--- title: "Node.js, Java și Python: vulnerabilități recente și ghid de remediere" description: "Examinați actualizările runtime, cadrului și certificatelor, cu liniile de bază ale patch-urilor specifice ramurilor, condițiile de expunere, atenuările temporare și verificarea producției." language: "ro" url: "https://keendigit.com/ro/insights/node-java-python-security-remediation-guide" author: "KeenDigit" published: "2026-10-23" --- # Node.js, Java și Python: vulnerabilități recente și ghid de remediere Examinați actualizările runtime, cadrului și certificatelor, cu liniile de bază ale patch-urilor specifice ramurilor, condițiile de expunere, atenuările temporare și verificarea producției. **Surse verificate începând cu 23 octombrie 2026 (UTC)** **Perioada de acoperire: 25 iulie-23 octombrie 2026, concentrându-se pe noile anunțuri și pe patch-uri ulterioare din septembrie până în octombrie.** **Audience: ingineri și respondenți de securitate care întrețin serviciile, containerele Node.js, Java, Python, construiesc conducte și medii de dezvoltare.** Acest articol rezumă riscurile de securitate importante recente în runtime Node.js, Java și Python, biblioteci standard și cadre și dependențe comune ale serverului și oferă domeniul de aplicare al impactului, versiuni fixe, măsuri temporare de atenuare, selecție de corecții și metode de verificare. Evaluați impactul față de versiunile componente, caracteristicile activate și punctele de intrare accesibile. Faptele de vulnerabilitate provin din avizele oficiale; datele se referă la dezvăluirea publică, cu excepția cazului în care o lansare anterioară a patch-urilor este menționată în mod explicit. Nu deducem condiții de exploatare neconfirmate, scoruri CVSS sau exploatare în sălbăticie. Sfaturile de implementare sunt identificate ca îndrumări de implementare. ## TL;DR: priorități de remediere 1. **Actualizați mai întâi timpul de execuție care găzduiește serviciul.** Actualizați corespunzătoare Node.js ramură la cel puțin **22.23.4 / 24.22.1 / 26.12.1** . Utilizarea serviciilor Node 24 poate face upgrade la **24.22.1 în aceeași versiune majoră sau o versiune ulterioară** care conține aceleași remedieri. [S1](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-1) [S2](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-2) 2. **Actualizare Node dependențele aplicației separat.** Pentru Next.js , folosiți **15.5.28 / 16.4.1** ca bază de actualizare; la utilizare React Server Components independent, verificați instalația reală `react-server-dom-*` Node binary nu acoperă aceste vulnerabilități ale cadrului. [S8](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-8) [S9](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-9) [S10](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-10) [S11](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-11) [S12](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-12) 3. **Java : acoperă ambele runde de actualizări.** Instalați o versiune de furnizor care să acopere atât 20 octombrie CPU și 21 octombrie **CVE-2026-91403** certificat de urgență-remediere de încredere. Vezi secțiunea 2.2 pentru Oracle JDK 11 -27 versiuni out-of-band; verificați alte distribuții în raport cu propriile pachete de securitate și cu numere complete de build. Actualizați corespunzătoare Tomcat ramură către **9.0.123 / 10.1.61 / 11.0.27** . [S16](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-16) [S17](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-17) [S18](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-18) [S20](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-20) [S21](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-21) [S22](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-22) [S23](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-23) 4. **Python : actualizați separat interpretul, pachetele de aplicații și pachetele de certificate.** Vezi secțiunea 2.3 pentru liniile de bază pentru interpret; `certifi` recomanda **≥ 2026.10.19** , `pip` **≥ 26.2.2** , când se utilizează `uv` **≥ 0.13.4** . Fiecare venv existent trebuie verificat. Pentru `wrap_bio()` coduri aferente, corecte și nevide `server_hostname` trebuie de asemenea transmis. [S29](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-29) [S30](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-30) [S31](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-31) [S33](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-33) [S35](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-35) [S36](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-36) [S37](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-37) 5. **Dacă o actualizare imediată este imposibilă, reduceți expunerea la punctele de intrare relevante.** Prioritizați oprirea decodării Brotli neîncrezătoare, procesarea imaginii/paging/arhivare afectată și izolarea LDAP sau autentificări problematice; păstrarea certificatelor TLS și a numelor de gazdă verificate. Intrarea WAF nu poate acoperi căile de ieșire, cum ar fi aplicațiile care atrag răspunsuri comprimate rău intenționate. [S3](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-3)[S11](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-11)[S25](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-25)[S27](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-27)[S30](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-30)[S32](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-32) 6. **Reconstruiți, înlocuiți procesele vechi și verificați prin căi de serviciu reale.** Salvați fișierul de blocare și rezumatul imaginii, reconstruiți aplicația și imaginea, lansați înlocuitori pentru toți lucrătorii/JVM/containere; verificați procesul real, arborele de dependență, depozitul de încredere și testele de regresie a afacerii. Numai o versiune mai nouă de linie de comandă nu stabilește că remedierea este completă. 7. **IDacă LiteLLM 1.107.0 a fost instalat sau rulat, urmați procedurile de răspuns la incident.** Proiectul a confirmat compromisul de lansare pe 21 octombrie. Izolați mediile afectate, investigați dintr-un mediu curat, reconstruiți și rotiți acreditările expuse. Nu porniți Python/pip într-un mediu suspect pentru a verifica mai întâi. Consultați Secțiunea 9 pentru detalii. [S41](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-41) ## 1. Prezentare generală a vulnerabilității și evaluarea riscurilor ### 1.1 Prioritizează remedierea prin expunerea efectivă Prioritățile de implementare de mai jos sunt ghiduri de implementare. Etichetele de severitate urmează fiecărui furnizor, inclusiv evaluarea Apache **Important**. CVSS 3.1 și 4.0 sunt sisteme de notare diferite; nu clasați problemele din ele numai după scor. | Ecosistem / strat | Probleme cheie | Nota oficială sau scor verificat | Desfășurare prioritară | | ------------------------------- | ---------------------------------------------------------------------------------------------------- | -------------------------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | Node.js dependență nativă | CVE-2026-111497: Brotli este scris în afara limitelor și există riscul de RCE | Node：High | Decodificați datele Brotli [S1](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-1)[S3](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-3) în corpul solicitării externe sau răspunsul extern | | Node.js TLS / DNS | CVE-2026-105482, 105483, 106069: analizarea și verificarea identității sunt inconsecvente | High | URL acces cu crawlere, proxy, Webhook, adresă țintă dinamică [S1](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-1)[S5](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-5)[S6](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-6) | | Node.js HTTP/2 | CVE-2026-56846, 56848: Memoria epuizată și UAF | High | Node gestionează direct traficul neîncrezat HTTP/2 [S7](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-7) | | React / Next.js | RSC / `use cache` typed arrays RCE | Critical；CVSS 4.0 9.5 | Server RSC, componentele cache aferente și calea datelor [S9](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-9)[S10](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-10) | | Next.js Optimizarea imaginii | CVE-2026-96889: SVG Procesarea imaginii RCE | Critical；CVSS 4.0 9.5 | Instanțe pe glibc Linux care pot gestiona imagini nede încredere [S11](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-11) | | Next.js Server Actions | Solicitarea special concepută face ca CPU să fie epuizat | High；CVSS 4.0 8.2 | App Router și cel puțin un Server Action [S12](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-12) | | Java TLS Încredere | CVE-2026-91403: Continuați să aveți încredere în intermediarul afectat CA | CVSS 3.1 9.1 | TLS/API Scenariu [S17](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-17) folosind lanțul de încredere afectat | | Tomcat | JNDIRealm bypass de autentificare, HTTP/2 confuzii între cereri încrucișate, scurgere de răspuns AJP | Important | Corespunzător căii Realm / Connector / async Servlet [S21](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-21)[S22](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-22)[S23](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-23) | | Spring for GraphQL | CVE-2026-59285: deserializare paginare RCE | High | Jackson 2 + Connection Paging + Claspath exploatabil [S25](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-25) | | Spring Security | CVE-2026-59270: identitate de management cunoscută LDAP încorporată expusă | Critical | LDAP încorporat este activat, iar portul de ascultare este accesibil atacatorului [S27](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-27) | | CPython `ssl` | CVE-2026-19445: contextul de comutare SNI are ca rezultat UAF | Critical | Python termină TLS de la sine și îndeplinește condiția contextului ciclului de viață [S29](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-29) | | CPython `ssl` | CVE-2026-19553: Omiteți verificarea când lipsește numele de gazdă | High | `wrap_bio()` / Apel asincron asociat lipsește numele de gazdă așteptat [S30](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-30) | | CPython `tarfile` | CVE-2026-82049: Ocolire a unei combinații de legătură rigidă și legătură simbolică | High | Extrageți automat arhiva tar neîncrezătoare [S32](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-32) | | Django / GeoDjango | CVE-2026-15307: Fișier de scriere a interogării spațiale, SSRF, în condiția RCE | High | Interogări spațiale sau interfețe de administrare aferente care acceptă intrări nesigure [S38](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-38) | | Dependența de certificat Python | certifi: neîncredere legată de certificatul emSign | Critical; GHSA, nici unul cunoscut CVE | TLS client și instrument de gestionare a pachetelor [S36](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-36)[S37](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-37) încă folosește CA bundle afectat | Abrevieri: RCE reprezintă execuția de cod de la distanță, UAF înseamnă utilizare după liberă și SSRF reprezintă falsificarea cererilor pe server. Permisiunile directe ale lui RCE sunt de obicei permisiunile procesului care găzduiește aplicația și nu pot fi automat echivalente cu permisiunile root. **Secvența recomandată:** tratează mai întâi RCE, care este accesibil din exterior și îndeplinește condițiile, ocolirea autentificarii, scurgerea de date între utilizatori și problemele de autentificare cu certificate; în același timp, programați actualizări pentru punctul de intrare DoS orientat spre public. Nu este nevoie să rulați încărcături utile de atac în producție pentru a dovedi capacitatea de exploatare. Există dependențe, căile de cod sunt accesibile și condițiile de atac sunt îndeplinite. Acestea sunt trei probleme care trebuie verificate separat. ### 1.2 Trei granițe ușor de confundat - **Actualizați runtime și dependențe separat.** Actualizări de securitate pentru Node , JDK , CPython nu repară automat instalațiile de sine stătătoare ale Next.js , Spring , Django , certifi sau extensii native. - Pragul de remediere **este separat de linia de bază actuală de implementare.** Nu este garantat că primul patch pentru o vulnerabilitate din august acoperă probleme noi din septembrie până în octombrie; Secțiunea 2 utilizează actualizări ulterioare verificate ca obiectiv de implementare. - **Distingeți o vulnerabilitate de un compromis real al lanțului de aprovizionare.** Pentru vulnerabilități comune, corecțiile elimină viitoarele căi de atac; atunci când au fost rulate pachete rău intenționate, impactul acreditărilor și al persistenței trebuie investigat. LiteLLM din Secțiunea 9 este evenimentul confirmat oficial. [S41](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-41) Dacă există exploatare confirmată în sălbăticie, ar trebui să se bazeze pe dezvăluiri oficiale. Vânzătorul nu a menționat activitățile de exploatare și nu poate dovedi că nu există atac; remedierea ar trebui efectuată în funcție de suprafața reală de atac. ## 2. Verificare rapidă a versiunii fixe și a liniei de bază pentru implementare ### Referință: 2.1 Node.js、React、Next.js | componentă/ramură | Versiunea de bază recomandată | Instructiuni de utilizare | | ------------------------------------------------ | -------------------------------------- | ----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | Node.js 22.x | **22.23.4** | Lansarea de securitate [S1](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-1)[S2](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-2) pe 21 octombrie | | Node.js 24.x | **24.22.1** | Se aplică la ramura 24.x; 24.22.0 nu conține corecția de securitate din 21 octombrie [S1](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-1)[S2](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-2) | | Node.js 26.x | **26.12.1** | Lansare de securitate în același lot [S1](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-1)[S2](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-2) | | Node.js 20 și ramurile anterioare din amonte | Migrați către o sucursală acceptată | Node 20 nu acceptă această remediere în amonte; suportul extins al furnizorului trebuie verificat separat [S3](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-3) | | Next.js 15.x | **15.5.28** | Actualizat pe 14 octombrie [S8](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-8) | | Next.js 16.x | **16.4.1** | La fel ca mai sus [S8](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-8) | | Sucursală autonomă RSC 19.0 / 19.1 / 19.2 / 19.3 | **19.0.9 / 19.1.10 / 19.2.9 / 19.3.1** | Verificați cele trei pachete `react-server-dom-*` separat; nu priviți doar stratul superior `react` [S10](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-10) | | Next a încărcat efectiv `sharp` | **≥0.35.5** | Condiții oficiale de remediere temporară pentru vulnerabilitatea SVG; nu înlocuiește alte corecții Next.js [S11](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-11) | Node enumeră oficial ramurile de întreținere afectate pentru vulnerabilitatea din octombrie, dar nu furnizează versiunea de corecție introdusă inițial articol cu articol, astfel încât versiunea de pornire precisă a fiecărei vulnerabilități nu poate fi determinată doar pe baza intervalului de ramuri de întreținere. La implementare, acordați prioritate utilizării versiunii de mai sus a aceleiași ramuri sau unei versiuni ulterioare confirmate că conține aceleași remedieri. ### 2.2 Java: octombrie CPU plus actualizare de certificat în afara benzii Acest tabel se aplică pentru **Oracle JDK**. A doua coloană acoperă doar CPU din 20 octombrie; al treilea include lansarea în afara bandă din 21 octombrie. Numai versiunile CPU nu acoperă toate riscurile Java discutate aici. [S16](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-16)[S17](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-17)[S18](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-18) | ramură | 20 octombrie CPU | Oracle a fost lansat în afara trupei pe 21 octombrie | | ------ | ---------------- | ----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | 11 | 11.0.33 | **11.0.33.0.2** | | 17 | 17.0.21 | **17.0.21.0.2** | | 21 | 21.0.13 | **21.0.13.0.2** | | 25 | 25.0.5 | **25.0.5.0.2** | | 27 | 27.0.1 | **27.0.1.0.2** | | 8 | 8u511 | Tabelul de lansări publice arată în continuare **8u511**; construirea de securitate specifică și repararea lanțului de încredere trebuie verificate și nu pot fi determinate numai pe baza numărului de versiune scurtă | \*\*Java 8 trebuie verificat cu informațiile complete de build:\*\*Oracle Alerta listează 8u511 ca versiune afectată, iar lista de lansări listează actualizările ulterioare cu același nume scurt. Starea patch-ului nu poate fi distinsă numai pe baza numărului de versiune scurtă „8u511”. Ar trebui să confirmați construcția de securitate și remedierea lanțului de încredere. [S17](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-17)[S18](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-18) **Temurin , Corretto , Zulu , Microsoft Build of OpenJDK , versiune de lansare OpenJDK , etc., verificați în funcție de anunțurile lor respective și numere complete de pachet/build.** De exemplu, înregistrarea oficială a lansării Adoptium afirmă că versiunea relevantă este reambalată pentru a adăuga eMudhra repara; același nume al versiunii din amonte nu înseamnă că conținutul pachetului este același. The `.0.2` reguli de sufix pentru Oracle nu poate fi aplicat mecanic altor edituri. [S20](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-20) | Componentele aplicației Java | Versiunea de bază recomandată | Remarci | | ------------------------------------- | ------------------------------------- | -------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | Tomcat 9 / 10.1 / 11 | **9.0.123 / 10.1.61 / 11.0.27** | Verificați filială cu filială; Tomcat 10.0 a întrerupt întreținerea [S21](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-21)[S22](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-22)[S23](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-23) | | Spring for GraphQL 2.0.x | **2.0.5（OSS）** | Suportul comercial este, de asemenea, 2.0.4.1 [S25](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-25) | | Spring Security 7.1 / 7.0 | **7.1.1 / 7.0.7（OSS）** | Corespunde versiunii de corecție minimă anunțată în august; trebuie să verificați buletinul de securitate următor [S27](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-27)[S28](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-28) înainte de implementare | | Spring Security 6.5 / 6.4 / 5.8 / 5.7 | **6.5.12 / 6.4.19 / 5.8.28 / 5.7.26** | Anunțul este listat ca remediere de asistență comercială; migrarea este evaluată atunci când nu există suport corespunzător și nu se poate presupune că Maven Central este disponibil gratuit [S27](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-27) | Actualizările Spring ar trebui să respecte versiunea minimă Spring Boot BOM, Java și liniile de compatibilitate ale proiectului. Nu forțați direct toate modulele Spring la același număr doar pentru a obține un patch. ### 2.3 CPython, Django și dependențe de certificat A doua coloană a tabelului de mai jos se concentrează pe problema TLS dezvăluită în septembrie; diferențele de ramuri pentru `tarfile` sunt afișate în secțiunea 5.3. Versiunile din 21 octombrie au actualizat, de asemenea, instrumentele de certificate incluse, astfel încât ultima coloană include acele linii de bază de implementare ulterioară. [S29](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-29)[S30](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-30)[S33](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-33)[S35](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-35) | Sucursala CPython | Versiunea minimă a lotului de securitate din septembrie | Linia de referință recomandată pentru implementare | | ----------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | --------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | 3.10 | 3.10.22 | Ultima lansare din amonte, EOL; aranjați migrarea sau verificați suportul pentru extensia de lansare [S34](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-34) | | 3.11 | **3.11.17** | 3.11.17 și actualizați pip/certifi în fiecare mediu individual | | 3.12 | **3.12.15** | 3.12.15 și actualizați pip/certifi în fiecare mediu individual | | 3.13 | 3.13.16 | **3.13.17** | | 3.14 | 3.14.8 | **3.14.9** | | 3.15 | Versiunea finală 3.15.0 include ambele remedieri TLS [S31](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-31)[S47](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-47) | **3.15.1** | Versiunile de securitate din amonte ale 3.11 și 3.12 pot fi lansate numai în codul sursă; atunci când utilizați pachetul de sistem de operare, verificați avizul de backport al furnizorului și versiunea completă a pachetului și nu există nicio cerință de a înlocui forțat sistemul Python cu o versiune autocompilată. [S33](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-33)[S34](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-34) | dependenta independenta | Versiunea de bază recomandată | Descriere | | ----------------------- | ----------------------------- | --------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | Django 5.2 / 6.0 / 6.1 | **5.2.18 / 6.0.9 / 6.1.2** | Încorporați corecția ulterioară [S38](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-38)[S39](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-39) pe 6 octombrie | | certifi | **≥2026.10.19** | Patch-ul inițial GHSA este .18; PSF recomandă .19 pentru a păstra compatibilitatea pentru certificatele neafectate [S36](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-36)[S37](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-37) | | pip | **≥26.2.2** | Copia încorporată a certifi trebuie actualizată separat [S35](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-35)[S37](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-37) | | uv (dacă este utilizat) | **≥0.13.4** | Actualizați [S37](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-37) conform metodei actuale de instalare | **Aceste linii de bază acoperă remedierile enumerate.** O altă problemă de severitate medie în `tar_filter` a fost dezvăluită pe 22 octombrie. Începând cu 23 octombrie 2026, o versiune oficială de întreținere care conține această remediere nu a fost încă confirmată; prin urmare, nu se poate considera că 3.13.17 / 3.14.9 / 3.15.1 au acoperit toate problemele fișierelor tar. Vezi Secțiunea 5.4. [S40](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-40) ### 2.4 Verificarea backport-urilor de distribuție Principii de implementare aplicabile Ubuntu, Debian, RHEL și altor pachete software: 1. Înregistrați versiunea sistemului de operare, sursa depozitului, versiunea completă a pachetului și numărul buletinului de securitate al furnizorului. 2. Confirmați că avizul acoperă CVE specific și identifică un pachet fix pentru versiunea de distribuție relevantă. 3. Comparați binarele/bibliotecile încărcate de procesul de rulare real, nu doar versiunea scurtă din amonte. 4. Când nu există nicio dovadă a unui patch al furnizorului, lăsați-l „să fie confirmat” și nu o luați ca singura concluzie că numărul versiunii pare vechi sau nou. Există diferențe între versiunile pachetului apt/RPM și strategiile de backport ale diferitelor distribuții. Buletinul de securitate și versiunea de pachet complet a fiecărei distribuții ar trebui să prevaleze. ## 3. Ecosistem Node.js / JavaScript: Analiza cauzelor și remediere ### 3.1 CVE-2026-111497: Brotli decodor nativ scriere în afara limitelor **Dezvăluire: 2026-10-21; Node grad oficial: High. Versiunile afectate ale** Node 22.x, 24.x, 26.x necesită instalarea secțiunii de corecție 2.1. Node Anunțul nu listează un scor numeric CVSS. [S1](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-1) Problema apare în logica nativă de decodare când se manipulează fluxul comprimat Brotli incorect, ceea ce poate duce la scrieri în afara limitelor. Descrierea oficială a Vercel confirmă faptul că demonstrația cercetării implică scurgeri de memorie de proces și execuția comenzilor. Dacă un atacator poate ajunge la decodor depinde dacă aplicația sau dependența decodifică efectiv datele pe care le controlează. [S3](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-3) Ambele direcții trebuie verificate în același timp: - **inbound: Cadrul sau middleware-ul** decomprimă automat corpul cererii Brotli trimis de utilizator. - \*\*outbound:\*\*HTTP Clienții, dispozitivele de captare a imaginilor etc. accesează surse controlabile de atacator și decomprimă automat conținutul returnat. Dezactivarea compresiei Brotli a răspunsurilor trimise către browsere nu elimină un punct de intrare de decodare. Protecția WAF de intrare nu acoperă, de asemenea, aplicațiile care preiau și decodifică răspunsuri externe. [S3](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-3) \*\*Direcția corespondenței:\*\*Node Mutați corecția Brotli în amonte în dependența nativă și completați verificarea stării de decodificare ilegală și propagarea erorilor. Când mențineți o versiune auto-compilată, ar trebui să utilizați versiunea oficială de securitate sau patch-ul complet al ramurilor potrivite. Nu puteți schimba pur și simplu declarația de versiune a unui pachet JavaScript. [S4](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-4) **Sugestii de implementare intermediară:** oprește decodificarea Brotli inutilă și neîncrezătoare; verificați comportamentul de decompresie automată a middleware-ului și a clientului HTTP; dacă afacerea trebuie să accepte acest format, finalizați procesarea în mediul corelat cât mai curând posibil. Ajustarea `Accept-Encoding` este doar un act de negociere și nu ar trebui să fie singură ca dovadă că un răspuns rău intenționat a fost blocat. ### 3.2 TLS / DNS trei High: obiectul de verificare este incompatibil cu ținta reală Toate trei au fost dezvăluite pe 21 octombrie, cu pragul oficial de actualizare stabilit în secțiunea 2.1. [S1](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-1) | Identificator | Problemă confirmată | Ramurile afectate | | --------------- | ------------------------------------------------------------------------------------------------------------ | ------------------ | | CVE-2026-105482 | `dns.resolve` Trunchierea numelor care conțin NUL | 22.x / 24.x / 26.x | | CVE-2026-105483 | IP în formă numerică cu lățime completă face ca verificarea numelui de gazdă a certificatului să fie ocolită | 24.x / 26.x | | CVE-2026-106069 | Numele de gazdă care poate fi interpretat vag ca IP are ca rezultat ocolirea verificării TLS | 22.x / 24.x / 26.x | DNS Esența problemei este că șirul verificat de stratul superior este diferit de numele analizat efectiv de stratul inferior. Patch-ul oficial respinge NUL la intrarea de analiză și adaugă acoperire de regresie. [S6](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-6) TLS Două elemente implică normalizarea numelui, consistența interpretării IP și potrivirea certificatelor. Corectați astfel încât intrarea non-standard IP să fie respinsă sau gestionată corect pentru a evita confundarea punctului final IP real cu identitatea domeniului certificatului. [S5](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-5) Sugestii reale de depanare pentru **:** acordă prioritate verificării codului utilizatorului destinatar URL, țintei proxy dinamice sau adresei Webhook; standardizarea unificată și permite judecarea listelor, respinge NUL/caracterele de control, confirmă IPv4, IPv6 legale și numele de domenii internaționalizate încă funcționează. Dacă SSRF poate fi format în continuare necesită aplicarea dovezilor legăturii, care nu pot fi deduse direct din numele CVE. Nu utilizați `NODE_TLS_REJECT_UNAUTHORIZED=0` sau `rejectUnauthorized: false` pentru a elimina erorile de sumă de control post-upgrade. Adresa, certificatul și configurația afacerii ar trebui corectate. ### 3.3 iulie HTTP/2 High-risc și probleme cu modelul de permisiuni Următoarele probleme dezvăluite în iulie trebuie încă incluse în anchetă. Se recomandă utilizarea directă a versiunii de securitate din octombrie în secțiunea 2.1 la implementare. [S7](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-7) | CVE | Cauze și efecte | Prima versiune fixă | | -------------- | ------------------------------------------------------------------------------------------------------------------------------------------ | --------------------------------------------------- | | CVE-2026-56846 | Blocul HTTP/2 header reținut nu este inclus în mod corespunzător în bugetul `maxSessionMemory` și poate epuiza memoria; Impact 22.x / 24.x | 22.23.2 / 24.18.1 | | CVE-2026-56848 | HTTP/2 reintră în calea de trimitere în timpul colectării pachetelor, provocând un heap UAF; impact 22.x / 24.x / 26.x | 22.23.2 / 24.18.1 / 26.5.1 | | CVE-2026-58043 | `--permission` Potrivirea limitei prefixului căii este prea largă, iar fișierele din afara listei permise pot fi accesate. | La fel ca cele trei linii de întreținere de mai sus | Toate trei sunt oficial High. Primele două elemente dau prioritate verificării dacă HTTP/2 este procesat chiar de Node; al treilea element are semnificația corespunzătoare numai atunci când se utilizează modelul de permisiune și se bazează pe această limită. Elementele modelului de permisiuni nu pot fi descrise toate ca rețea RCE care nu necesită autentificare. [S7](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-7) Terminarea temporară a HTTP/2 pe un proxy separat, actualizat și limitarea surselor de backend este o opțiune de implementare pentru a reduce expunerea; Cotele de resurse pot controla doar consecințele epuizării resurselor și nu pot corecta UAF. ### 3.4 octombrie React / Next.js: două articole RCE și un articol DoS #### A. RCE în RSC / `use cache` funcții care returnează matrice tastate **Data publicului: 2026-10-14; Critical, CVSS 4.0 9.5.** Identificatori oficiali de consiliere: - React：**GHSA-xqc2-xf4c-x3h3**。 - Next.js：**GHSA-673q-mjm6-r5xr**。[S9](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-9)[S10](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-10) The React Problema în amonte implică mai multe matrice tipizate combinate cu valori controlabile de atacator în RSC răspuns. Cei trei afectați `react-server-dom-*` versiunile de pachete sunt **19.0.0 — 19.0.8 , 19.1.0 — 19.1.9 , 19.2.0 — 19.2.8 , 19.3.0** ; vezi capitolul Sectiunea 2.1. Pur partea browserului React , sau aplicații care nu folosesc cadre/plug-in-uri care acceptă RSC deloc, nu intră în domeniul de aplicare al acestui articol. [S10](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-10) Next.js liste de anunțuri în aval **16.0.0—16.4.0**, revizuite în **16.4.1**; scenariul este funcțiile App Router, Cache Components și `use cache` care returnează mai multe matrice tipizate. Nu există o soluție generală oficială de încredere, iar utilizatorii versiunilor afectate trebuie să facă upgrade la timp. Nu este potrivit să te bazezi doar pe căutări manuale pentru „această funcție pare să nu existe” pentru a încheia procesarea. [S9](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-9) #### Referință: B. SVG Image Optimization RCE **CVE-2026-96889/GHSA-2464-fhr4-w9xw, 2026-10-14, Critical, CVSS 4.0 9.5. Problema** apare în biblioteca nativă din amonte utilizată pentru optimizarea imaginii. Oficialii au subliniat că riscul RCE există în scenariul **glibc Linux**. [S11](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-11) Câmpurile versiunii oficiale sunt: - `>=10.0.0 <=15.5.27`； - `>16.0.0 <=16.4.0`。 Oficialul folosește o limită inferioară strictă a `>16.0.0` pentru ramura 16.x, dar această declarație de interval nu este suficientă pentru a dovedi că 16.0.0 este sigur. Ținta actuală de actualizare este uniform **15.5.28 / 16.4.1**. [S11](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-11) Soluția oficială temporară este să vă asigurați că **Next încarcă efectiv ≥0.35.5**. Fișierele de blocare, dependențele imbricate și imaginile de implementare pot deține în continuare instanțe vechi, așa că doar adăugarea unei noi versiuni a dependenței `sharp` la nivelul superior nu este suficientă, arborele final de dependență ar trebui verificat și reconstruit. [S11](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-11) #### C. Server Actions CPU epuizat **GHSA-p3m5-59mp-jv5r , 2026-10-14, High , CVSS 4.0 8.2 .** Next afectează **13.0.0 — 15.5.27 , 16.0.0 — 16.4.0** , remedieri **15.5.28 / 16.4.1** . Conditiile sunt App Router si cel putin unul Server Action ; cererile rău intenționate pot păstra CPU ocupat mult timp, blocand cererile ulterioare in acelasi proces. Aplicatii cu Pages Router sau fără Server Actions nu sunt afectate de aceasta. [S12](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-12) Nu există o soluție oficială care să poată înlocui actualizarea. Limitele de viteză, limitele de concurență și cotele de resurse pot reduce daunele, dar nu pot fi folosite ca concluzie pentru verificarea patch-urilor. ### 3.5 Anterior Next.js în aceeași fereastră Problemă gravă Următoarele elemente sunt menite să evite implementările lipsă care sunt încă blocate în versiunile anterioare august-septembrie; nu este recomandat să treceți doar la vechile praguri de corecție din tabel acum. | Data | Identificator / scenariu | Prima reparație; actiune curenta | | ---------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------ | --------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | 2026-08-25 | GHSA-2xp9-vwfh-vxw4: AVIF bibliotecă nativă de optimizare a imaginii RCE, Critical | 15.5.24 / 16.3.3; acum 15.5.28 / 16.4.1 [S13](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-13) | | 2026-08-25 | CVE-2026-75604: RCE, Critical când Pages Router și App Router sunt utilizate simultan pe Windows, iar Cache Components nu este activat; versiunile `>=13.4.0 <15.5.24`, `>=16.0.0 <16.3.3` | 15.5.24 / 16.3.3; Linux/macOS nu sunt afectate de această problemă specifică Windows [S14](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-14) | | 2026-09-22 | GHSA-vcvr-r3jv-pc5j: calea de generare a imaginii Node în `next/og` procesează SVG, Critical neîncrezători; 16.2.0—16.3.5 | 16.3.6; implementarea Edge este în afara domeniului de aplicare al acestei probleme, iar 15.x nu este o ramură afectată pentru acest RCE [S15](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-15) | ## 4. Ecosistem Java: încrederea de rulare, containerele și cadrele sunt gestionate separat ### 4.1 JDK: CPU și CVE-2026-91403 obișnuite sunt actualizări pe două niveluri Matricea de risc Java SE pentru Oracle CPU pe 20 octombrie listează **55 noi corecții de securitate, dintre care 49 sunt marcate ca exploatabile în rețea fără autentificare**. Acest lucru nu înseamnă că există 55 Critical și nici nu înseamnă că există 49 ​​de căi RCE direct exploatabile pentru fiecare serviciu web Java; trebuie înțeles împreună cu componentele, API-urile, interacțiunile utilizatorilor și condițiile de implementare din matrice. [S16](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-16) **CVE-2026-91403 (CVSS 3.1 9.1)** de a doua zi se ocupă de un alt tip de risc: un set de CA intermediar legat de evenimentul eMudhra care nu mai este de încredere. Afectează TLS autentificarea de la egal la egal și confidențialitatea/integritatea comunicării și nu poate fi descrisă ca o vulnerabilitate de corupție a memoriei JVM. [S17](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-17) Avizul Oracle afișează versiunea lansată pe 20 octombrie ca fiind afectată, așa că trebuie instalată și actualizarea out-of-band din 21 octombrie. Consultați secțiunea 2.2 pentru versiunea specifică. GraalVM are, de asemenea, produse afectate corespunzătoare, iar versiunea fixă ​​ar trebui să fie supusă buletinului său de securitate exclusiv. [S17](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-17)[S18](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-18) **Măsuri oficiale temporare:** Mai întâi faceți o copie de rezervă, apoi eliminați certificatul rădăcină specificat din fiecare truststore utilizat efectiv: - `emSign ECC Root CA - G3`, alias Oracle `emsigneccrootcag3 [jdk]`. - `AAA Certificate Services`, alias Oracle `comodoaaaca [jdk]`. [S19](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-19) JDK 11 și mai târziu, exemplul oficial este: ```bash keytool -delete -cacerts -alias "emsigneccrootcag3 [jdk]" keytool -delete -cacerts -alias "comodoaaaca [jdk]" ``` Utilizați **keytool de la țintă JDK** pentru aceste comenzi și confirmați că acestea funcționează pe depozitul de încredere real al aplicației. Java 8 utilizează calea corespunzătoare lui `jre/lib/security/cacerts`; personalizarea depozitului de încredere trebuie gestionată separat, iar alți editori pot avea aliasuri diferite. Eliminarea certificatului rădăcină va extinde domeniul de respingere și va testa regresia lanțurilor de certificate de serviciu legitime. [S19](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-19) Oficialul oferă, de asemenea, opțiunea de a activa verificarea revocării, dar efectul depinde de implementarea efectivă a TLS, accesibilitatea serviciului de revocare și strategia de eșec. Pentru implementări generale, acordați prioritate instalării actualizărilor complete ale furnizorului pentru a evita tratarea a două switch-uri JVM ca dovadă că toate bibliotecile TLS au fost remediate. ### 4.2 Tomcat: Ocolire a autentificării și izolarea solicitărilor între utilizatori Următoarele trei articole au fost publicate pe **2026-10-20**; intrarea versiunii reparate este datată **Ooctombrie 12**. Clasa oficială a Apache este **Important**. [S21](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-21)[S22](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-22)[S23](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-23) | CVE | Versiuni afectate confirmate | Scenarii/rezultate necesare | | --------------- | ---------------------------------------------------- | ----------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | CVE-2026-101296 | 9.0.0.M1—9.0.122；10.1.0-M1—10.1.60；11.0.0-M1—11.0.26 | JNDIRealm Configurați mecanismul de autentificare SASL non-GSSAPI, verificarea acreditărilor lipsește și parolele incorecte pot trece, de asemenea | | CVE-2026-101356 | 9.0.118—9.0.122；10.1.55—10.1.60；11.0.22—11.0.26 | Gestionarea erorilor asincrone a Servletului HTTP/2 reciclează/reutilizează incorect obiectele, provocând amestecarea solicitărilor sau răspunsurilor între utilizatori | | CVE-2026-103119 | Confirmați doar **11.0.0-M25—11.0.26** | Scrierile mari AJP neblocante pot cauza o citire insuficientă a memoriei tampon, expunând datele de răspuns anterioare în solicitările ulterioare. | Remedierea corespunzătoare este **9.0.123 / 10.1.61 / 11.0.27**; AJP este listat doar ca Tomcat 11 conform anunțului și nu poate fi extins la trei filiale cu aceeași problemă. [S21](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-21)[S22](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-22)[S23](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-23) Patch-ul JNDIRealm remediază o lacună de verificare în procesul de autentificare real, unde „interfața de conectare a aplicației arată normal” nu poate fi folosită în loc de verificare. Realm, mecanismele SASL ar trebui verificate pentru configurația reală a serviciului, iar testele trebuie să eșueze pentru parolele incorecte. [S24](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-24) **Sugestii de implementare intermediară:** izolează calea de autentificare afectată; suspendarea procesării HTTP/2 a Tomcat atunci când afacerea permite; aproape inutil AJP. Numai restricționarea accesului direct la portul AJP nu poate dovedi că traficul care intră prin proxy-ul frontal legal nu va fi afectat. După actualizarea oficială, solicitările concurente asincrone de la doi utilizatori independenți ar trebui testate pentru a confirma că nu există interacțiuni între identități și răspunsuri. ### Referință: 4.3 Spring for GraphQL：CVE-2026-59285 **Data publicului: 2026-08-20; High .** afectat **2.0.0 — 2.0.4** , reparat **2.0.5 ( OSS )** sau **2.0.4.1 (suport comercial)** . [S25](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-25) Acesta este un risc nesigur de deserializare în interogările de paginare. Cerința oficială este ca următoarele condiții să fie îndeplinite în același timp: 1. Utilizați Spring for GraphQL. 2. Deserializați JSON folosind Jackson 2.x. 3. Furnizați câmpul de paginare Conexiune către lumea exterioară. 4. Calea clasei conține clase specifice care pot efectua o logică neașteptată în timpul instanțierii sau deserializării. O solicitare rău intenționată GraphQL poate provoca RCE atunci când sunt îndeplinite condițiile. Nu poate fi redus la „toate programele Java care folosesc Jackson pot fi exploatate”. [S25](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-25) **De ce 2.0.4 este insuficient:** În iunie, CVE-2026-41699 a oferit linii de bază pentru patch-uri, cum ar fi 2.0.4, iar în august anunțul a inclus clar 2.0.4 în noul domeniu de influență. Prin urmare, înregistrarea reparațiilor trebuie actualizată conform anunțurilor ulterioare, iar versiunea minimă a vechiului CVE nu poate fi utilizată. [S26](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-26) Când upgrade-ul este temporar indisponibil, câmpurile de paginare afectate accesibile apelanților neîncrezători pot fi suspendate; restrângerea tipurilor deserializabile și a căilor de clasă este o măsură aprofundată. Regresiile ar trebui să acopere cursoarele legale, rezultatele paginate și respingerile de intrare cu excepții și să verifice versiunile componentelor reale din JAR-ul final al aplicației. ### 4.4 Spring Security: CVE-2026-59270 și riscurile aferente de autentificare **CVE-2026-59270, 2026-08-20, Critical.** `UnboundIdContainer` încorporat înregistrează în mod implicit acreditările cunoscute de administrator și ascultă pe toate interfețele de rețea. Când componenta este activată și portul este accesibil, un atacator poate citi sau modifica datele directorului; proiectele care introduc în general Spring Security nu vor expune automat LDAP. [S27](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-27) Zona afectata: | ramură | afectate | Primul canal de reparare/achiziție | | --------- | ------------------------- | ---------------------------------------- | | 7.1 | 7.1.0 | 7.1.1 OSS; de asemenea comercial 7.1.0.1 | | 7.0 | 7.0.0—7.0.6 | 7.0.7 OSS; de asemenea comercial 7.0.6.1 | | 6.5 / 6.4 | 6.5.0—6.5.11；6.4.0—6.4.18 | 6.5.12/6.4.19, comercial | | 5.8 / 5.7 | 5.8.0—5.8.27；5.7.0—5.7.25 | 5.8.28/5.7.26, comercial | Sursa: [S27](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-27). Depanați configurația automată `spring.ldap.embedded.*` și codul de instanțiere directă; închideți componenta când nu este necesară pentru producție și verificați adresa reală de ascultare. Când afacerea are într-adevăr nevoie de el, mai întâi limitați sursele de apelare și apoi finalizați upgrade-ul componentei. **Problemă legată de autentificare: CVE-2026-47841 ( High ).** WebAuthn Autentificarea utilizatorului este setată la `REQUIRED` , iar după HTTP sesiunea este serializată prin stocare distribuită, compararea incorectă a identității obiectului poate invalida cerința de autentificare. Atacul necesită, de asemenea, ca atacatorul să aibă în posesia dispozitivului de autentificare a utilizatorului, nu autentificare la distanță arbitrară fără dispozitiv. Pentru versiunile afectate corespunzătoare ale 7.1 , 7.0 , 6.5 , și 6.4 , linia de bază a plasturelui este în concordanță cu aceste ramuri din tabelul de mai sus; verificarea ar trebui să acopere sesiunile între noduri și să necesite în continuare verificarea PIN/biometrică. [S28](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-28) ## 5. Ecosistem Python: interpret, bibliotecă standard, cadru și certificate ### 5.1 CVE-2026-19445: SSLContext UAF în SNI apel invers **Data publicării: 2026-09-30; PSF Nivel: Critical.** În serverul Python TLS, `sni_callback` comută conexiunea la un alt `SSLContext`, iar atunci când contextul original nu a supraviețuit, nu există nici un alt context original. Clientul TLS poate bloca serviciul sau poate apela un pointer într-un obiect eliberat. [S29](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-29) Esența este că obiectul Python este inconsecvent cu ciclul de viață de apel invers TLS. Contextul original a fost eliberat, iar stratul de bază poate păstra în continuare starea necesară pentru apel invers; patch-ul nativ al interpretului trebuie utilizat pentru a remedia ciclul de viață de referință. [S47](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-47) **Scope:** Codul Python care acționează doar ca client TLS nu este afectat de acest articol; modul normal al prizei de ascultare care ține contextul original pentru o perioadă lungă de timp nu se încadrează în calea specifică a defecțiunii descrisă în anunț. După ce Nginx termină TLS, predă doar HTTP local către Python, iar Python se ocupă direct de SNI, care este o suprafață de atac diferită. [S29](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-29) Corespunzător versiunii fixe 3.10—3.14, vezi secțiunea 2.3. Versiunea oficială a 3.15 a fost reparată, iar 3.15.1 poate fi selectat efectiv. Numai actualizarea dependenței pip nu poate înlocui implementarea `_ssl` a interpretului. [S33](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-33)[S35](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-35)[S47](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-47) **atenuare temporară oficială:** păstrează referințe puternice la toate SSLContext care au setat apelul invers SNI până la sfârșitul ciclului de viață al serverului. Aceasta trebuie să acopere crearea dinamică reală și căile de comutare; versiunea personalizată OpenSSL 1.1.1 ar trebui să verifice, de asemenea, condițiile de renegociere împreună cu înregistrarea oficială a problemei și să acorde prioritate actualizărilor complete. [S29](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-29)[S47](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-47) ### 5.2 CVE-2026-19553: flag-ul numelui de gazdă este activat, dar numele de gazdă lipsește la apelare **Data publicului: 2026-09-30; High. Când**`SSLContext.check_hostname=True`, dacă `wrap_bio()` nu este trecut în `server_hostname`, implementarea inițială poate sări peste verificarea numelui de gazdă. Verificarea reușită a lanțului de certificate nu înseamnă că și numele domeniului țintă a fost potrivit. [S30](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-30) Remedierea necesită ambii pași: - Instalați versiunea de securitate a interpretului listată în secțiunea 2.3. - Verificați `wrap_bio()`, căile `asyncio.create_connection()` / `loop.start_tls()` aferente, transmiteți în mod explicit numele de gazdă așteptat și nevid și mențineți activată verificarea certificatului. [S30](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-30) \*\*Diferențe de compatibilitate care nu pot fi omise:\*\*3.10, 3.11, 3.12 sunt pentru compatibilitate, numai `DeprecationWarning` este emis pentru unele cazuri în care lipsește numele de gazdă; 3.13 și mai târziu ridicați `ValueError`. 3.12 backport distinge, de asemenea, clar `None` de șirurile goale: este adăugat un nou avertisment pentru `None` și o eroare este încă raportată pentru șirurile goale. Prin urmare, utilizatorii cu ramuri scăzute nu pot presupune că verificarea numelui de domeniu lipsă inițial a fost restabilită automat prin simpla actualizare. [S31](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-31)[S33](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-33) Într-un mediu de testare, utilizați un certificat de lanț de încredere cu un nume de gazdă nepotrivit și confirmați că aplicația actuală TLS îl respinge. Simpla citire a valorii booleene `check_hostname` nu constituie o acceptare completă. ### 5.3 CVE-2026-82049: Ocolire combinație de legături în filtrul tarfile **Data publicului: 14-09-2026; High .** În CPython 3.13 și implementările anterioare asociate, combinația de link-uri hard și link-uri simbolice în gudron neîncrezător poate ocoli `data` / `tar` filtrul de extracție, expunând conținutul fișierelor din afara directorului de despachetare în arborele de despachetare sau modificând permisiunile și orele de modificare ale acestora. [S32](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-32) Impacturile confirmate ale acestei vulnerabilități includ expunerea conținutului fișierului și modificarea metadatelor; Numai aceste impacturi nu sunt suficiente pentru a demonstra suprascrierea arbitrară a conținutului fișierului extern sau implementarea necondiționată a RCE. Pentru liniile de bază ale plasturelui corespunzătoare 3.10 — 3.13 , vezi Secțiunea 2.3. **Python 3.14 a fost exceptat de la această problemă specifică din cauza `os.link()` comportamentul se schimbă de atunci 3.14.0b1** , deci domeniul de aplicare afectat al 3.10 — 3.13 ramura de mai sus nu se aplică. [S33](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-33) **Măsuri temporare și aprofundate:** suspendă extragerea automată a arhivelor nesigure; utilizați procese izolate ale lucrătorilor cu privilegii reduse și noi directoare exclusive atunci când afacerea trebuie procesată, refuzați legăturile simbolice, legăturile rigide și intrările de dispozitiv de către companie și limitați numărul de fișiere și resurse de decompresie. Acestea sunt recomandări de implementare. `filter="data"` este mai potrivit pentru arhivele generale neîncrezătoare decât strategia de încredere completă, dar filtrul în sine de pe versiunea veche are și această vulnerabilitate, iar adăugarea acestui parametru nu poate înlocui actualizarea. De asemenea, filtrul nu este un sandbox complet al sistemului de fișiere. [S32](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-32)[S45](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-45) ### 5.4 Risc suplimentar: CVE-2026-114583 (Medium) și starea eliberării patch-urilor PSF a dezvăluit în **2026-10-22** că procesarea de către `tarfile.tar_filter` a numelor de link-uri specifice poate fi ocolită, permițând membrilor următori să scrie în afara directorului de despachetare, cu un nivel de **Medium**. Remedierea oficială PR a fost fuzionată în acea zi; din 23 octombrie 2026, nicio versiune oficială de întreținere care să conțină acest commit nu a fost confirmată. [S40](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-40) Prin urmare: - Acest articol este listat separat ca Medium. - Versiunile pentru interpret lansate pe 21 octombrie nu pot fi considerate ca au inclus această remediere. - Procesul care încă folosește `filter="tar"` pentru a gestiona arhivele care nu sunt de încredere ar trebui să urmărească backport-ul de lansare; izolați sau suspendați această cale de procesare pentru o perioadă scurtă de timp. Când treceți la `data` și respingeți legăturile, trebuie, de asemenea, să confirmați că îndeplinește cerințele de afaceri, iar schimbarea filtrului nu poate fi descrisă ca un sandbox necondiționat. ### 5.5 GeoDjango: CVE-2026-15307 și remedieri ulterioare în octombrie **2026-08-04, Django oficial High.** interogarea spațială trece implicit anumite șiruri/dicționare către `GDALRaster`, iar driverul poate cere să scrie fișiere sau să inițieze rețeaua; RCE poate fi format atunci când există căi specifice și condiții de execuție ulterioare. Personalul cu permisiuni de vizualizare a modelului de câmp spațial poate accesa această cale și prin lista de modificări de administrator. [S38](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-38) Remedierea inițială este **5.2.17 / 6.0.8**, care restricționează tipurile de intrare acceptate de căutările spațiale. Această modificare poate afecta activitatea inițială de utilizare a șirului de caractere/dicționar pentru a exprima raster; Pur și simplu includerea unei intrări neîncrezătoare în GDALRaster nu înseamnă verificarea acesteia. [S38](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-38) Pe 6 octombrie, **CVE-2026-87890 (Moderat)** a fost reparat: VRT exprimat în octeți poate face referire la resurse externe și încă declanșează solicitări de rețea; în aceeași zi, a fost consolidată și protecția cu geometrie imbricată DoS a CVE-2026-15830. Ultimele două nu pot fi actualizate pentru a descrie noul RCE cu risc ridicat, dar indică faptul că linia de bază pentru implementare ar trebui să fie **5.2.18 / 6.0.9 / 6.1.2**. [S39](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-39) Implementarea verifică cele două puncte de intrare ale interfeței API și de administrare, restricționează căutarea spațială neîncrezătoare, permisiunile de scriere a fișierelor și accesul de ieșire; după actualizare, testează regresie interogări spațiale valide și respinge intrarea interzisă. Aplicațiile obișnuite Django care nu folosesc GeoDjango nu ar trebui să aplice direct această concluzie RCE. ### 5.6 certifi / pip: Certificatul de încredere trebuie să acopere fiecare copie **GHSA-6q48-6c7w-9gw2 , 2026-10-20, Critical , cunoscut CVE nu sunt enumerate.** Aceasta este actualizarea de neîncredere a certificatului cauzată de eMudhra intermediar CA incident. Nu poate fi rezumat ca mecanism de criptare al HTTPS sau că toate certificatele rădăcină au fost sparte. [S36](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-36) Avizul certifi a enumerat inițial **2026.10.18** ca patch; Ulterior, PSF a recomandat în mod explicit **2026.10.19** pentru a păstra compatibilitatea cu certificatele rădăcină neafectate. Linia de bază operațională este .19. [S36](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-36)[S37](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-37) Trebuie să distingem: | Aveți încredere în locația materialului | De ce trebuie să verificați separat | | ---------------------------------------------- | -------------------------------------------------------------------------------------- | | Sistem de operare pachet CA | Material de încredere în sistem pentru imagine sau gazdă | | certifi în venv | CA bundle folosit efectiv de aplicații sau solicitări etc. | | pip certifi încorporat | Este o copie diferită de cea a certifi instalată extern | | uv / Alte instrumente de ambalare | Urmați actualizările proprii ale instrumentului și sursele de încredere | | Fișiere personalizate CA, instantanee ambalate | Poate continua să suprascrie sursele implicite de încredere pentru sisteme sau pachete | Cele de mai sus este o listă de verificare bazată pe diferite locații de ambalare. PSF necesită actualizarea instrumentelor aferente, mediilor virtuale existente și reconstruirea imaginii; doar actualizarea gazdei CA sau reinstalarea interpretului nu poate dovedi că toate copiile au fost reîmprospătate. [S35](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-35)[S37](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-37) Când faceți upgrade de la vechiul bootstrap securizat pip, PSF furnizează comenzile pentru **roata fixă și SHA-256**, consultați anexa S37. Nu dezactivați verificarea TLS și nu adăugați `--trusted-host` pentru a ocoli problemele legate de certificat. ## 6. Procesul formal de remediere Următoarele comenzi sunt pentru medii de încredere confirmate. La executare, managerul de pachete existent, fișierul de blocare și procesul de implementare al proiectului ar trebui să fie combinate pentru a evita amestecarea npm/pnpm/yarn sau pip/uv/Poetry pentru a genera fișiere de blocare conflictuale. **Gestionați mai întâi o excepție:** Dacă bănuiți că mediul a rulat pachetul compromis din Secțiunea 9, izolați-l mai întâi și verificați discul, blocați fișierul și înregistrarea imaginii dintr-un mediu curat; nu rulați mai întâi următoarea comandă Python/pip. [S41](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-41) ### 6.1 Stabiliți un registru care poate corespunde traficului real Fiecare serviciu înregistrează cel puțin: - Punct de intrare extern, proxy invers, cale de conectare directă la site-ul de origine și coadă de fundal/tascini programate. - Comanda de pornire reală, contul de rulare, calea binară, procesul sau identitatea containerului. - Versiune completă pentru runtime, editor/repozitiv, versiune completă a pachetului sau rezumat de imagini. - Dependențe cadru și tranzitive, fișiere de blocare, biblioteci native și căi pentru depozitele de încredere. - Corespunzător dacă condiția de vulnerabilitate există, ținta patch-ului, domeniul de aplicare a repornirii, persoana responsabilă și rezultatul verificării. Mașinile de dezvoltare, runnerele CI, containerele de construcție și sarcinile de fundal ar trebui, de asemenea, verificate în funcție de căile lor către conținut neîncrezat; nu actualizați doar containerul web destinat publicului. ### 6.2 Node.js: stabiliți mai întâi timpul de rulare, apoi actualizați dependențele aplicației Verificați în mediul de service real: ```bash node -p 'JSON.stringify({execPath:process.execPath,node:process.version,openssl:process.versions.openssl,brotli:process.versions.brotli},null,2)' npm ls next react react-dom react-server-dom-webpack react-server-dom-parcel react-server-dom-turbopack sharp --all npm audit --omit=dev ``` `node -p` ar trebui să fie executat folosind executabilul real al serviciului sau într-un container real; verifică procesele nou lansate și nu dovedește ea însăși că vechiul lucrător a fost înlocuit. Node poate adăuga patch-ul la Brotli încorporat, păstrând în același timp șirul original al versiunii bibliotecii. Prin urmare, nu vă bazați exclusiv pe `process.versions.brotli` pentru a determina dacă a fost reparat. Ar trebui să-l combinați cu versiunea de securitate Node sau cu dovezile de backport ale furnizorului. [S2](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-2)[S4](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-4) `npm ls` este folosit pentru a vedea arborele de dependență real; pachetele lipsă sau conflictele între egali pot produce, de asemenea, coduri de ieșire diferite de zero, așa că ar trebui să citiți rezultatul specific. `npm audit` este folosit ca ajutor pentru verificarea dependenței și nu poate înlocui verificarea binară și nativă a bibliotecii Node. Utilizați **mise pentru a gestiona mediul Node 24**, care poate fi actualizat după cum urmează: ```bash mise use -g node@24.22.1 mise exec node@24.22.1 -- node -p 'process.version + " " + process.execPath' ``` `mise use -g` configurează versiunea globală; configurația locală a proiectului trebuie încă verificată separat. Dacă serviciul a remediat vechea cale absolută, imaginea de bază a containerului sau mediul unui cont diferit, configurația corespunzătoare trebuie actualizată și serviciul trebuie repornit. Comanda în sine nu înlocuiește un proces vechi care rulează. [S43](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-43) În proiectul Next, executați comanda corespunzătoare în funcție de ramura selectată. Pentru Next 15: ```bash # Next 15 分支 npm install --save-exact next@15.5.28 ``` Pentru Next 16: ```bash # Next 16 分支 npm install --save-exact next@16.4.1 ``` Verificați dependențele compatibile cu React/RSC, fișierele de blocare și instanța finală sharp, apoi creați conform procesului proiectului. Utilizați fișierul de blocare actualizat în CI pentru o instalare reproductibilă și verificați versiunea din imaginea care rulează după creare. Nu utilizați repararea automată necontrolată în versiunile majore ca soluție implicită pentru această urgență. ### 6.3 Java: Verificați editorul, JVM real și componentele încorporate Inventarul preliminar: ```bash java -XshowSettings:properties -version ``` `java.home`, `java.runtime.version` și editorul din ieșire ar trebui să fie aliniate cu JVM utilizat efectiv de serviciu. Pentru JVM cu permisiune de atașare, `jcmd` de JDK poate fi folosit pentru a verifica procesul țintă, nu doar shell-ul de conectare. Verificați dependențele din proiectele de încredere și selectați pe baza instrumentelor de construcție reale: ```bash ./mvnw dependency:tree '-Dincludes=org.apache.tomcat.embed:*,org.springframework.security:*,org.springframework.graphql:*' ./gradlew dependencyInsight --dependency tomcat-embed-core --configuration runtimeClasspath ./gradlew dependencyInsight --dependency spring-security-core --configuration runtimeClasspath ./gradlew dependencyInsight --dependency spring-graphql --configuration runtimeClasspath ``` Aceste comenzi de compilare pot executa plug-in-uri și rezolva dependențe online și rulează numai pe proiecte de încredere. Verificați JAR-ul/războiul final sau JAR-ul real din imagine și nu înlocuiți declarațiile fișierului de compilare cu artefactul final. Spring Boot încorporat Tomcat necesită reconstruirea aplicației; actualizarea unei instalări Tomcat separată în sistem nu va modifica copia din pachetul aplicației. După ce timpul de execuție este actualizat, verificați `javax.net.ssl.trustStore` personalizat, KeyStore auto-încărcat de aplicație, runtime jlink, GraalVM/imagine nativă și alte formulare de livrare articol cu articol. Aplicațiile care au deja materiale de încredere personalizate nu pot încheia verificarea doar pentru că directorul JDK devine nou. ### 6.4 Python: Procesare interpret cu interpret și mediu virtual În cadrul venv/containerului efectiv confirmat a fi de încredere: ```bash python - <<'PY' import sys import ssl import importlib.metadata as metadata print("executable:", sys.executable) print("version:", sys.version) print("openssl:", ssl.OPENSSL_VERSION) print("verify_paths:", ssl.get_default_verify_paths()) for name in ("pip", "certifi", "Django", "urllib3", "Brotli", "litellm"): try: print(name + ":", metadata.version(name)) except metadata.PackageNotFoundError: print(name + ": not installed") PY python -m pip --version python -m pip check ``` Acest script colectează doar informații și nu efectuează determinarea calificării versiunii. `ssl.get_default_verify_paths()` este informația implicită de cale și nu poate dovedi că toți clienții terți folosesc același depozit de încredere; ar trebui confirmat pe baza configurației aplicației. După finalizarea upgrade-ului de pornire de încredere pip a anexei S37, actualizați dependențele de certificat în funcție de constrângerile proiectului, de exemplu: ```bash python -m pip install --upgrade 'certifi>=2026.10.19' # 仅适用于当前就选择 Django 5.2 的项目 python -m pip install --upgrade 'Django>=5.2.18,<5.3' python -m pip check ``` Cerințele proiectului/fișierul de blocare trebuie să fie actualizat în același timp, altfel următoarea implementare poate reveni la versiunea veche. Când utilizați uv, Poetry sau un depozit de pachete pentru întreprinderi, utilizați procesele de blocare și publicare existente; nu modificați manual pachetele doar într-un container de producție. Fluxul de lucru `pip-audit` existent al proiectului poate fi utilizat pentru a verifica vulnerabilitățile de dependență cunoscute într-un mediu de încredere; nu este un scanner de cod rău intenționat și nu acoperă toate riscurile legate de interpret, bibliotecă de sistem și depozit de încredere. [S44](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-44) **INu este recomandat să forțați sistemul `/usr/bin/python3` să trimită către o nouă versiune compilată.** Utilizați actualizări de securitate pentru lansare sau timpii de execuție de izolare a proiectelor pentru a evita distrugerea instrumentelor de management care se bazează pe sistemul Python. Aceasta este o alegere de implementare și nu este o cerință suplimentară de remediere pentru această vulnerabilitate. ### 6.5 Reconstruiți și înlocuiți instanța care rulează Se recomandă ca următorii pași să fie luați ca schimbare completă: 1. Obțineți patch-ul de la sursa originală de încredere și salvați versiunea/hash și blocarea dependenței. 2. Returnați funcțiile cheie într-un mediu aproape de producție și confirmați că extensiile native sunt compatibile cu JVM/framework. 3. Actualizați timpul de execuție, dependențele aplicației și magazinul de încredere real; reîmprospătați imaginea de bază și sistemul CA pentru container, nu reutilizați doar stratul vechi. 4. Reconstruiți aplicațiile și imaginile și înlocuiți instanțe de serviciu, lucrător, consumator de coadă și sarcini programate în mod continuu. 5. Verificați din nou versiunea și configurația în noua instanță care rulează și confirmați că toate copiile vechi au ieșit. 6. Observați ratele de eroare, latența, CPU/memorie, eșecurile de strângere de mână TLS și blocările procesului. Rollback-ul ar trebui să acorde prioritate păstrării timpului de execuție în siguranță și dependențelor de corecție și refacerii configurației aplicației sau modificărilor de afaceri. Dacă trebuie să reveniți la un produs vechi cu vulnerabilități, restricțiile de intrare corespunzătoare ar trebui restaurate simultan, iar persoana responsabilă și perioada minimă de recuperare ar trebui să fie clar definite. ## 7. Atenuare temporară și selectare a patch-urilor ### 7.1 Limita de acoperire a măsurilor temporare Următoarele sunt sugestii de implementare bazate pe condițiile de utilizare anunțate. Dacă nu este menționat planul oficial, vânzătorul nu garantează că toate variantele pot fi blocate complet. | risc | Măsuri temporare care pot fi luate | Partea care nu poate fi considerată finalizată pe baza acestui fapt | | ------------------------------------ | --------------------------------------------------------------------------------------------------------------------------------------- | --------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | Brotli decodare | Opriți decodificarea intrărilor nesigure; verificați decompresia automată la intrare și la ieșire | WAF de intrare sau dezactivarea compresiei răspunsului nu acoperă toate intrările de decodare [S3](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-3) | | Next.js typed arrays RCE | Upgrade imediat; izolați temporar serviciile afectate, dacă este necesar | Nu există o soluție universală oficială de încredere [S9](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-9) | | Next.js SVG RCE | Plan oficial: asigurați ascuțitul real ≥0.35.5; suspendă punctele de intrare relevante pentru optimizare atunci când afacerea o permite | Nu acoperă alte probleme Next/RSC [S11](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-11) | | Tomcat Tărâm / HTTP/2 / AJP | Izolați calea corespunzătoare și închideți conectorii care nu sunt necesari | Încă mai am nevoie de pachetul de reparații corespunzător [S21](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-21)[S22](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-22)[S23](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-23) | | GraphQL Deserializare | Suspendați câmpurile de conexiune afectate; restricționați apelanții neîncrezători | Numai limita de lungime a cererii nu poate remedia problema de tip/deserializare [S25](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-25) | | Spring embedded LDAP | Dezactivați atunci când nu este necesar; limitați raza de acțiune a portului real de ascultare | Identitatea administrativă implicită și integritatea directorului trebuie încă verificate [S27](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-27) | | CPython SNI UAF | Plan oficial: păstrați referința solidă SSLContext relevantă până la sfârșitul serviciului | Toate căile de creare/schimbare trebuie acoperite [S29](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-29) | | Python ignorați numele gazdei | Soluție oficială: transmiteți corect server\_hostname așteptat | Nu se poate verifica doar marca check\_hostname sau ignora avertismentul [S30](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-30)[S31](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-31) | | Gudron nedemn de încredere | Dezactivați/carantină extragerea, respingeți linkurile neesențiale și intrările de dispozitiv | Nici filtrele, nici cotele de resurse nu sunt sandbox-uri universale [S32](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-32)[S40](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-40)[S45](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-45) | | Eveniment de încredere în certificat | Actualizați materialul corect CA; Încrederea Java poate fi restricționată în funcție de atenuarea oficială | Dezactivarea verificării TLS crește riscul [S19](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-19)[S37](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-37) | ### 7.2 Selectați plasturele pe baza metodei de livrare | Metoda de livrare | Prioritizează metodele de reparație | Dovezi care ar trebui păstrate | | --------------------------------- | ---------------------------------------------------------------------------------------------------- | ------------------------------------------------------------------------------------------------ | | Runtime gestionate de distribuție | Actualizările de securitate corespunzătoare ale producătorului | Versiune pachet complet, anunț, sursă de depozit | | Manager oficial de binar/runtime | Comunicare oficială de securitate din aceeași sucursală | Versiune, sursă și rezumat, calea reală de execuție | | Autocompilat Node / CPython | Versiunea sursă oficială a sucursalei corespunzătoare sau setul complet de corecții ale furnizorului | Setul de angajări, parametrii de construcție, bibliotecile dependente și rezultatele regresiei | | Spring / Next / Django | Compatibil cu actualizările din ramură, reconstruirea blocărilor de dependență și aplicațiile finale | Arborele de dependență final, versiunea actuală în JAR/pachet/imagine | | Magazin de încredere personalizat | Planul oficial de retragere sau actualizarea furnizorului care confirmă retragerea | Calea de utilizare reală, schimbarea materialului, testele de succes și respingere TLS | | Un mediu compromis | Reconstruiți din produse curate și de încredere și efectuați investigații separate ale incidentelor | Pachetul istoric/rezumat imagini, înregistrarea instalării, înregistrarea rotației acreditărilor | ### 7.3 Mecanismul de corecție a cheii și focus de revizuire - **Brotli:** acordă atenție dacă verificarea limitei și returnarea erorii a stării de decodare nativă sunt complete înainte de a intra în construcție; doar înlocuirea pachetului JavaScript nu poate schimba codul compilat static în Node. [S4](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-4) - **Node DNS / TLS :** se concentrează pe respingerea intrărilor, normalizarea adresei, distincția între IP SAN și DNS identități și DNS callback/Promise Calea de analiză și TLS test de potrivire a numelui de gazdă. [S5](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-5) [S6](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-6) - **Tomcat JNDIRealm:** se concentrează pe dacă procesul de autentificare verifică de fapt acreditările, mai degrabă decât doar obținerea unui context de director; prioritizarea versiunii oficiale și nu tratarea unei singure înlocuiri de fișier sursă ca pe un patch binar complet. [S24](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-24) - **CPython ssl:** se concentrează pe proprietatea de referință Python și pe ciclul de viață al SSLContext de bază; `wrap_bio()` face backporturi având diferențe de compatibilitate cu ramurile și trebuie să citiți implementarea efectivă a ramurilor utilizate. [S31](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-31)[S47](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-47) - **Neîncredere în certificat:** Astfel de actualizări pot apărea ca materiale de încredere sau pot respinge modificările listei, mai degrabă decât modificări evidente ale API. Același lot de Node include și mecanismul de respingere al intermediarului afectat CA; sursele de încredere respective ale Java și Python trebuie încă verificate separat. [S19](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-19)[S37](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-37)[S46](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-46) **Independent Brotli trebuie verificată și legarea.** Google a fost lansat **1.0.10 / 1.1.1 / 1.2.1** în aceeași zi pentru a repara CVE-2026-111497 . Python Extensiile native sau artefactele JNI care încorporează aceeași implementare C afectată trebuie să fie actualizate/reconstruite în mod independent; nu se poate deduce că totul pur Java decodoarele sunt afectate și nici nu se poate presupune că modernizarea Node înlocuiește automat copiile în alte limbi. [S42](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-42) ## 8. Verificare și verificări ulterioare ### 8.1 Lista de verificare minimă | Verificați articolele | Dovezi necesare | | ----------------------------- | ---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | timpul de rulare | Versiunea completă sau dovezile backport ale furnizorului sunt corecte în procesul/containerul real | | dependențe de aplicație | Next/RSC/sharp, Tomcat/Spring și Django/certifi în implementarea finală, produsele au atins pragul corespunzător | | Interval de înlocuire | Toate copiile lucrător/JVM/container și sarcinile de fundal au fost înlocuite cu altele noi, iar instanțele vechi au părăsit. | | TLS | Certificatele de domeniu valide reușesc; numele de gazdă nepotrivite și lanțurile invalide eșuează conform politicii; sunt incluse magazine personalizate de încredere | | eMudhra neîncredere | Lanțul de certificate construit de intermediarul afectat CA a fost respins în timpul rulării efective sau există dovezi că a fost implementată lista de respingere corespunzătoare a securității de construire a furnizorului specific; cazul nu poate fi închis pe baza testului general TLS sau a numărului de versiune scurtă Java 8. | | Node decodare și imagini | Sunt disponibile funcții normale de răspuns comprimat, încărcare, optimizare a imaginii și RSC; politica surselor nesigure este în vigoare | | Java Autentificare și izolare | Parola greșită a fost respinsă; solicitări asincrone concurente ale utilizatorului independent fără amestecare identitate/răspuns; LDAP ascultați conform așteptărilor | | Python SNI / Arhivă | Numele normal de mai multe domenii TLS afacerea este stabilă; arhivarea respinge traversarea căii și legăturile interzise, iar fișierele din afara directorului nu sunt modificate | | Date și regresie funcțională | Paginare, interogare spațială, verificare a permisiunilor și sarcini de fundal au trecut testele existente ale proiectului | | Resurse și observații | Nu există o creștere anormală a erorilor CPU, memorie, rata de eroare, latență și TLS. | | Trasabilitate | Economisiți timp de actualizare, rezumat pachet/imagine, modificări de configurare, rezultate de verificare și elemente nerezolvate | Acestea sunt recomandări de acceptare a implementării și nu necesită ca un script de atac să fie produs pentru fiecare CVE. Verificarea care implică blocări, epuizarea resurselor și arhivarea în afara limitelor ar trebui să utilizeze teste de regresie în amonte sau date de testare controlate de proiect într-un mediu izolat. ### 8.2 Cortificarea și investigarea intruziunilor sunt sarcini diferite Verificați jurnalele existente pentru erori de decodare neobișnuite, blocări ale lucrătorului/JVM, scrieri de fișiere suspecte, modificări ale datelor din director, excepții de autentificare, solicitări de ieșire și înregistrări de utilizare a acreditărilor. Aceste semne trebuie judecate în context: o prăbușire sau OOM nu este o dovadă a exploatării cu succes; absența alertelor nu dovedește că un sistem a fost neafectat. Când sunt descoperite modificări neautorizate, acreditări compromise sau dependențe rău intenționate confirmate, dovezile trebuie păstrate, instanțele relevante izolate, acreditările afectate rotite dintr-un mediu de încredere și sistemul reconstruit. Patch-ul nu va revoca jetoanele care au fost obținute de atacator și nici nu va restaura datele care au fost modificate. ## 9. Incident de securitate a lanțului de aprovizionare: compromis LiteLLM 1.107.0 \*\*Data oficială a confirmării: 2026-10-21.\*\*LiteLLM a raportat că conducta de lansare a fost compromisă. **litellm==1.107.0** de la PyPI și unele produse Docker/GHCR din aceeași perioadă conțineau cod rău intenționat de furt secret și control de la distanță, iar produsele aferente au fost retrase. [S41](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-41) Pentru a determina impactul, ar trebui să verificați înregistrările istorice ale instalării și rezumatul imaginilor; etichete precum `latest`, `main-latest` și `main-stable` indică acum imagini curate, ceea ce nu dovedește că produsele scoase la momentul incidentului erau curate. Recomandarea oficială la acel moment era să fixați temporar **1.106.2**; această recomandare s-a bazat pe acest incident, iar alte anunțuri de securitate mai trebuie verificate în timpul implementării. [S41](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-41) Pentru mediile în care au fost instalate sau rulate produse înrudite: 1. Izolați și păstrați înregistrările, imaginile și jurnalele de instalare și inspectați-le dintr-un mediu curat. 2. **Nu porniți Python/pip** mai întâi într-un mediu suspect; `.pth` / `sitecustomize.py` rău intenționat poate fi executat din nou după pornire. 3. Reconstruiți gazde, venvs/containere din surse de încredere; nu pot doar dezinstala sau downgrade pachete. 4. Revocați/rotiți acreditările cloud, cheile furnizorului LLM, cheile LiteLLM și acreditările bazei de date pe baza accesibilității reale și examinați utilizarea anormală. [S41](https://keendigit.com/ro/insights/node-java-python-security-remediation-guide#source-41) Acesta este un incident confirmat în lanțul de aprovizionare și necesită luarea în considerare a execuției de cod rău intenționat, scurgerea acreditărilor și riscurile de persistență atunci când se ocupă de acesta. Începând cu 23 octombrie 2026, oficialii încă investigau intruziunea inițială. ## Anexă: Surse și link-uri citate Următoarea dată de verificare a sursei este **2026-10-23**, inclusiv anunțul oficial de securitate al proiectului, depozitul oficial de coduri și instrucțiunile furnizorului. Textul principal \[Sx] corespunde acestui apendice; atunci când efectuați actualizări, ar trebui să verificați dacă furnizorul a lansat revizuirile ulterioare. ### S1 — Node.js: 2026-10-21 Notă de securitate - Scop: Patru timpi de execuție High, care afectează ramurile, lansarea de securitate din octombrie. - Referință: [Buletinul Oficial de Securitate](https://nodejs.org/en/blog/vulnerability/october-2026-security-releases) ### S2 — Node.js: Instrucțiuni oficiale de lansare pentru trei linii de întreținere - Scop: Verificați 22.23.4, 24.22.1, 26.12.1 și patch-urile îmbinate. - Referință: [Node.js 22.23.4](https://nodejs.org/en/blog/release/v22.23.4/) - Referință: [Node.js 24.22.1](https://nodejs.org/en/blog/release/v24.22.1/) - Referință: [Node.js 26.12.1](https://nodejs.org/en/blog/release/v26.12.1/) ### S3 — Vercel: Node.js Brotli RCE aviz de securitate - Scop: Condiții de decodare de intrare/ieșire, limita de acoperire WAF, starea Node 20. - Referință: [Node.js security advisory: Brotli decoder RCE](https://vercel.com/kb/bulletin/node-js-security-advisory) ### S4 — Node.js: Brotli trimitere de corecție oficială - Scop: Baza de implementare pentru verificarea decodării native și propagarea erorilor. - Referință: [Brotli Patch commit 49dff6f57a](https://github.com/nodejs/node/commit/49dff6f57a) ### S5 — Node.js: TLS corecție de normalizare a adresei - Scop: verificarea identității certificatului de numere cu lățime completă și IP non-standard. - Referință: [IP normalization regression Patch](https://github.com/nodejs/node/commit/935918e342) - Referință: [respinge corecția adresei non-standard IP](https://github.com/nodejs/node/commit/de49c913f2) ### S6 — Node.js: DNS NUL corecție de verificare - Scop: respingerea intrării și acoperirea regresiei. - Referință: [dns.resolve Patch de verificare a intrării](https://github.com/nodejs/node/commit/843a1627dc) ### S7 — Node.js: 2026-07-29 Notificare de securitate - Scop: epuizarea memoriei HTTP/2, vulnerabilitățile UAF și modelul de permisiuni. - Referință: [July 2026 Security Releases](https://nodejs.org/en/blog/vulnerability/july-2026-security-releases) ### S8 — Next.js: actualizare de securitate 2026-10-14 - Scop: Unificați nivelul de bază al actualizării și trei riscuri cheie. - Referință: [Next.js Security Update for Upstream Vulnerabilities](https://nextjs.org/blog/nextjs-security-update-october-14-2026) ### Referință: S9 — Next.js：typed arrays / use cache RCE - Scop: GHSA-673q-mjm6-r5xr; afectează intervalul, condiția, scorul și starea soluției. - Referință: [Next.js Buletinul Oficial de Securitate](https://github.com/vercel/next.js/security/advisories/GHSA-673q-mjm6-r5xr) ### Referință: S10 — React：React Server Components RCE - Scop: GHSA-xqc2-xf4c-x3h3; versiunile afectate și remediate ale a trei pachete RSC. - Referință: [React Buletinul Oficial de Securitate](https://github.com/react/react/security/advisories/GHSA-xqc2-xf4c-x3h3) ### Referință: S11 — Next.js：SVG Image Optimization RCE - Scop: CVE-2026-96889 / GHSA-2464-fhr4-w9xw; limitele versiunii glibc, ascuțite și originale. - Referință: [SVG Optimizarea imaginii Buletinul oficial de securitate](https://github.com/vercel/next.js/security/advisories/GHSA-2464-fhr4-w9xw) ### Referință: S12 — Next.js：Server Actions DoS - Scop: GHSA-p3m5-59mp-jv5r; afectează condițiile, versiunile și evaluările. - Referință: [Server Actions DoS Buletinul Oficial de Securitate](https://github.com/vercel/next.js/security/advisories/GHSA-p3m5-59mp-jv5r) ### S13 — Next.js: AVIF Optimizare imagine RCE - Scop: 2026-08-25, GHSA-2xp9-vwfh-vxw4. - Referință: [AVIF Buletinul Oficial de Securitate](https://github.com/vercel/next.js/security/advisories/GHSA-2xp9-vwfh-vxw4) ### Referință: S14 — Next.js：Windows RCE - Scop: 2026-08-25, CVE-2026-75604/GHSA-p293-qw3h-jr36. - Referință: [Windows RCE Buletinul Oficial de Securitate](https://github.com/vercel/next.js/security/advisories/GHSA-p293-qw3h-jr36) ### Referință: S15 — Next.js：next/og ImageResponse RCE - Scop: 2026-09-22, GHSA-vcvr-r3jv-pc5j; Diferența dintre Node și Edge. - Referință: [ImageResponse Buletinul Oficial de Securitate](https://github.com/vercel/next.js/security/advisories/GHSA-vcvr-r3jv-pc5j) - Referință: [Note de lansare pentru 22 septembrie](https://nextjs.org/blog/nextjs-security-update-september-22-2026) ### Referință: S16 — Oracle: October 2026 CPU - Scop: matrice de risc Java SE, cantitatea de plasture și condițiile aplicabile. - Referință: [Oracle Critical Patch Update – October 2026](https://www.oracle.com/security-alerts/cpuoct2026.html) - Referință: [Oracle Java SE CPU Lista de versiuni](https://docs.oracle.com/en-us/iaas/releasenotes/java-management/jdk-cpu-october-2026.htm) ### S17 — Oracle: CVE-2026-91403 alarmă în afara benzii - Scop: 2026-10-21, JSSE certificat de risc de încredere, produse afectate și CVSS 3.1 9.1. - Referință: [Oracle Security Alert](https://www.oracle.com/security-alerts/alert-cve-2026-91403.html) ### S18 — Oracle: JDK versiune oficială și descărcare - Scop: Se face distincția între CPU pe 20 octombrie și versiunea în afara bandă pe 21 octombrie; distingeți limitările versiunii scurte a Java 8. - Referință: [JDK release list](https://ops.java/releases/) - Referință: [Oracle Java Descărcați pagina](https://www.oracle.com/java/technologies/downloads/) ### S19 — Oracle: eMudhra plan de retragere temporară - Scop: Actualizat 2026-10-22; două certificate rădăcină, keytool, truststore personalizat și verificarea revocării. - Referință: [Distrusting eMudhra Intermediate Certificates in Oracle JDK](https://ops.java/emudhra) ### S20 — Eclipse Adoptium: Lansați înregistrarea versiunii - Scop: Temurin este reambalat din cauza incidentului certificatului; sufixul versiunii Oracle nu poate fi aplicat mecanic. - Referință: [Adoptium Release Scorecards](https://github.com/adoptium/adoptium/wiki/Adoptium-Release-Scorecards) ### S21 — Apache Tomcat 9 Notă de securitate - Scop: interval exact afectat de 9 ramuri cu remedierea 9.0.123. - Referință: [Tomcat 9 vulnerabilities](https://tomcat.apache.org/security-9.html) ### S22 — Apache Tomcat 10 Notă de securitate - Scop: 10.1 ramificare interval precis și reparare 10.1.61; 10.0 EOL. - Referință: [Tomcat 10 vulnerabilities](https://tomcat.apache.org/security-10.html) ### S23 — Apache Tomcat 11 Notă de securitate - Scop: trei articole Important, 11.0.27, AJP domeniul de aplicare și data dezvăluirii/lansării. - Referință: [Tomcat 11 vulnerabilities](https://tomcat.apache.org/security-11.html) ### Referință: S24 — Apache Tomcat: JNDIRealm patch commit - Scop: Baza formală pentru repararea lacunelor de verificare a certificării. - Referință: [JNDIRealm Patch commit](https://github.com/apache/tomcat/commit/e43453fc04abb44f64faf571ca98af71aa3c20a1) ### Referință: S25 — Spring：GraphQL CVE-2026-59285 - Scop: 2026-08-20, Obligatoriu, 2.0.5 OSS / 2.0.4.1 Reparație comercială. - Referință: [Spring for GraphQL Unsafe Deserialization](https://spring.io/security/cve-2026-59285/) ### Referință: S26 — Spring：GraphQL CVE-2026-41699 - Scop: un prag de remediere anterior, doar pentru a explica de ce nu puteți rămâne la linia de bază veche. - Referință: [6 luni GraphQL Buletin de securitate](https://spring.io/security/cve-2026-41699/) ### Referință: S27 — Spring Security：CVE-2026-59270 - Scop: Încorporați UnboundID LDAP, identitate de management cunoscută și distingeți OSS/versiunea comercială. - Referință: [Spring embedded LDAP Buletin de securitate](https://spring.io/security/cve-2026-59270/) ### Referință: S28 — Spring Security：CVE-2026-47841 - Scop: autentificarea utilizatorului WebAuthn, serializarea sesiunii și premisa atacului. - Referință: [WebAuthn Buletin de securitate](https://spring.io/security/cve-2026-47841/) ### S29 — PSF: CVE-2026-19445 Aviz independent de securitate - Scop: 2026-09-30, Critical, SNI Condiții și măsuri temporare citate de SSLContext. - Referință: [SSLContext UAF Anunț oficial](https://mail.python.org/archives/list/security-announce@python.org/thread/QMQIUQB6WGGC3MI7I3WKQXOYOBDSPPS3/) ### S30 — PSF: CVE-2026-19553 Aviz independent de securitate - Scop: 2026-09-30, High, lipsește numele de gazdă și atenuarea explicită a parametrilor. - Referință: [wrap\_bio Anunț oficial privind verificarea numelui gazdei](https://mail.python.org/archives/list/security-announce@python.org/thread/QNZRG3YOAMTHDCMVCICXGY6YEFPY2VDL/) ### S31 — CPython: patch oficial wrap\_bio și backport 3.12 - Scop: 3.10—Politica de compatibilitate a avertismentelor 3.12, diferența dintre None și șirul gol. - Referință: [Patch principal PR #158503](https://github.com/python/cpython/pull/158503) - Referință: [3.12 Umplere PR #158513](https://github.com/python/cpython/pull/158513) - Referință: [3.15 Umplere PR #158511](https://github.com/python/cpython/pull/158511) ### S32 — PSF: CVE-2026-82049 Aviz independent de securitate - Scop: 2026-09-14, High, combinație de linkuri, modificarea metadatelor și expunerea conținutului. - Referință: [tarfile link-ul ocolește anunțul oficial](https://mail.python.org/archives/list/security-announce@python.org/thread/EFJWGAZJA56AKSBR2WHMHQZO7RRLZPRH/) ### S33 — CPython: Lansare oficială de securitate la sfârșitul lunii septembrie/începutul lunii octombrie - Scop: versiunea de corecție minimă, metoda de distribuție a codului sursă și scutirea 3.14 pentru probleme specifice fișierului tar. - Referință: [Python Instrucțiuni de eliberare a securității în mai multe ramuri](https://blog.python.org/2026/10/python-31022-31117/) - Referință: [Python 3.11.17](https://www.python.org/downloads/release/python-31117/) - Referință: [Python 3.12.15](https://www.python.org/downloads/release/python-31215/) - Referință: [Python 3.13.16](https://www.python.org/downloads/release/python-31316/) - Referință: [Python 3.14.8](https://www.python.org/downloads/release/python-3148/) ### S34 — CPython: 3.10 ultima lansare sigură - Scop: 3.10.22 și sfârșitul ciclului de viață din amonte. - Referință: [Python 3.10.22](https://www.python.org/downloads/release/python-31022/) ### S35 — CPython: versiunea de întreținere de urgență 2026-10-21 - Scop: 3.13.17 / 3.14.9 / 3.15.1, actualizări pip și certifi încorporate, cerințe venv existente. - Referință: [Python 3.13.17](https://www.python.org/downloads/release/python-31317/) - Referință: [Python 3.14.9](https://www.python.org/downloads/release/python-3149/) - Referință: [Python 3.15.1](https://www.python.org/downloads/release/python-3151/) ### S36 — certifi: anunț de neîncredere certificat emSign - Scop: 2026-10-20, GHSA-6q48-6c7w-9gw2, Critical, nu se cunoaște CVE. - Referință: [certifi Buletinul Oficial de Securitate](https://github.com/certifi/python-certifi/security/advisories/GHSA-6q48-6c7w-9gw2) ### S37 — PSF: Impactul eMudhra / emSign asupra utilizatorilor Python - Scop: recomandare certifi .19, linie de bază pip/uv, comandă de upgrade de pornire de încredere cu SHA-256. - Referință: [PSF Eveniment oficial și instrucțiuni de actualizare](https://discuss.python.org/t/information-for-python-users-regarding-emudhra-emsign-ca-certificate-security-incident/109576) Comanda de upgrade de pornire pip furnizată de instrucțiunile oficiale citate de S37 este următoarea. Utilizați numai în medii Python care au fost confirmate a fi de încredere; dacă există suspiciuni de otrăvire în secțiunea 9, mai întâi izolați și reconstruiți conform procesului incident. Fixează hash-ul conținutului roții și, ulterior, actualizează alte dependențe în funcție de procesul proiectului. ```bash python -m pip install "pip @ https://files.pythonhosted.org/packages/3f/06/3e4420302363fbb71be3c7f35ce042f54bfca330e3e66b3a2e3c4cca579f/pip-26.2.2-py3-none-any.whl#sha256=fd7f4dfa8190e014013b9f08f3e973f4e4c26ffd179a204895533a7254813a70" ``` ### S38 — Django: 2026-08-04 lansare sigură - Utilizare: CVE-2026-15307, GeoDjango Condiții de exploatare, remedieri inițiale și modificări de compatibilitate. - Referință: [Django 6.0.8 / 5.2.17](https://www.djangoproject.com/weblog/2026/aug/04/security-releases/) ### S39 — Django: 2026-10-06 lansare sigură - Scop: CVE-2026-87890, geometrie DoS armătură ulterioară cu linia de bază selectată în prezent. - Referință: [Django 6.1.2 / 6.0.9 / 5.2.18](https://www.djangoproject.com/weblog/2026/oct/06/security-releases/) ### S40 — PSF / CPython: cea mai recentă notă laterală tar\_filter - Scop: 2026-10-22, CVE-2026-114583 (Medium); Fuziunea PR nu înseamnă că versiunea oficială de întreținere a fost lansată. - Referință: [PSF Anunț independent](https://mail.python.org/archives/list/security-announce@python.org/thread/43JOWPRAV5DI3VZ4FUEUAZOHCATXXOCK/) - Referință: [CPython Patch PR #160098](https://github.com/python/cpython/pull/160098) ### S41 — LiteLLM: Raport oficial de incident în lanțul de aprovizionare, 21 octombrie - Scop: produs contaminat cu 1.107.0, rezumat istoric, reconstrucție izolare și eliminare a acreditărilor. - Referință: [Contained: LiteLLM v1.107.0 Compromised](https://docs.litellm.ai/blog/security-incident-oct-21-2026) ### S42 — Google Brotli: versiune oficială securizată - Scop: Brotli 1.0.10 / 1.1.1 / 1.2.1 independent și baza de verificare a copiei încorporate în mai multe limbi. - Referință: [Brotli releases](https://github.com/google/brotli/releases) ### S43 — mise: utilizați documentația oficială a comenzii - Scop: Specificați versiunea instrumentului și semantica comenzii configurației globale. - Referință: [mise use](https://mise.jdx.dev/cli/use.html) ### S44 — PyPA: pip-proiect oficial de audit - Scop: Python Scopul și limitele de capacitate ale auditării vulnerabilității dependenței. - Referință: [pip-audit](https://github.com/pypa/pip-audit) ### S45 — Python: document de filtru de extragere a fișierului tarif - Scop: strategie de date, modificări implicite de comportament și restricții care nu pot înlocui sandbox-ul. - Referință: [tarfile extraction filters](https://docs.python.org/3/library/tarfile.html#extraction-filters) ### S46 — Node.js: mecanism intermediar de respingere CA - Scop: Această procesare a lanțului de încredere legată de eMudhra nu este echivalentă cu invalidarea criptografică a tuturor certificatelor rădăcină. - Referință: [Node.js PR #66871](https://github.com/nodejs/node/pull/66871) ### S47 — CPython: SNI UAF note tehnice și remedieri - Scop: ciclu de viață de referință, condiții speciale de construcție și backtracking a ramurilor. - Referință: [problema oficială #156293](https://github.com/python/cpython/issues/156293) - Referință: [corecție oficială PR #158504](https://github.com/python/cpython/pull/158504) - Referință: [3.15 Umplere PR #158514](https://github.com/python/cpython/pull/158514) ## Consultanta intretinere securitate Nu sunteți sigur cum vă afectează sistemele schimbările de încredere în certificat? Putem ajuta la evaluarea clienților afectați și la planificarea actualizărilor de securitate. [Discutați actualizările de securitate]() [Pagina originală]() · [Index de conținut]() KeenDigit LLC · ID de înregistrare Wyoming: 2026-002106155 [Verificați cu secretarul de stat din Wyoming]() © 2026 KeenDigit LLC · Sheridan, Wyoming, SUA · Toate drepturile rezervate.