornire reală, contul de rulare, calea binară, procesul sau identitatea containerului.
Versiune completă pentru runtime, editor/repozitiv, versiune completă a pachetului sau rezumat de imagini.
Dependențe cadru și tranzitive, fișiere de blocare, biblioteci native și căi pentru depozitele de încredere.
Corespunzător dacă condiția de vulnerabilitate există, ținta patch-ului, domeniul de aplicare a repornirii, persoana responsabilă și rezultatul verificării.

Mașinile de dezvoltare, runnerele CI, containerele de construcție și sarcinile de fundal ar trebui, de asemenea, verificate în funcție de căile lor către conținut neîncrezat; nu actualizați doar containerul web destinat publicului.

6.2 Node.js: stabiliți mai întâi timpul de rulare, apoi actualizați dependențele aplicației

Verificați în mediul de service real:

node -p 'JSON.stringify({execPath:process.execPath,node:process.version,openssl:process.versions.openssl,brotli:process.versions.brotli},null,2)'
npm ls next react react-dom react-server-dom-webpack react-server-dom-parcel react-server-dom-turbopack sharp --all
npm audit --omit=dev

node -p ar trebui să fie executat folosind executabilul real al serviciului sau într-un container real; verifică procesele nou lansate și nu dovedește ea însăși că vechiul lucrător a fost înlocuit. Node poate adăuga patch-ul la Brotli încorporat, păstrând în același timp șirul original al versiunii bibliotecii. Prin urmare, nu vă bazați exclusiv pe process.versions.brotli pentru a determina dacă a fost reparat. Ar trebui să-l combinați cu versiunea de securitate Node sau cu dovezile de backport ale furnizorului. S2 S4

npm ls este folosit pentru a vedea arborele de dependență real; pachetele lipsă sau conflictele între egali pot produce, de asemenea, coduri de ieșire diferite de zero, așa că ar trebui să citiți rezultatul specific. npm audit este folosit ca ajutor pentru verificarea dependenței și nu poate înlocui verificarea binară și nativă a bibliotecii Node.

Utilizați mise pentru a gestiona mediul Node 24, care poate fi actualizat după cum urmează:

mise use -g [email protected]
mise exec [email protected] -- node -p 'process.version + " " + process.execPath'

mise use -g configurează versiunea globală; configurația locală a proiectului trebuie încă verificată separat. Dacă serviciul a remediat vechea cale absolută, imaginea de bază a containerului sau mediul unui cont diferit, configurația corespunzătoare trebuie actualizată și serviciul trebuie repornit. Comanda în sine nu înlocuiește un proces vechi care rulează. S43

În proiectul Next, executați comanda corespunzătoare în funcție de ramura selectată. Pentru Next 15:

# Next 15 分支
npm install --save-exact [email protected]

Pentru Next 16:

# Next 16 分支
npm install --save-exact [email protected]

Verificați dependențele compatibile cu React/RSC, fișierele de blocare și instanța finală sharp, apoi creați conform procesului proiectului. Utilizați fișierul de blocare actualizat în CI pentru o instalare reproductibilă și verificați versiunea din imaginea care rulează după creare. Nu utilizați repararea automată necontrolată în versiunile majore ca soluție implicită pentru această urgență.

6.3 Java: Verificați editorul, JVM real și componentele încorporate

Inventarul preliminar:

java -XshowSettings:properties -version

java.home, java.runtime.version și editorul din ieșire ar trebui să fie aliniate cu JVM utilizat efectiv de serviciu. Pentru JVM cu permisiune de atașare, jcmd de JDK poate fi folosit pentru a verifica procesul țintă, nu doar shell-ul de conectare.

Verificați dependențele din proiectele de încredere și selectați pe baza instrumentelor de construcție reale:

./mvnw dependency:tree '-Dincludes=org.apache.tomcat.embed:*,org.springframework.security:*,org.springframework.graphql:*'

./gradlew dependencyInsight --dependency tomcat-embed-core --configuration runtimeClasspath
./gradlew dependencyInsight --dependency spring-security-core --configuration runtimeClasspath
./gradlew dependencyInsight --dependency spring-graphql --configuration runtimeClasspath

Aceste comenzi de compilare pot executa plug-in-uri și rezolva dependențe online și rulează numai pe proiecte de încredere. Verificați JAR-ul/războiul final sau JAR-ul real din imagine și nu înlocuiți declarațiile fișierului de compilare cu artefactul final. Spring Boot încorporat Tomcat necesită reconstruirea aplicației; actualizarea unei instalări Tomcat separată în sistem nu va modifica copia din pachetul aplicației.

După ce timpul de execuție este actualizat, verificați javax.net.ssl.trustStore personalizat, KeyStore auto-încărcat de aplicație, runtime jlink, GraalVM/imagine nativă și alte formulare de livrare articol cu articol. Aplicațiile care au deja materiale de încredere personalizate nu pot încheia verificarea doar pentru că directorul JDK devine nou.

6.4 Python: Procesare interpret cu interpret și mediu virtual

În cadrul venv/containerului efectiv confirmat a fi de încredere:

python - <<'PY'
import sys
import ssl
import importlib.metadata as metadata

print("executable:", sys.executable)
print("version:", sys.version)
print("openssl:", ssl.OPENSSL_VERSION)
print("verify_paths:", ssl.get_default_verify_paths())
for name in ("pip", "certifi", "Django", "urllib3", "Brotli", "litellm"):
    try:
        print(name + ":", metadata.version(name))
    except metadata.PackageNotFoundError:
        print(name + ": not installed")
PY

python -m pip --version
python -m pip check

Acest script colectează doar informații și nu efectuează determinarea calificării versiunii. ssl.get_default_verify_paths() este informația implicită de cale și nu poate dovedi că toți clienții terți folosesc același depozit de încredere; ar trebui confirmat pe baza configurației aplicației.

După finalizarea upgrade-ului de pornire de încredere pip a anexei S37, actualizați dependențele de certificat în funcție de constrângerile proiectului, de exemplu:

python -m pip install --upgrade 'certifi>=2026.10.19'

# 仅适用于当前就选择 Django 5.2 的项目
python -m pip install --upgrade 'Django>=5.2.18,<5.3'

python -m pip check

Cerințele proiectului/fișierul de blocare trebuie să fie actualizat în același timp, altfel următoarea implementare poate reveni la versiunea veche. Când utilizați uv, Poetry sau un depozit de pachete pentru întreprinderi, utilizați procesele de blocare și publicare existente; nu modificați manual pachetele doar într-un container de producție.

Fluxul de lucru pip-audit existent al proiectului poate fi utilizat pentru a verifica vulnerabilitățile de dependență cunoscute într-un mediu de încredere; nu este un scanner de cod rău intenționat și nu acoperă toate riscurile legate de interpret, bibliotecă de sistem și depozit de încredere. S44

INu este recomandat să forțați sistemul /usr/bin/python3 să trimită către o nouă versiune compilată. Utilizați actualizări de securitate pentru lansare sau timpii de execuție de izolare a proiectelor pentru a evita distrugerea instrumentelor de management care se bazează pe sistemul Python. Aceasta este o alegere de implementare și nu este o cerință suplimentară de remediere pentru această vulnerabilitate.

6.5 Reconstruiți și înlocuiți instanța care rulează

Se recomandă ca următorii pași să fie luați ca schimbare completă:

Obțineți patch-ul de la sursa originală de încredere și salvați versiunea/hash și blocarea dependenței.
Returnați funcțiile cheie într-un mediu aproape de producție și confirmați că extensiile native sunt compatibile cu JVM/framework.
Actualizați timpul de execuție, dependențele aplicației și magazinul de încredere real; reîmprospătați imaginea de bază și sistemul CA pentru container, nu reutilizați doar stratul vechi.
Reconstruiți aplicațiile și imaginile și înlocuiți instanțe de serviciu, lucrător, consumator de coadă și sarcini programate în mod continuu.
Verificați din nou versiunea și configurația în noua instanță care rulează și confirmați că toate copiile vechi au ieșit.
Observați ratele de eroare, latența, CPU/memorie, eșecurile de strângere de mână TLS și blocările procesului.

Rollback-ul ar trebui să acorde prioritate păstrării timpului de execuție în siguranță și dependențelor de corecție și refacerii configurației aplicației sau modificărilor de afaceri. Dacă trebuie să reveniți la un produs vechi cu vulnerabilități, restricțiile de intrare corespunzătoare ar trebui restaurate simultan, iar persoana responsabilă și perioada minimă de recuperare ar trebui să fie clar definite.

7. Atenuare temporară și selectare a patch-urilor

7.1 Limita de acoperire a măsurilor temporare

Următoarele sunt sugestii de implementare bazate pe condițiile de utilizare anunțate. Dacă nu este menționat planul oficial, vânzătorul nu garantează că toate variantele pot fi blocate complet.

risc	Măsuri temporare care pot fi luate	Partea care nu poate fi considerată finalizată pe baza acestui fapt
Brotli decodare	Opriți decodificarea intrărilor nesigure; verificați decompresia automată la intrare și la ieșire	WAF de intrare sau dezactivarea compresiei răspunsului nu acoperă toate intrările de decodare S3
Next.js typed arrays RCE	Upgrade imediat; izolați temporar serviciile afectate, dacă este necesar	Nu există o soluție universală oficială de încredere S9
Next.js SVG RCE	Plan oficial: asigurați ascuțitul real ≥0.35.5; suspendă punctele de intrare relevante pentru optimizare atunci când afacerea o permite	Nu acoperă alte probleme Next/RSC S11
Tomcat Tărâm / HTTP/2 / AJP	Izolați calea corespunzătoare și închideți conectorii care nu sunt necesari	Încă mai am nevoie de pachetul de reparații corespunzător S21 S22 S23
GraphQL Deserializare	Suspendați câmpurile de conexiune afectate; restricționați apelanții neîncrezători	Numai limita de lungime a cererii nu poate remedia problema de tip/deserializare S25
Spring embedded LDAP	Dezactivați atunci când nu este necesar; limitați raza de acțiune a portului real de ascultare	Identitatea administrativă implicită și integritatea directorului trebuie încă verificate S27
CPython SNI UAF	Plan oficial: păstrați referința solidă SSLContext relevantă până la sfârșitul serviciului	Toate căile de creare/schimbare trebuie acoperite S29
Python ignorați numele gazdei	Soluție oficială: transmiteți corect server_hostname așteptat	Nu se poate verifica doar marca check_hostname sau ignora avertismentul S30 S31
Gudron nedemn de încredere	Dezactivați/carantină extragerea, respingeți linkurile neesențiale și intrările de dispozitiv	Nici filtrele, nici cotele de resurse nu sunt sandbox-uri universale S32 S40 S45
Eveniment de încredere în certificat	Actualizați materialul corect CA; Încrederea Java poate fi restricționată în funcție de atenuarea oficială	Dezactivarea verificării TLS crește riscul S19 S37

7.2 Selectați plasturele pe baza metodei de livrare

Metoda de livrare	Prioritizează metodele de reparație	Dovezi care ar trebui păstrate
Runtime gestionate de distribuție	Actualizările de securitate corespunzătoare ale producătorului	Versiune pachet complet, anunț, sursă de depozit
Manager oficial de binar/runtime	Comunicare oficială de securitate din aceeași sucursală	Versiune, sursă și rezumat, calea reală de execuție
Autocompilat Node / CPython	Versiunea sursă oficială a sucursalei corespunzătoare sau setul complet de corecții ale furnizorului	Setul de angajări, parametrii de construcție, bibliotecile dependente și rezultatele regresiei
Spring / Next / Django	Compatibil cu actualizările din ramură, reconstruirea blocărilor de dependență și aplicațiile finale	Arborele de dependență final, versiunea actuală în JAR/pachet/imagine
Magazin de încredere personalizat	Planul oficial de retragere sau actualizarea furnizorului care confirmă retragerea	Calea de utilizare reală, schimbarea materialului, testele de succes și respingere TLS
Un mediu compromis	Reconstruiți din produse curate și de încredere și efectuați investigații separate ale incidentelor	Pachetul istoric/rezumat imagini, înregistrarea instalării, înregistrarea rotației acreditărilor

7.3 Mecanismul de corecție a cheii și focus de revizuire

Brotli: acordă atenție dacă verificarea limitei și returnarea erorii a stării de decodare nativă sunt complete înainte de a intra în construcție; doar înlocuirea pachetului JavaScript nu poate schimba codul compilat static în Node. S4
Node DNS / TLS : se concentrează pe respingerea intrărilor, normalizarea adresei, distincția între IP SAN și DNS identități și DNS callback/Promise Calea de analiză și TLS test de potrivire a numelui de gazdă. S5 S6
Tomcat JNDIRealm: se concentrează pe dacă procesul de autentificare verifică de fapt acreditările, mai degrabă decât doar obținerea unui context de director; prioritizarea versiunii oficiale și nu tratarea unei singure înlocuiri de fișier sursă ca pe un patch binar complet. S24
CPython ssl: se concentrează pe proprietatea de referință Python și pe ciclul de viață al SSLContext de bază; wrap_bio() face backporturi având diferențe de compatibilitate cu ramurile și trebuie să citiți implementarea efectivă a ramurilor utilizate. S31 S47
Neîncredere în certificat: Astfel de actualizări pot apărea ca materiale de încredere sau pot respinge modificările listei, mai degrabă decât modificări evidente ale API. Același lot de Node include și mecanismul de respingere al intermediarului afectat CA; sursele de încredere respective ale Java și Python trebuie încă verificate separat. S19 S37 S46

Independent Brotli trebuie verificată și legarea. Google a fost lansat 1.0.10 / 1.1.1 / 1.2.1 în aceeași zi pentru a repara CVE-2026-111497 . Python Extensiile native sau artefactele JNI care încorporează aceeași implementare C afectată trebuie să fie actualizate/reconstruite în mod independent; nu se poate deduce că totul pur Java decodoarele sunt afectate și nici nu se poate presupune că modernizarea Node înlocuiește automat copiile în alte limbi. S42

8. Verificare și verificări ulterioare

8.1 Lista de verificare minimă

Verificați articolele	Dovezi necesare
timpul de rulare	Versiunea completă sau dovezile backport ale furnizorului sunt corecte în procesul/containerul real
dependențe de aplicație	Next/RSC/sharp, Tomcat/Spring și Django/certifi în implementarea finală, produsele au atins pragul corespunzător
Interval de înlocuire	Toate copiile lucrător/JVM/container și sarcinile de fundal au fost înlocuite cu altele noi, iar instanțele vechi au părăsit.
TLS	Certificatele de domeniu valide reușesc; numele de gazdă nepotrivite și lanțurile invalide eșuează conform politicii; sunt incluse magazine personalizate de încredere
eMudhra neîncredere	Lanțul de certificate construit de intermediarul afectat CA a fost respins în timpul rulării efective sau există dovezi că a fost implementată lista de respingere corespunzătoare a securității de construire a furnizorului specific; cazul nu poate fi închis pe baza testului general TLS sau a numărului de versiune scurtă Java 8.
Node decodare și imagini	Sunt disponibile funcții normale de răspuns comprimat, încărcare, optimizare a imaginii și RSC; politica surselor nesigure este în vigoare
Java Autentificare și izolare	Parola greșită a fost respinsă; solicitări asincrone concurente ale utilizatorului independent fără amestecare identitate/răspuns; LDAP ascultați conform așteptărilor
Python SNI / Arhivă	Numele normal de mai multe domenii TLS afacerea este stabilă; arhivarea respinge traversarea căii și legăturile interzise, iar fișierele din afara directorului nu sunt modificate
Date și regresie funcțională	Paginare, interogare spațială, verificare a permisiunilor și sarcini de fundal au trecut testele existente ale proiectului
Resurse și observații	Nu există o creștere anormală a erorilor CPU, memorie, rata de eroare, latență și TLS.
Trasabilitate	Economisiți timp de actualizare, rezumat pachet/imagine, modificări de configurare, rezultate de verificare și elemente nerezolvate

Acestea sunt recomandări de acceptare a implementării și nu necesită ca un script de atac să fie produs pentru fiecare CVE. Verificarea care implică blocări, epuizarea resurselor și arhivarea în afara limitelor ar trebui să utilizeze teste de regresie în amonte sau date de testare controlate de proiect într-un mediu izolat.

8.2 Cortificarea și investigarea intruziunilor sunt sarcini diferite

Verificați jurnalele existente pentru erori de decodare neobișnuite, blocări ale lucrătorului/JVM, scrieri de fișiere suspecte, modificări ale datelor din director, excepții de autentificare, solicitări de ieșire și înregistrări de utilizare a acreditărilor. Aceste semne trebuie judecate în context: o prăbușire sau OOM nu este o dovadă a exploatării cu succes; absența alertelor nu dovedește că un sistem a fost neafectat.

Când sunt descoperite modificări neautorizate, acreditări compromise sau dependențe rău intenționate confirmate, dovezile trebuie păstrate, instanțele relevante izolate, acreditările afectate rotite dintr-un mediu de încredere și sistemul reconstruit. Patch-ul nu va revoca jetoanele care au fost obținute de atacator și nici nu va restaura datele care au fost modificate.

9. Incident de securitate a lanțului de aprovizionare: compromis LiteLLM 1.107.0

**Data oficială a confirmării: 2026-10-21.**LiteLLM a raportat că conducta de lansare a fost compromisă. litellm==1.107.0 de la PyPI și unele produse Docker/GHCR din aceeași perioadă conțineau cod rău intenționat de furt secret și control de la distanță, iar produsele aferente au fost retrase. S41

Pentru a determina impactul, ar trebui să verificați înregistrările istorice ale instalării și rezumatul imaginilor; etichete precum latest, main-latest și main-stable indică acum imagini curate, ceea ce nu dovedește că produsele scoase la momentul incidentului erau curate. Recomandarea oficială la acel moment era să fixați temporar 1.106.2; această recomandare s-a bazat pe acest incident, iar alte anunțuri de securitate mai trebuie verificate în timpul implementării. S41

Pentru mediile în care au fost instalate sau rulate produse înrudite:

Izolați și păstrați înregistrările, imaginile și jurnalele de instalare și inspectați-le dintr-un mediu curat.
Nu porniți Python/pip mai întâi într-un mediu suspect; .pth / sitecustomize.py rău intenționat poate fi executat din nou după pornire.
Reconstruiți gazde, venvs/containere din surse de încredere; nu pot doar dezinstala sau downgrade pachete.
Revocați/rotiți acreditările cloud, cheile furnizorului LLM, cheile LiteLLM și acreditările bazei de date pe baza accesibilității reale și examinați utilizarea anormală. S41

Acesta este un incident confirmat în lanțul de aprovizionare și necesită luarea în considerare a execuției de cod rău intenționat, scurgerea acreditărilor și riscurile de persistență atunci când se ocupă de acesta. Începând cu 23 octombrie 2026, oficialii încă investigau intruziunea inițială.

Anexă: Surse și link-uri citate

Următoarea dată de verificare a sursei este 2026-10-23, inclusiv anunțul oficial de securitate al proiectului, depozitul oficial de coduri și instrucțiunile furnizorului. Textul principal [Sx] corespunde acestui apendice; atunci când efectuați actualizări, ar trebui să verificați dacă furnizorul a lansat revizuirile ulterioare.

S1 — Node.js: 2026-10-21 Notă de securitate

Scop: Patru timpi de execuție High, care afectează ramurile, lansarea de securitate din octombrie.
Referință: Buletinul Oficial de Securitate

S2 — Node.js: Instrucțiuni oficiale de lansare pentru trei linii de întreținere

Scop: Verificați 22.23.4, 24.22.1, 26.12.1 și patch-urile îmbinate.
Referință: Node.js 22.23.4
Referință: Node.js 24.22.1
Referință: Node.js 26.12.1

S3 — Vercel: Node.js Brotli RCE aviz de securitate

Scop: Condiții de decodare de intrare/ieșire, limita de acoperire WAF, starea Node 20.
Referință: Node.js security advisory: Brotli decoder RCE

S4 — Node.js: Brotli trimitere de corecție oficială

Scop: Baza de implementare pentru verificarea decodării native și propagarea erorilor.
Referință: Brotli Patch commit 49dff6f57a

S5 — Node.js: TLS corecție de normalizare a adresei

Scop: verificarea identității certificatului de numere cu lățime completă și IP non-standard.
Referință: IP normalization regression Patch
Referință: respinge corecția adresei non-standard IP

S6 — Node.js: DNS NUL corecție de verificare

Scop: respingerea intrării și acoperirea regresiei.
Referință: dns.resolve Patch de verificare a intrării

S7 — Node.js: 2026-07-29 Notificare de securitate

Scop: epuizarea memoriei HTTP/2, vulnerabilitățile UAF și modelul de permisiuni.
Referință: July 2026 Security Releases

S8 — Next.js: actualizare de securitate 2026-10-14

Scop: Unificați nivelul de bază al actualizării și trei riscuri cheie.
Referință: Next.js Security Update for Upstream Vulnerabilities

Referință: S9 — Next.js：typed arrays / use cache RCE

Scop: GHSA-673q-mjm6-r5xr; afectează intervalul, condiția, scorul și starea soluției.
Referință: Next.js Buletinul Oficial de Securitate

Referință: S10 — React：React Server Components RCE

Scop: GHSA-xqc2-xf4c-x3h3; versiunile afectate și remediate ale a trei pachete RSC.
Referință: React Buletinul Oficial de Securitate

Referință: S11 — Next.js：SVG Image Optimization RCE

Scop: CVE-2026-96889 / GHSA-2464-fhr4-w9xw; limitele versiunii glibc, ascuțite și originale.
Referință: SVG Optimizarea imaginii Buletinul oficial de securitate

Referință: S12 — Next.js：Server Actions DoS

Scop: GHSA-p3m5-59mp-jv5r; afectează condițiile, versiunile și evaluările.
Referință: Server Actions DoS Buletinul Oficial de Securitate

S13 — Next.js: AVIF Optimizare imagine RCE

Scop: 2026-08-25, GHSA-2xp9-vwfh-vxw4.
Referință: AVIF Buletinul Oficial de Securitate

Referință: S14 — Next.js：Windows RCE

Scop: 2026-08-25, CVE-2026-75604/GHSA-p293-qw3h-jr36.
Referință: Windows RCE Buletinul Oficial de Securitate

Referință: S15 — Next.js：next/og ImageResponse RCE

Scop: 2026-09-22, GHSA-vcvr-r3jv-pc5j; Diferența dintre Node și Edge.
Referință: ImageResponse Buletinul Oficial de Securitate
Referință: Note de lansare pentru 22 septembrie

Referință: S16 — Oracle: October 2026 CPU

Scop: matrice de risc Java SE, cantitatea de plasture și condițiile aplicabile.
Referință: Oracle Critical Patch Update – October 2026
Referință: Oracle Java SE CPU Lista de versiuni

S17 — Oracle: CVE-2026-91403 alarmă în afara benzii

Scop: 2026-10-21, JSSE certificat de risc de încredere, produse afectate și CVSS 3.1 9.1.
Referință: Oracle Security Alert

S18 — Oracle: JDK versiune oficială și descărcare

Scop: Se face distincția între CPU pe 20 octombrie și versiunea în afara bandă pe 21 octombrie; distingeți limitările versiunii scurte a Java 8.
Referință: JDK release list
Referință: Oracle Java Descărcați pagina

S19 — Oracle: eMudhra plan de retragere temporară

Scop: Actualizat 2026-10-22; două certificate rădăcină, keytool, truststore personalizat și verificarea revocării.
Referință: Distrusting eMudhra Intermediate Certificates in Oracle JDK

S20 — Eclipse Adoptium: Lansați înregistrarea versiunii

Scop: Temurin este reambalat din cauza incidentului certificatului; sufixul versiunii Oracle nu poate fi aplicat mecanic.
Referință: Adoptium Release Scorecards

S21 — Apache Tomcat 9 Notă de securitate

Scop: interval exact afectat de 9 ramuri cu remedierea 9.0.123.
Referință: Tomcat 9 vulnerabilities

S22 — Apache Tomcat 10 Notă de securitate

Scop: 10.1 ramificare interval precis și reparare 10.1.61; 10.0 EOL.
Referință: Tomcat 10 vulnerabilities

S23 — Apache Tomcat 11 Notă de securitate

Scop: trei articole Important, 11.0.27, AJP domeniul de aplicare și data dezvăluirii/lansării.
Referință: Tomcat 11 vulnerabilities

Referință: S24 — Apache Tomcat: JNDIRealm patch commit

Scop: Baza formală pentru repararea lacunelor de verificare a certificării.
Referință: JNDIRealm Patch commit

Referință: S25 — Spring：GraphQL CVE-2026-59285

Scop: 2026-08-20, Obligatoriu, 2.0.5 OSS / 2.0.4.1 Reparație comercială.
Referință: Spring for GraphQL Unsafe Deserialization

Referință: S26 — Spring：GraphQL CVE-2026-41699

Scop: un prag de remediere anterior, doar pentru a explica de ce nu puteți rămâne la linia de bază veche.
Referință: 6 luni GraphQL Buletin de securitate

Referință: S27 — Spring Security：CVE-2026-59270

Scop: Încorporați UnboundID LDAP, identitate de management cunoscută și distingeți OSS/versiunea comercială.
Referință: Spring embedded LDAP Buletin de securitate

Referință: S28 — Spring Security：CVE-2026-47841

Scop: autentificarea utilizatorului WebAuthn, serializarea sesiunii și premisa atacului.
Referință: WebAuthn Buletin de securitate

S29 — PSF: CVE-2026-19445 Aviz independent de securitate

Scop: 2026-09-30, Critical, SNI Condiții și măsuri temporare citate de SSLContext.
Referință: SSLContext UAF Anunț oficial

S30 — PSF: CVE-2026-19553 Aviz independent de securitate

Scop: 2026-09-30, High, lipsește numele de gazdă și atenuarea explicită a parametrilor.
Referință: wrap_bio Anunț oficial privind verificarea numelui gazdei

S31 — CPython: patch oficial wrap_bio și backport 3.12

Scop: 3.10—Politica de compatibilitate a avertismentelor 3.12, diferența dintre None și șirul gol.
Referință: Patch principal PR #158503
Referință: 3.12 Umplere PR #158513
Referință: 3.15 Umplere PR #158511

S32 — PSF: CVE-2026-82049 Aviz independent de securitate

Scop: 2026-09-14, High, combinație de linkuri, modificarea metadatelor și expunerea conținutului.
Referință: tarfile link-ul ocolește anunțul oficial

S33 — CPython: Lansare oficială de securitate la sfârșitul lunii septembrie/începutul lunii octombrie

Scop: versiunea de corecție minimă, metoda de distribuție a codului sursă și scutirea 3.14 pentru probleme specifice fișierului tar.
Referință: Python Instrucțiuni de eliberare a securității în mai multe ramuri
Referință: Python 3.11.17
Referință: Python 3.12.15
Referință: Python 3.13.16
Referință: Python 3.14.8

S34 — CPython: 3.10 ultima lansare sigură

Scop: 3.10.22 și sfârșitul ciclului de viață din amonte.
Referință: Python 3.10.22

S35 — CPython: versiunea de întreținere de urgență 2026-10-21

Scop: 3.13.17 / 3.14.9 / 3.15.1, actualizări pip și certifi încorporate, cerințe venv existente.
Referință: Python 3.13.17
Referință: Python 3.14.9
Referință: Python 3.15.1

S36 — certifi: anunț de neîncredere certificat emSign

Scop: 2026-10-20, GHSA-6q48-6c7w-9gw2, Critical, nu se cunoaște CVE.
Referință: certifi Buletinul Oficial de Securitate

S37 — PSF: Impactul eMudhra / emSign asupra utilizatorilor Python

Scop: recomandare certifi .19, linie de bază pip/uv, comandă de upgrade de pornire de încredere cu SHA-256.
Referință: PSF Eveniment oficial și instrucțiuni de actualizare

Comanda de upgrade de pornire pip furnizată de instrucțiunile oficiale citate de S37 este următoarea. Utilizați numai în medii Python care au fost confirmate a fi de încredere; dacă există suspiciuni de otrăvire în secțiunea 9, mai întâi izolați și reconstruiți conform procesului incident. Fixează hash-ul conținutului roții și, ulterior, actualizează alte dependențe în funcție de procesul proiectului.

python -m pip install "pip @ https://files.pythonhosted.org/packages/3f/06/3e4420302363fbb71be3c7f35ce042f54bfca330e3e66b3a2e3c4cca579f/pip-26.2.2-py3-none-any.whl#sha256=fd7f4dfa8190e014013b9f08f3e973f4e4c26ffd179a204895533a7254813a70"

S38 — Django: 2026-08-04 lansare sigură

Utilizare: CVE-2026-15307, GeoDjango Condiții de exploatare, remedieri inițiale și modificări de compatibilitate.
Referință: Django 6.0.8 / 5.2.17

S39 — Django: 2026-10-06 lansare sigură

Scop: CVE-2026-87890, geometrie DoS armătură ulterioară cu linia de bază selectată în prezent.
Referință: Django 6.1.2 / 6.0.9 / 5.2.18

S40 — PSF / CPython: cea mai recentă notă laterală tar_filter

Scop: 2026-10-22, CVE-2026-114583 (Medium); Fuziunea PR nu înseamnă că versiunea oficială de întreținere a fost lansată.
Referință: PSF Anunț independent
Referință: CPython Patch PR #160098

S41 — LiteLLM: Raport oficial de incident în lanțul de aprovizionare, 21 octombrie

Scop: produs contaminat cu 1.107.0, rezumat istoric, reconstrucție izolare și eliminare a acreditărilor.
Referință: Contained: LiteLLM v1.107.0 Compromised

S42 — Google Brotli: versiune oficială securizată

Scop: Brotli 1.0.10 / 1.1.1 / 1.2.1 independent și baza de verificare a copiei încorporate în mai multe limbi.
Referință: Brotli releases

S43 — mise: utilizați documentația oficială a comenzii

Scop: Specificați versiunea instrumentului și semantica comenzii configurației globale.
Referință: mise use

S44 — PyPA: pip-proiect oficial de audit

Scop: Python Scopul și limitele de capacitate ale auditării vulnerabilității dependenței.
Referință: pip-audit

S45 — Python: document de filtru de extragere a fișierului tarif

Scop: strategie de date, modificări implicite de comportament și restricții care nu pot înlocui sandbox-ul.
Referință: tarfile extraction filters

S46 — Node.js: mecanism intermediar de respingere CA

Scop: Această procesare a lanțului de încredere legată de eMudhra nu este echivalentă cu invalidarea criptografică a tuturor certificatelor rădăcină.
Referință: Node.js PR #66871

S47 — CPython: SNI UAF note tehnice și remedieri

Scop: ciclu de viață de referință, condiții speciale de construcție și backtracking a ramurilor.
Referință: problema oficială #156293
Referință: corecție oficială PR #158504
Referință: 3.15 Umplere PR #158514