Node.js, Java va Python: so'nggi zaifliklar va tuzatish bo'yicha qo'llanma

2026-yil 23-oktabr holatiga koʻra tekshirilgan manbalar (UTC) Qamlash davri: 2026-yil 25-iyuldan 23-oktabrgacha, sentyabrdan oktyabrgacha yangi eʼlonlar va keyingi yamoqlarga eʼtibor qaratilgan. Audience: Node.js, Java, Python xizmatlari, konteynerlar, quvurlarni qurish va ishlab chiqish muhitini ta’minlovchi muhandislar va xavfsizlik xodimlari.

Ushbu maqolada Node.js, Java va Python ish vaqtlari, standart kutubxonalar va umumiy server ramkalari va bog’liqliklaridagi so’nggi muhim xavfsizlik xatarlari umumlashtiriladi va ta’sir doirasi, sobit versiyalar, vaqtinchalik yumshatish choralari, yamoq tanlash va tekshirish usullarini taqdim etadi.

Komponent versiyalari, yoqilgan xususiyatlar va kirish nuqtalariga ta’sirni baholang. Zaiflik faktlari rasmiy maslahatlardan kelib chiqadi; sanalar, agar oldingi yamoq chiqarilishi aniq qayd etilmagan bo’lsa, ommaga oshkor qilishni nazarda tutadi. Biz tasdiqlanmagan ekspluatatsiya shartlari, CVSS ballari yoki tabiatda ekspluatatsiya haqida xulosa chiqarmaymiz. Joylashtirish bo’yicha maslahatlar amalga oshirish bo’yicha ko’rsatma sifatida aniqlanadi.

TL;DR: tuzatish ustuvorliklari

Avval xizmatni o’z ichiga olgan ish vaqtini yangilang. Tegishli narsalarni yangilang Node.js hech bo’lmaganda filialga 22.23.4 / 24.22.1 / 26.12.1 . Xizmatlardan foydalanish Node 24 gacha yangilash mumkin 24.22.1 bir xil asosiy versiyada yoki keyingi versiyada unda bir xil tuzatishlar mavjud. S1 S2
Yangilash Node ilova bog’liqliklari alohida. uchun Next.js , foydalaning 15.5.28 / 16.4.1 yangilanishning asosiy chizig’i sifatida; foydalanganda React Server Components mustaqil ravishda, haqiqiy o’rnatilganni tekshiring react-server-dom-* paket. Faqat yangilash Node binary ushbu ramka zaifliklarini qoplamaydi. S8 S9 S10 S11 S12
Java : yangilanishlarning ikkala bosqichini qamrab oladi. 20-oktabrni ham qamrab oladigan sotuvchi qurilishini o’rnating CPU va 21 oktyabr CVE-2026-91403 favqulodda sertifikat - ishonchni tuzatish. Bo’limga qarang 2.2 uchun Oracle JDK 11 -27 ta diapazondan tashqari versiyalar; boshqa tarqatishlarni o’zlarining xavfsizlik paketlari va to’liq tuzilish raqamlari bilan tekshiring. Tegishli narsalarni yangilang Tomcat filialiga 9.0.123 / 10.1.61 / 11.0.27 . S16 S17 S18 S20 S21 S22 S23
Python : tarjimonni, dastur paketlarini va sertifikat paketlarini alohida yangilang. Bo’limga qarang 2.3 tarjimon asoslari uchun; certifi tavsiya qiladi ≥ 2026.10.19 , pip ≥ 26.2.2 , foydalanganda uv ≥ 0.13.4 . Har bir mavjud venv tekshirilishi kerak. uchun wrap_bio() tegishli kodlar, to’g’ri va bo’sh bo’lmagan server_hostname ham kiritilishi kerak. S29 S30 S31 S33 S35 S36 S37
Agar darhol yangilanish imkonsiz bo’lsa, tegishli kirish nuqtalarida ta’sir qilishni kamaytiring. Ishonchsizlarni to’xtatishga ustuvor ahamiyat bering Brotli dekodlash, ta’sirlangan tasvirni/peyjingni/arxivlashni qayta ishlash va muammoni ajratish LDAP yoki autentifikatsiya yozuvlari; saqlash TLS sertifikatlar va xost nomlari tasdiqlangan. Kiruvchi WAF zararli siqilgan javoblarni tortuvchi ilovalar kabi chiquvchi yo’llarni qamrab olmaydi. S3 S11 S25 S27 S30 S32
Qayta qurish, eski jarayonlarni almashtirish va real xizmat koʻrsatish yoʻllari orqali tekshirish. Qulflash fayli va tasvir dayjestini saqlang, ilova va tasvirni qayta tiklang, barcha ishchilar/JVM/konteynerlar uchun oʻzgartirishlarni chiqaring; haqiqiy jarayonni, qaramlik daraxtini, ishonchli do’konni va biznes regressiya testlarini tekshiring. Yangi buyruq qatori versiyasining o’zi tuzatish tugallanganligini tasdiqlamaydi.
Agar LiteLLM 1.107.0 oʻrnatilgan yoki ishga tushirilgan boʻlsa, hodisaga javob berish tartib-qoidalariga rioya qiling. Loyiha 21-oktabrda relizlar boʻyicha murosaga kelganini tasdiqladi. Taʼsir qilingan muhitlarni ajratib oling, toza muhitdan tekshiring, ochiq hisob maʼlumotlarini qayta tiklang va aylantiring. Avval tekshirish uchun Python/pip ni shubhali muhitda ishga tushirmang. Tafsilotlar uchun 9-bo’limga qarang. S41

1. Zaifliklarni ko’rib chiqish va xavflarni baholash

1.1 Haqiqiy ta’sir qilish orqali tuzatishga ustuvor ahamiyat bering

Quyidagi joylashtirish ustuvorliklari amalga oshirish bo’yicha ko’rsatmalardir. Jiddiylik belgilari har bir sotuvchiga, jumladan Apache Important reytingiga mos keladi. CVSS 3.1 va 4.0 turli skor tizimlari; masalalarni faqat ball bo’yicha tartiblamang.

Ekotizim / qatlam	Asosiy masalalar	Rasmiy baho yoki tasdiqlangan ball	Ustuvor joylashtirish
Node.js mahalliy qaramlik	CVE-2026-111497: Brotli chegaradan tashqarida yozilgan va RCE xavfi mavjud	Node：High	Brotli ma’lumotlarini S1 S3 tashqi so’rov tanasida yoki tashqi javobda dekodlash
Node.js TLS / DNS	CVE-2026-105482, 105483, 106069: Tahlil qilish va shaxsni tekshirish mos kelmaydi	High	URL skanerlash, proksi-server, Webhook, dinamik maqsadli manzil S1 S5 S6
Node.js HTTP/2	CVE-2026-56846, 56848: Xotira tugagan va UAF	High	Node bevosita ishonchsiz HTTP/2 S7 trafigini boshqaradi
React / Next.js	RSC / `use cache` typed arrays RCE	Critical；CVSS 4.0 9.5	Server RSC, tegishli kesh komponentlari va ma’lumotlar yo’li S9 S10
Next.js Tasvirni optimallashtirish	CVE-2026-96889: SVG Tasvirga ishlov berish RCE	Critical；CVSS 4.0 9.5	glibc Linux da ishonchsiz tasvirlarni ishlay oladigan holatlar S11
Next.js Server Actions	Maxsus ishlab chiqilgan so’rov CPU tugashiga olib keladi	High；CVSS 4.0 8.2	App Router va kamida bitta Server Action S12
Java TLS ishonch	CVE-2026-91403: Zararlangan oraliq CAga ishonishda davom eting	CVSS 3.1 9.1	TLS/API stsenariysi S17 zararlangan ishonch zanjiri yordamida
Tomcat	JNDIRealm autentifikatsiyani chetlab o‘tish, HTTP/2 o‘zaro so‘rovlarni aralashtirish, AJP javob oqish	Important	Realm / Connector / async Servlet yo’liga mos keladi S21 S22 S23
Spring for GraphQL	CVE-2026-59285: peyjingni seriyadan chiqarish RCE	High	Jackson 2 + Connection peyjing + ekspluatatsiya qilinadigan sinf yo’li S25
Spring Security	CVE-2026-59270: oʻrnatilgan LDAP maʼlum boshqaruv identifikatori ochildi	Critical	O’rnatilgan LDAP yoqilgan va tinglash portiga tajovuzkor S27 kirishi mumkin
CPython `ssl`	CVE-2026-19445: SNI kommutatsiyasi natijasida UAF	Critical	Python TLS ni o‘z-o‘zidan tugatadi va S29 kontekstli hayot aylanishi shartiga javob beradi
CPython `ssl`	CVE-2026-19553: Xost nomi etishmayotgan bo‘lsa, tekshirishni o‘tkazib yuboring	High	`wrap_bio()` / Tegishli asyncio qo’ng’irog’i kutilgan host nomi S30 yo’q
CPython `tarfile`	CVE-2026-82049: Qattiq havola va ramziy havola birikmasi bypass	High	Ishonchsiz tar arxivini S32 avtomatik ravishda chiqarib oling
Django / GeoDjango	CVE-2026-15307: fazoviy so’rov yozish fayli, SSRF, RCE sharti ostida	High	Fazoviy so’rovlar yoki tegishli boshqaruv interfeyslari ishonchsiz kirishni qabul qiladi S38
Python sertifikatiga bog’liqlik	certifi: emSign bilan bog’liq sertifikatga ishonchsizlik	Critical; GHSA, noma’lum CVE	TLS mijoz va paketlarni boshqarish vositasi S36 S37 hali ham ta’sirlangan CA bundle dan foydalanmoqda

Qisqartmalar: RCE masofadan turib kod bajarilishini, UAF bepul foydalanishni, SSRF esa server tomonidagi so’rovlarni qalbakilashtirishni anglatadi. RCE to’g’ridan-to’g’ri ruxsatlari odatda dasturni joylashtirgan jarayonning ruxsatlari bo’lib, avtomatik ravishda ildiz ruxsatlariga ekvivalent bo’la olmaydi.

Tavsiya etilgan ketma-ketlik: birinchi navbatda tashqaridan kirish mumkin bo’lgan va shartlarga javob beradigan RCE bilan ishlaydi, autentifikatsiyani chetlab o’tish, foydalanuvchilar o’rtasidagi ma’lumotlarning sizib chiqishi va sertifikat autentifikatsiyasi muammolari; shu bilan birga, ommaga qaragan DoS kirish nuqtasi uchun yangilanishlarni rejalashtiring. Foydalanish qobiliyatini isbotlash uchun ishlab chiqarishda hujum yuklarini ishga tushirishning hojati yo’q. Bog’liqliklar mavjud, kod yo’llari mavjud va hujum shartlari bajariladi. Bular alohida tekshirilishi kerak bo’lgan uchta masala.

1.2 Uchta oson chalkash chegara

Ish vaqtlari va bog’liqliklarni alohida yangilang. Xavfsizlik uchun yangilanishlar Node , JDK , CPython ning mustaqil o’rnatishlarini avtomatik ravishda tuzatmaydi Next.js , Spring , Django , certifi yoki mahalliy kengaytmalar.
Remediatsiya chegarasi joriy joylashtirishning asosiy darajasidan alohida. Avgust oyidagi zaiflik uchun birinchi yamoq sentabrdan oktyabrgacha yangi muammolarni qamrab olishi kafolatlanmaydi; 2-bo’lim amalga oshirish maqsadi sifatida tasdiqlangan keyingi yangilanishlardan foydalanadi.
Zaiflikni haqiqiy ta’minot zanjiri murosasidan ajratib ko’rsatish. Umumiy zaifliklar uchun yamoqlar kelajakdagi hujum yo’llarini yo’q qiladi; zararli paketlar ishga tushirilganda, hisobga olish ma’lumotlari va qat’iylikning ta’sirini tekshirish kerak. 9-bo’limning LiteLLM rasman tasdiqlangan voqeadir. S41

Yovvoyi tabiatda tasdiqlangan ekspluatatsiya mavjudligi rasmiy ma’lumotlarga asoslanishi kerak. Sotuvchi ekspluatatsiya faoliyati haqida gapirmadi va hech qanday hujum yo’qligini isbotlay olmaydi; remediatsiya haqiqiy hujum yuzasiga asoslangan holda amalga oshirilishi kerak.

2. Ruxsat etilgan versiya va joylashtirishning asosiy darajasini tezkor tekshirish

Manba: 2.1 Node.js、React、Next.js

komponent/tarmoq	Tavsiya etilgan asosiy versiya	Foydalanish bo’yicha ko’rsatmalar
Node.js 22.x	22.23.4	Xavfsizlik nashri S1 S2, 21 oktyabr
Node.js 24.x	24.22.1	Applies to the 24.x branch; 24.22.0 tarkibida 21-oktabrdagi S1 S2 xavfsizlik yamoqlari mavjud emas
Node.js 26.x	26.12.1	Xuddi shu to’plamdagi xavfsizlik versiyasi S1 S2
Node.js 20 va undan oldingi yuqori oqim filiallari	Qo’llab-quvvatlanadigan filialga o’tkazing	Node 20 does not accept this upstream fix; sotuvchining kengaytirilgan qo’llab-quvvatlashi S3 alohida tekshirilishi kerak
Next.js 15.x	15.5.28	14 oktyabrda yangilangan S8
Next.js 16.x	16.4.1	Yuqoridagi kabi S8
Mustaqil RSC 19.0 / 19.1 / 19.2 / 19.3 filiali	19.0.9 / 19.1.10 / 19.2.9 / 19.3.1	Uchta `react-server-dom-*` paketini alohida tekshiring; faqat yuqori qatlamga qaramang `react` S10
Next aslida `sharp` yuklangan	≥0.35.5	SVG zaifligi uchun rasmiy vaqtinchalik tuzatish shartlari; boshqa Next.js yamoqlarini S11 almashtirmaydi

Node oktyabr oyidagi zaiflik uchun ta’sirlangan texnik xizmat ko’rsatish tarmoqlarini rasman ro’yxatga oladi, lekin dastlab kiritilgan yamoq versiyasini band bo’yicha taqdim etmaydi, shuning uchun har bir zaiflikning aniq boshlang’ich versiyasini faqat texnik xizmat ko’rsatish sohasi diapazoni asosida aniqlash mumkin emas. Joylashtirishda bir xil filialning yuqoridagi versiyasidan yoki bir xil tuzatishlar mavjudligi tasdiqlangan keyingi versiyadan foydalanishga ustuvor ahamiyat bering.

2.2 Java: oktyabr CPU plus diapazondan tashqari sertifikat yangilanishi

This table applies to Oracle JDK. The second column covers only the October 20 CPU; the third includes the October 21 out-of-band release. Faqat CPU versiyalari bu yerda muhokama qilingan barcha Java xavflarini qamrab olmaydi. S16 S17 S18

filiali	20 oktyabr CPU	Oracle 21 oktyabrda guruhdan chiqdi
11	11.0.33	11.0.33.0.2
17	17.0.21	17.0.21.0.2
21	21.0.13	21.0.13.0.2
25	25.0.5	25.0.5.0.2
27	27.0.1	27.0.1.0.2
8	8u511	Ommaviy nashrlar jadvalida hali ham 8u511 ko’rsatilgan; the specific security build and trust chain repair must be checked, and cannot be determined based on the short version number alone

**Java 8 toʻliq tuzilish maʼlumotlari bilan tekshirilishi kerak:**Oracle Ogohlantirishda 8u511 taʼsirlangan versiya sifatida koʻrsatilgan, relizlar roʻyxatida esa bir xil qisqa nomdagi keyingi yangilanishlar roʻyxati keltirilgan. Yamoq holatini faqat “8u511” qisqa versiya raqamiga qarab ajratib bo’lmaydi. You should confirm the specific security build and trust chain fixes. S17 S18

Temurin , Corretto , Zulu , Microsoft Build of OpenJDK , chiqarish versiyasi OpenJDK , va hokazo, ularning tegishli e’lonlari va to’liq paket/qurilish raqamlariga muvofiq tekshiring. Masalan, rasmiy reliz yozuvi Adoptium qo’shish uchun tegishli qurilish qayta paketlanganligini bildiradi eMudhra tuzatish; yuqoridagi versiyaning bir xil nomi paket tarkibi bir xil ekanligini anglatmaydi. The .0.2 uchun qo’shimchalar qoidalari Oracle boshqa nashriyotlarga mexanik ravishda qo’llanilmaydi. S20

Java dastur komponentlari	Tavsiya etilgan asosiy versiya	Izohlar
Tomcat 9 / 10.1 / 11	9.0.123 / 10.1.61 / 11.0.27	Filial bo’yicha filialni tekshiring; Tomcat 10.0 has stopped maintenance S21 S22 S23
Spring for GraphQL 2.0.x	2.0.5（OSS）	Tijoriy yordam ham 2.0.4.1 S25
Spring Security 7.1 / 7.0	7.1.1 / 7.0.7（OSS）	Avgust oyida e’lon qilingan minimal tuzatish versiyasiga mos keladi; joylashtirishdan oldin keyingi S27 S28 xavfsizlik byulletenini tekshirishingiz kerak
Spring Security 6.5 / 6.4 / 5.8 / 5.7	6.5.12 / 6.4.19 / 5.8.28 / 5.7.26	E’lon tijoriy yordamni tuzatish sifatida ro’yxatga olingan; migratsiya mos keladigan yordam mavjud bo’lmaganda baholanadi va Maven Central bepul S27 uchun mavjud deb taxmin qilish mumkin emas.

Spring yangilanishlari loyihaning Spring Boot BOM, Java minimal versiyasi va moslik qatorlariga mos kelishi kerak. Do not directly force all Spring modules to the same number just to get a patch.

2.3 CPython, Django va sertifikat bog’liqliklari

Quyidagi jadvalning ikkinchi ustuni sentyabr oyida oshkor qilingan TLS muammosiga qaratilgan; tarfile uchun filiallar farqlari 5.3. bo’limida ko’rsatilgan 21-oktabrdagi nashrlar, shuningdek, to’plamli sertifikat vositalarini ham yangiladi, shuning uchun oxirgi ustunda keyingi o’rnatishning asosiy ko’rsatkichlari mavjud. S29 S30 S33 S35

CPython filiali	Sentyabr xavfsizlik paketining minimal versiyasi	Tavsiya etilgan joylashtirishning asosiy ko’rsatkichi
3.10	3.10.22	Yuqori oqimdan so’nggi versiya, EOL; migratsiyani tashkil qiling yoki S34 reliz kengaytmasini qo‘llab-quvvatlashni tekshiring
3.11	3.11.17	3.11.17 va pip/certifi ni har bir muhitda alohida yangilang
3.12	3.12.15	3.12.15 va pip/certifi ni har bir muhitda alohida yangilang
3.13	3.13.16	3.13.17
3.14	3.14.8	3.14.9
3.15	Yakuniy 3.15.0 nashri ikkala TLS tuzatishlarini ham o’z ichiga oladi S31 S47	3.15.1

3.11 va 3.12 ning yuqoridagi xavfsizlik versiyalari faqat manba kodida chiqarilishi mumkin; operatsion tizim paketidan foydalanganda, sotuvchining backport maslahatini va paketning to’liq versiyasini tekshiring va Python tizimini o’z-o’zidan tuzilgan versiyaga majburan almashtirish talabi yo’q. S33 S34

mustaqil qaramlik	Tavsiya etilgan asosiy versiya	Tavsif
Django 5.2 / 6.0 / 6.1	5.2.18 / 6.0.9 / 6.1.2	6-oktabrdagi keyingi tuzatish S38 S39 kiritilsin
certifi	≥2026.10.19	GHSA boshlang‘ich yamog‘i .18; PSF S36 S37 sertifikatlarining mosligini saqlab qolish uchun .19 ni tavsiya qiladi.
pip	≥26.2.2	certifi o’rnatilgan nusxasi alohida yangilanishi kerak S35 S37
uv (agar foydalanilsa)	≥0.13.4	S37-ni haqiqiy o’rnatish usuliga muvofiq yangilang

Ushbu asoslar sanab o‘tilgan tuzatishlarni o‘z ichiga oladi. tar_filter’dagi yana bir o‘rta jiddiylikdagi muammo 22-oktabrda oshkor qilingan. 2026-yil 23-oktabr holatiga ko‘ra, ushbu tuzatishni o‘z ichiga olgan rasmiy texnik versiya hali tasdiqlanmagan; shuning uchun 3.13.17 / 3.14.9 / 3.15.1 barcha tarfile masalalarini qamrab olgan deb hisoblanmaydi. 5.4. S40 bo’limiga qarang

2.4 Tarqatish portlarini tekshirish

Ubuntu, Debian, RHEL va boshqa dasturiy paketlarga taalluqli amal qilish tamoyillari:

Operatsion tizim versiyasini, ombor manbasini, to’liq paket versiyasini va sotuvchining xavfsizlik byulleteni raqamini yozib oling.
Maslahat maxsus CVE ni qamrab olishini va tegishli tarqatish nashri uchun belgilangan paketni aniqlashini tasdiqlang.
Faqat yuqoridagi qisqa versiyani emas, balki haqiqiy ishlaydigan jarayon tomonidan yuklangan ikkilik fayllarni/kutubxonalarni solishtiring.
Agar sotuvchining yamog’i haqida hech qanday dalil bo’lmasa, uni “tasdiqlash uchun” qoldiring va versiya raqami eski yoki yangi ko’rinadi degan yagona xulosa sifatida qabul qilmang.

apt/RPM paket versiyalarida va turli tarqatishlarning backport strategiyalarida farqlar mavjud. Har bir tarqatishning xavfsizlik byulleteni va to’liq paketli versiyasi ustun bo’lishi kerak.

3. Node.js / JavaScript ekotizim: Sabablarni tahlil qilish va bartaraf etish

3.1 CVE-2026-111497: Brotli mahalliy dekoder chegaradan tashqarida yozish

Oshkora qilish: 2026-10-21; Node rasmiy darajasi: High. Node 22.x, 24.x, 26.x taʼsirlangan tuzilmalari 2.1 yamoq qismini oʻrnatishni talab qiladi. Node E’londa CVSS raqamli ball ko’rsatilmagan. S1

Muammo noto’g’ri tuzilgan Brotli siqilgan oqim bilan ishlashda mahalliy dekodlash mantig’ida yuzaga keladi, bu esa chegaradan tashqarida yozishga olib kelishi mumkin. Vercel ning rasmiy tavsifi tadqiqot namoyishi jarayon xotirasi oqib ketishi va buyruqlar bajarilishini o‘z ichiga olganligini tasdiqlaydi. Buzg’unchining dekoderga kirishi mumkinmi yoki yo’qmi, dastur yoki bog’liqlik u boshqaradigan ma’lumotlarni haqiqatda dekodlashiga bog’liq. S3

Ikkala yo’nalish ham bir vaqtning o’zida tekshirilishi kerak:

inbound: ramkasi yoki o’rta dastur foydalanuvchi tomonidan yuborilgan Brotli so’rov qismini avtomatik ravishda ochadi.
**outbound:**HTTP Mijozlar, tasvir egalari va boshqalar tajovuzkor tomonidan boshqariladigan manbalarga kirish va qaytarilgan kontentni avtomatik ravishda ochish.

Brauzerlarga yuborilgan javoblarning Brotli siqilishini o’chirib qo’yish dekodlash kirish nuqtasini olib tashlamaydi. Kiruvchi WAF himoyasi tashqi javoblarni olish va dekodlash ilovalarini ham qamrab olmaydi. S3

**Patch yo’nalishi:**Node Brotli yuqori oqim tuzatishini mahalliy qaramlikka o’tkazing va noqonuniy dekodlash holatini tekshirish va xatolar tarqalishini to’ldiring. O’z-o’zidan tuzilgan versiyani saqlashda siz rasmiy xavfsizlik versiyasidan yoki mos keladigan filialning to’liq yamog’idan foydalanishingiz kerak. Siz shunchaki JavaScript paketining versiya bayonotini o’zgartira olmaysiz. S4

Vaqtinchalik amalga oshirish bo’yicha takliflar: keraksiz ishonchsiz Brotli dekodlashni to’xtatish; o’rta dastur va HTTP mijozining avtomatik dekompressiya harakatini tekshirish; agar biznes ushbu formatni qabul qilishi kerak bo’lsa, imkon qadar tezroq yamalgan muhitda qayta ishlashni yakunlang. Accept-Encoding ni sozlash faqat muzokaralar harakatidir va yolg’iz o’zi zararli javob bloklanganligining dalili bo’lmasligi kerak.

3.2 TLS / DNS uchta High: Tekshiruv obyekti haqiqiy maqsadga mos kelmaydi

Uchalasi ham 21-oktabr kuni oshkor qilingan, rasmiy yangilanish chegarasi 2.1. S1 bo‘limida belgilangan.

Identifikator	Muammo tasdiqlandi	Ta’sir qilingan filiallar
CVE-2026-105482	`dns.resolve` NUL o’z ichiga olgan nomlarni qisqartirish	22.x / 24.x / 26.x
CVE-2026-105483	IP to’liq kenglikdagi raqamli shaklda sertifikat host nomini tekshirishni chetlab o’tishga olib keladi	24.x / 26.x
CVE-2026-106069	IP sifatida erkin talqin qilinishi mumkin bo’lgan xost nomi TLS tekshiruvini chetlab o’tishga olib keladi	22.x / 24.x / 26.x

DNS Muammoning mohiyati shundaki, yuqori qatlam tomonidan tekshirilgan satr pastki qatlam tomonidan tahlil qilingan nomdan farq qiladi. Rasmiy yamoq tahlil kiritishda NUL ni rad etadi va regressiya qamrovini qo’shadi. S6

TLS Ikki element nomni normallashtirish, IP talqinining izchilligi va sertifikat mosligini o’z ichiga oladi. Haqiqiy IP so‘nggi nuqtasini sertifikat domeni identifikatori bilan chalkashtirib yubormaslik uchun standart bo‘lmagan IP kiritish rad etilishi yoki to‘g‘ri ishlashi uchun yamoq o‘rnating. S5

: uchun nosozliklarni bartaraf etish bo‘yicha dolzarb takliflar qabul qiluvchi foydalanuvchi URL kodini, dinamik proksi-server yoki Webhook manzilini tekshirishga ustuvor ahamiyat beradi; yagona standartlashtirish va roʻyxat qaroriga ruxsat beradi, NUL/nazorat belgilarini rad etadi, qonuniy IPv4, IPv6 va xalqarolashtirilgan domen nomlarini tasdiqlaydi. SSRF yanada shakllantirilishi mumkinmi yoki yo’qmi, CVE nomidan to’g’ridan-to’g’ri chiqarib bo’lmaydigan havola dalillarini qo’llashni talab qiladi.

Yangilanishdan keyingi nazorat summasi xatolarini bartaraf qilish uchun NODE_TLS_REJECT_UNAUTHORIZED=0 yoki rejectUnauthorized: false dan foydalanmang. Manzil, sertifikat va biznes konfiguratsiyasi tuzatilishi kerak.

3.3 iyul HTTP/2 High-xavf va ruxsat modeli muammolari

Iyul oyida oshkor qilingan quyidagi masalalar hali ham tergovga kiritilishi kerak. Joylashtirishda 2.1 bo’limida oktyabr oyi xavfsizlik versiyasidan to’g’ridan-to’g’ri foydalanish tavsiya etiladi. S7

CVE	Sabablari va oqibatlari	Birinchi sobit versiya
CVE-2026-56846	Saqlangan HTTP/2 header bloki `maxSessionMemory` byudjetiga to’g’ri kiritilmagan va xotirani yo’qotishi mumkin; Ta’sir 22.x / 24.x	22.23.2 / 24.18.1
CVE-2026-56848	HTTP/2 paketlarni yig’ish vaqtida jo’natish yo’liga qayta kiradi, bu UAF to’plamini keltirib chiqaradi; ta’sir 22.x / 24.x / 26.x	22.23.2 / 24.18.1 / 26.5.1
CVE-2026-58043	`--permission` Yo’l prefiksi chegarasi juda keng va ruxsat etilgan ro’yxatdan tashqaridagi fayllarga kirish mumkin.	Yuqoridagi uchta parvarishlash liniyasi bilan bir xil

Uchalasi ham rasman High. Birinchi ikkita element HTTP/2 Node tomonidan qayta ishlanganligini tekshirishga ustuvor ahamiyat beradi; uchinchi band faqat ruxsat modelidan foydalanganda va ushbu chegaraga tayangan holda tegishli ma’noga ega. Ruxsat modeli elementlarining barchasini autentifikatsiyani talab qilmaydigan RCE tarmog‘i sifatida tasvirlab bo‘lmaydi. S7

Alohida, yangilangan proksi-serverda HTTP/2-ni vaqtincha to’xtatish va backend manbalarini cheklash ta’sir qilishni kamaytirish uchun joylashtirish variantidir; resurs kvotalari faqat resurslarning tugashi oqibatlarini nazorat qilishi mumkin va UAF ni tuzatishi mumkin emas.

3.4 oktyabr React / Next.js: ikkita element RCE va bitta element DoS

A. RCE RSC / `use cache` funksiyalari terilgan massivlarni qaytaradi

Ommaga chiqarilgan sana: 2026-10-14; Critical, CVSS 4.0 9.5. Rasmiy maslahat identifikatorlari:

React：GHSA-xqc2-xf4c-x3h3。
Next.js：GHSA-673q-mjm6-r5xr。S9 S10

The React Yuqori oqim muammosi tajovuzkor tomonidan boshqariladigan qiymatlar bilan birlashtirilgan bir nechta terilgan massivlarni o’z ichiga oladi RSC javob. Uchtasi ta’sir qildi react-server-dom-* paket versiyalari mavjud 19.0.0 — 19.0.8 , 19.1.0 — 19.1.9 , 19.2.0 — 19.2.8 , 19.3.0 ; bo’limiga qarang 2.1. Sof brauzer tomoni React , yoki qo’llab-quvvatlaydigan ramkalar/plaginlarni ishlatmaydigan ilovalar RSC umuman, ushbu bandning doirasiga kirmang. S10

Next.js quyi oqim e’lonlari ro’yxati 16.0.0 — 16.4.0 , yilda qayta ko’rib chiqilgan 16.4.1 ; stsenariy shunday App Router , Cache Components , va use cache bir nechta terilgan massivlarni qaytaruvchi funksiyalar. Rasmiy ishonchli umumiy vaqtinchalik yechim yo’q va ta’sirlangan versiyalarning foydalanuvchilari o’z vaqtida yangilashlari kerak. Qayta ishlashni tugatish uchun “bu funksiya mavjud emasga o’xshaydi” degan qo’lda qidiruvga tayanish o’rinli emas. S9

Manba: B. SVG Image Optimization RCE

CVE-2026-96889/GHSA-2464-fhr4-w9xw, 2026-10-14, Critical, CVSS 4.0 9.5. muammosi tasvirni optimallashtirish uchun ishlatiladigan yuqori oqimdagi mahalliy kutubxonada yuzaga keladi. Rasmiylar RCE xavfi glibc Linux stsenariysida mavjudligini ta’kidladilar. S11

Rasmiy versiya maydonlari:

>=10.0.0 <=15.5.27；
>16.0.0 <=16.4.0。

Rasmiy 16.x filiali uchun >16.0.0 ning qattiq pastki chegarasidan foydalanadi, ammo bu diapazon bayonoti 16.0.0 xavfsiz ekanligini isbotlash uchun etarli emas. Haqiqiy yangilash maqsadi bir xilda 15.5.28 / 16.4.1. S11

Rasmiy vaqtinchalik yechim Next ≥0.35.5 keskin yuklanishini ta’minlashdir. Bloklangan fayllar, ichki o’rnatilgan bog’liqliklar va o’rnatish tasvirlari hali ham eski namunalarni saqlashi mumkin, shuning uchun yuqori darajadagi sharp bog’liqligining yangi versiyasini qo’shishning o’zi etarli emas, yakuniy qaramlik daraxti tekshirilishi va qayta tiklanishi kerak. S11

C. Server Actions CPU tugadi

GHSA-p3m5-59mp-jv5r , 2026-10-14, High , CVSS 4.0 8.2 . Next ta’sir qiladi 13.0.0 — 15.5.27 , 16.0.0 — 16.4.0 , tuzatadi 15.5.28 / 16.4.1 . Shartlar shunday App Router va kamida bitta Server Action ; zararli so’rovlar saqlanishi mumkin CPU uzoq vaqt davomida band bo’lib, xuddi shu jarayonda keyingi so’rovlarni blokirovka qiladi. Ilovalar bilan Pages Router yoki holda Server Actions bu ta’sir qilmaydi. S12

Yangilanishning o’rnini bosadigan rasmiy yechim yo’q. Tarif chegaralari, parallellik chegaralari va resurs kvotalari zararni kamaytirishi mumkin, ammo yamoq tekshiruvi uchun xulosa sifatida foydalanish mumkin emas.

3.5 Avvalroq Next.js bir xil oynada Jiddiy muammo

Quyidagi elementlar hali ham avgust-sentyabrgacha bo’lgan versiyalarda saqlanib qolgan joylashtirishlarni yo’qotmaslik uchun mo’ljallangan; endi jadvaldagi eski tuzatish chegaralariga o’tish tavsiya etilmaydi.

Sana	Identifikator / stsenariy	Birinchi tuzatish; joriy harakat
2026-08-25	GHSA-2xp9-vwfh-vxw4: AVIF tasvirni optimallashtirish mahalliy kutubxonasi RCE, Critical	15.5.24 / 16.3.3; hozir 15.5.28 / 16.4.1 S13
2026-08-25	CVE-2026-75604: RCE, Critical, Pages Router va App Router Windows da bir vaqtda foydalanilganda va Cache Components yoqilmagan; `>=13.4.0 <15.5.24`, `>=16.0.0 <16.3.3` versiyalari	15.5.24 / 16.3.3; Linux/macOS-ga ushbu Windows S14 muammosi ta’sir qilmaydi
2026-09-22	GHSA-vcvr-r3jv-pc5j: `next/og` da Node tasvir yaratish yoʻli ishonchsiz SVG, Critical jarayonlarini qayta ishlaydi; 16.2.0—16.3.5	16.3.6; Edge ilovasi ushbu muammo doirasidan tashqarida va 15.x ushbu RCE S15 uchun taʼsirlangan filial emas.

4. Java ekotizim: Ish vaqti ishonchi, konteynerlar va ramkalar alohida ishlanadi

4.1 JDK: Muntazam CPU va CVE-2026-91403 ikki bosqichli yangilanishlardir

20-oktabrdagi Java SE xavf matritsasi Oracle CPU uchun 55 yangi xavfsizlik yamoqlari ro‘yxatini o‘z ichiga oladi, ulardan 49 tasi tarmoq orqali autentifikatsiya qilinmasdan foydalanish mumkin deb belgilangan. Bu 55 ta Critical mavjudligini yoki har bir Java veb-xizmati uchun 49 ta bevosita ekspluatatsiya qilinadigan RCE yo’llari mavjudligini anglatmaydi; matritsadagi komponentlar, API-lar, foydalanuvchilarning o’zaro ta’siri va joylashtirish shartlari bilan birgalikda tushunilishi kerak. S16

Keyingi kunning CVE-2026-91403 (CVSS 3.1 9.1) xavfning boshqa turi bilan shug‘ullanadi: eMudhra hodisasi bilan bog‘liq oraliq CA to‘plami, endi ishonchsiz. Bu TLS tengdoshlarining autentifikatsiyasi va aloqa konfidentsialligi/yaxlitligiga ta’sir qiladi va JVM xotira buzilishining zaifligi deb ta’riflab bo’lmaydi. S17

Oracle maslahatida 20-oktabrda chiqarilgan versiya taʼsir qilinganlar roʻyxati keltirilgan, shuning uchun 21-oktabrdagi tarmoqdan tashqari yangilanish ham oʻrnatilishi kerak. Muayyan versiya uchun 2.2 bo’limiga qarang. GraalVM ham tegishli ta’sirlangan mahsulotlarga ega va sobit versiya o’zining eksklyuziv xavfsizlik byulleteniga bo’ysunishi kerak. S17 S18

Vaqtinchalik rasmiy choralar: Avval zaxira nusxasini yarating, so‘ngra ko‘rsatilgan ildiz sertifikatini har bir foydalanilgan ishonchli do‘kondan olib tashlang:

emSign ECC Root CA - G3, Oracle taxallus emsigneccrootcag3 [jdk].
AAA Certificate Services, Oracle taxallus comodoaaaca [jdk]. S19

JDK 11 va undan keyingi versiyalar uchun rasmiy misol:

keytool -delete -cacerts -alias "emsigneccrootcag3 [jdk]"
keytool -delete -cacerts -alias "comodoaaaca [jdk]"

Ushbu buyruqlar uchun JDKmaqsadlikeytool-dan foydalaning va ular ilovaning haqiqiy ishonchli do’konida ishlayotganligini tasdiqlang. Java 8 jre/lib/security/cacerts ga mos keladigan yo’ldan foydalanadi; ishonchli do’konni sozlash alohida ko’rib chiqilishi kerak va boshqa noshirlar turli taxalluslarga ega bo’lishi mumkin. Ildiz sertifikatini olib tashlash rad etish doirasini kengaytiradi va qonuniy xizmat sertifikat zanjirlarini regressiya sinovidan o’tkazadi. S19

Rasmiy, shuningdek, bekor qilishni tekshirishni yoqish imkoniyatini ham taqdim etadi, ammo ta’sir TLSning haqiqiy amalga oshirilishiga, bekor qilish xizmatiga kirish imkoniyatiga va muvaffaqiyatsizlik strategiyasiga bog’liq. Umumiy oʻrnatishlar uchun ikkita JVM kalitlarini barcha TLS kutubxonalari tuzatilganligining isboti sifatida koʻrib chiqmaslik uchun sotuvchining toʻliq yangilanishlarini oʻrnatishga ustuvor ahamiyat bering.

4.2 Tomcat: Autentifikatsiyani chetlab o’tish va foydalanuvchilarning o’zaro so’rovini izolyatsiya qilish

Quyidagi uchta element 2026-10-20 da chop etildi; ta’mirlangan versiya yozuvining sanasi Oktyabr 12. Apache rasmiy bahosi Important. S21 S22 S23

CVE	Ta’sir qilingan versiyalar tasdiqlangan	Kerakli stsenariylar/natijalar
CVE-2026-101296	9.0.0.M1—9.0.122；10.1.0-M1—10.1.60；11.0.0-M1—11.0.26	JNDIRealm GSSAPI bo’lmagan SASL autentifikatsiya mexanizmini sozlaydi, hisob ma’lumotlarini tekshirish mavjud emas va noto’g’ri parollar ham o’tishi mumkin
CVE-2026-101356	9.0.118—9.0.122；10.1.55—10.1.60；11.0.22—11.0.26	HTTP/2 asinxron Servlet xatosi ob’ektlarni noto’g’ri qayta ishlaydi/qayta ishlatadi, bu esa so’rovlar yoki javoblarning foydalanuvchilar o’rtasida aralashib ketishiga olib keladi.
CVE-2026-103119	Faqat 11.0.0-M25—11.0.26 tasdiqlang	Katta AJP blokirovka qilinmagan yozishlar buferning kam o’qilishiga olib kelishi mumkin, bu esa keyingi so’rovlarda oldingi javob ma’lumotlarini ko’rsatishi mumkin.

Tegishli tuzatish 9.0.123 / 10.1.61 / 11.0.27; AJP e’longa ko’ra faqat Tomcat 11 ro’yxatiga kiritilgan va uni bir xil muammoli uchta filialga kengaytirib bo’lmaydi. S21 S22 S23

JNDIRealm yamog’i haqiqiy autentifikatsiya jarayonidagi tekshirish bo’shlig’ini tuzatadi, bunda tekshirish o’rniga “ilovaga kirish interfeysi normal ko’rinadi” dan foydalanish mumkin emas. Realm, SASL mexanizmlari xizmatning haqiqiy konfiguratsiyasi uchun tekshirilishi kerak va noto’g’ri parollar uchun testlar muvaffaqiyatsiz bo’lishi kerak. S24

Oraliq amalga oshirish bo’yicha takliflar: ta’sirlangan autentifikatsiya yo’lini ajrating; tadbirkorlik faoliyatiga ruxsat berilganda HTTP/2 Tomcat ni qayta ishlashni to‘xtatib turish; foydasiz AJP yoping. Faqat AJP portiga to’g’ridan-to’g’ri kirishni cheklash qonuniy old proksi-server orqali kiruvchi trafikga ta’sir qilmasligini isbotlay olmaydi. Rasmiy yangilanishdan so’ng, identifikatorlar va javoblar o’rtasida o’zaro suhbat yo’qligini tasdiqlash uchun ikkita mustaqil foydalanuvchining asinxron bir vaqtda so’rovlari sinovdan o’tkazilishi kerak.

Manba: 4.3 Spring for GraphQL：CVE-2026-59285

Ommaga chiqarilgan sana: 2026-08-20; High. zararlangan 2.0.0—2.0.4, ta’mirlangan 2.0.5 (OSS) yoki 2.0.4.1 (tijoriy yordam). S25

Bu peyjing so’rovlarida xavfli seriyani bekor qilish xavfi. Rasmiy talab shundaki, bir vaqtning o’zida quyidagi shartlar bajarilishi kerak:

Spring for GraphQL dan foydalaning.
Jekson 2.x yordamida JSONni seriyadan chiqarish.
Tashqi dunyoga ulanish peyjing maydonini taqdim eting.
Sinf yo’lida instantatsiya yoki seriyadan chiqarish vaqtida kutilmagan mantiqni amalga oshirishi mumkin bo’lgan maxsus sinflar mavjud.

Zararli GraphQL so‘rovi shartlar bajarilganda RCE sabab bo‘lishi mumkin. Uni “Jekson ishlatadigan barcha Java dasturlari ishlatilishi mumkin” ga qisqartirib bo’lmaydi. S25

Nima uchun 2.0.4 etarli emas: Iyun oyida, CVE-2026-41699 kabi yamoq asoslarini bergan edi 2.0.4 , va avgust oyida e’lon aniq kiritilgan 2.0.4 yangi ta’sir doirasiga kiradi. Shuning uchun ta’mirlash yozuvi keyingi e’lonlarga va eski minimal versiyaga muvofiq yangilanishi kerak. CVE foydalanish mumkin emas. S26

Yangilanish vaqtinchalik mavjud bo’lmaganda, ishonchsiz qo’ng’iroq qiluvchilar kirishi mumkin bo’lgan ta’sirlangan sahifalash maydonlari to’xtatilishi mumkin; deserializatsiya qilinadigan turlarni va sinf yo’llarini toraytirish chuqur o’lchovdir. Regressiyalar qonuniy kursorlarni, sahifalangan natijalarni va istisno kiritishni rad etishni qamrab olishi va yakuniy JAR ilovasidagi komponentlarning haqiqiy versiyalarini tekshirishi kerak.

4.4 Spring Security: CVE-2026-59270 va tegishli autentifikatsiya xatarlari

CVE-2026-59270, 2026-08-20, Critical. o’rnatilgan UnboundIdContainer ma’lum administrator hisob ma’lumotlarini sukut bo’yicha qayd qiladi va barcha tarmoq interfeyslarida tinglaydi. Komponent yoqilganda va portga kirish mumkin bo’lsa, tajovuzkor katalog ma’lumotlarini o’qishi yoki o’zgartirishi mumkin; odatda Spring Security ni joriy qiladigan loyihalar avtomatik ravishda LDAP ni oshkor qilmaydi. S27

Ta’sir qilingan hudud:

filiali	ta’sirlangan	Birinchi tuzatish/sotib olish kanali
7.1	7.1.0	7.1.1 OSS; shuningdek, tijorat 7.1.0.1
7.0	7.0.0—7.0.6	7.0.7 OSS; shuningdek, tijorat 7.0.6.1
6.5 / 6.4	6.5.0—6.5.11；6.4.0—6.4.18	6.5.12/6.4.19, tijorat
5.8 / 5.7	5.8.0—5.8.27；5.7.0—5.7.25	5.8.28/5.7.26, tijorat

Manba: S27. spring.ldap.embedded.* avtomatik konfiguratsiyasi va to’g’ridan-to’g’ri instantsiya kodidagi muammolarni bartaraf etish; ishlab chiqarish uchun kerak bo’lmaganda komponentni yoping va haqiqiy tinglash manzilini tekshiring. Biznesga haqiqatan ham kerak bo’lganda, avval qo’ng’iroq manbalarini cheklang va keyin komponentni yangilashni yakunlang.

**Related authentication issue: CVE-2026-47841 (High).**WebAuthn User authentication is set to REQUIRED, and after the HTTP session is serialized by distributed storage, incorrect ob’ekt identifikatorini taqqoslash autentifikatsiya talabini bekor qilishi mumkin. Hujum shuningdek, tajovuzkordan qurilmasiz o’zboshimchalik bilan masofadan kirishni emas, balki foydalanuvchi autentifikatsiya qurilmasiga ega bo’lishini talab qiladi. 7.1, 7.0, 6.5 va 6.4 ning tegishli ta’sirlangan versiyalari uchun yamoqning asosiy chizig’i yuqoridagi jadvaldagi ushbu filiallarga mos keladi; tekshirish tugunlar orasidagi seanslarni qamrab olishi va PIN/biometrik tasdiqlashni talab qilishi kerak. S28

5. Python ekotizim: tarjimon, standart kutubxona, ramka va sertifikatlar

5.1 CVE-2026-19445: SSLContext UAF, SNI qayta qo’ng’iroq

Nashr qilingan sana: 2026-09-30; PSF darajasi: Critical. Python serverida TLS, sni_callback ulanishni boshqa SSLContext ga o’tkazadi va agar asl kontekstda boshqa havolalar bo’lmasa TLS mijozi xizmatni buzishi yoki chiqarilgan ob’ektdagi ko’rsatgichni chaqirishi mumkin. S29

Asosiysi, Python ob’ekti TLS qayta qo’ng’iroq qilishning asosiy hayotiy tsikliga mos kelmaydi. Asl kontekst chiqarildi va asosiy qatlam hali ham qayta qo’ng’iroq qilish uchun zarur bo’lgan holatni saqlab qolishi mumkin; mos yozuvlar hayot aylanishini tuzatish uchun tarjimonning mahalliy patchidan foydalanish kerak. S47

Scope: Faqat TLS mijozi vazifasini bajaradigan Python kodi bu elementga ta’sir qilmaydi; uzoq vaqt davomida asl kontekstni ushlab turgan tinglash rozetkasining normal rejimi e’londa tasvirlangan o’ziga xos nosozlik yo’liga tushmaydi. Nginx TLS-ni tugatgandan so’ng, u faqat mahalliy HTTP-ni Python-ga topshiradi va Python to’g’ridan-to’g’ri SNI-ni o’zi boshqaradi, bu boshqa hujum yuzasi. S29

3.10—3.14 sobit versiyasiga mos keladigan 2.3. bo’limiga qarang 3.15 rasmiy versiyasi ta’mirlandi va 3.15.1 aslida tanlanishi mumkin. Faqat pip bog’liqligini yangilash tarjimonning _ssl ilovasini almashtira olmaydi. S33 S35 S47

Rasmiy vaqtinchalik yumshatish: SNI qayta qo‘ng‘iroqlarini serverning ishlash davri tugaguniga qadar o‘rnatgan barcha SSLContext-ga kuchli havolalarni saqlaydi. Bu haqiqiy dinamik yaratish va almashtirish yo’llarini qamrab olishi kerak; maxsus OpenSSL 1.1.1 tuzilishi, shuningdek, rasmiy emissiya yozuvi bilan birgalikda qayta muzokaralar shartlarini tekshirishi va yakuniy yangilanishlarga ustunlik berishi kerak. S29 S47

5.2 CVE-2026-19553: Xost nomi bayrog‘i yoqilgan, lekin qo‘ng‘iroq qilayotganda xost nomi yo‘q

Ommaga chiqarilgan sana: 2026-09-30; High. QachonSSLContext.check_hostname=True, agar wrap_bio() server_hostname da o’tkazilmasa, asl dastur xost nomini tekshirishni jimgina o’tkazib yuborishi mumkin. Muvaffaqiyatli sertifikat zanjiri tekshiruvi maqsadli domen nomi ham mos kelganligini anglatmaydi. S30

Qayta tiklash ikkala bosqichni ham talab qiladi:

2.3. bo’limida keltirilgan tarjimon xavfsizlik versiyasini o’rnating
wrap_bio(), tegishli asyncio.create_connection() / loop.start_tls() yo’llarini tekshiring, kutilgan va bo’sh bo’lmagan xost nomini aniq kiriting va sertifikat tekshiruvini yoqilgan holda saqlang. S30

**O’tkazib yuborib bo’lmaydigan moslik farqlari:**3.10, 3.11, 3.12 moslik uchun, faqat DeprecationWarning ba’zi holatlar uchun beriladi; xost nomi etishmayotgan 3.13 va keyinroq ValueError ko’taring. 3.12 orqa porti None ni bo’sh satrlardan ham aniq ajratib turadi: None uchun yangi ogohlantirish qo’shiladi va bo’sh satrlar uchun xato xabar qilinadi. Shuning uchun, past tarmoqli foydalanuvchilar dastlab etishmayotgan domen nomini tekshirish shunchaki yangilash orqali avtomatik ravishda tiklangan deb taxmin qila olmaydi. S31 S33

Sinov muhitida mos kelmaydigan xost nomiga ega ishonchli zanjir sertifikatidan foydalaning va haqiqiy dastur TLS mijozi uni rad etishini tasdiqlang. check_hostname mantiqiy qiymatini o’qishning o’zi to’liq qabul qilinganligini anglatmaydi.

5.3 CVE-2026-82049: tarfile filtridagi havola birikmasini aylanib o’tish

Ommaga chiqarilgan sana: 2026-09-14; High. CPython 3.13 va undan oldingi tegishli ilovalarda ishonchsiz tardagi qattiq havolalar va ramziy havolalar birikmasi data / tar tarkibidagi fayllarni filtrlash, ochish fayllarini chetlab o’tishi mumkin. ochish daraxti yoki ularning ruxsatlari va o’zgartirish vaqtlarini o’zgartirish. S32

Ushbu zaiflikning tasdiqlangan ta’siri orasida fayl tarkibiga ta’sir qilish va metama’lumotlarni o’zgartirish kiradi; faqat bu ta’sirlar tashqi fayl mazmunini o’zboshimchalik bilan qayta yozishni yoki RCE ning so’zsiz bajarilishini ko’rsatish uchun etarli emas.

ning tegishli yamoq asoslari uchun 3.10 — 3.13 , bo’limga qarang 2.3. Python 3.14 tufayli ushbu aniq masaladan ozod qilingan os.link() beri xatti-harakati o’zgaradi 3.14.0b1 , shuning uchun ta’sir doirasi 3.10 — 3.13 S33

Vaqtinchalik va chuqurlashtirilgan chora-tadbirlar: ishonchsiz arxivlarni avtomatik chiqarishni to’xtatadi; biznesni qayta ishlash kerak bo’lganda, alohida past imtiyozli ishchi jarayonlari va yangi eksklyuziv kataloglardan foydalaning, biznes tomonidan ramziy havolalar, qattiq havolalar va qurilma yozuvlarini rad eting va fayllar va dekompressiya resurslari sonini cheklang. Bular joylashtirish bo’yicha tavsiyalar.

filter="data" to’liq ishonch strategiyasidan ko’ra umumiy ishonchsiz arxivlar uchun ko’proq mos keladi, lekin eski versiyadagi filtrning o’zi ham bu zaiflikka ega va faqat ushbu parametrni qo’shish yangilanishni almashtira olmaydi. Filtr, shuningdek, to’liq fayl tizimining sinov maydoni emas. S32 S45

5.4 Qo’shimcha xavf: CVE-2026-114583 (Medium) va yamoq chiqarish holati

PSF 2026-10-22 hujjatida tarfile.tar_filter-ning muayyan havola nomlarini qayta ishlash jarayonini chetlab o’tish mumkinligi, bu keyingi a’zolarga o’ramini ochish katalogidan tashqarida yozish imkoniyatini beradi. Medium. Rasmiy tuzatish PR o’sha kuni birlashtirildi; 2026 yil 23 oktyabr holatiga ko’ra, ushbu majburiyatni o’z ichiga olgan rasmiy texnik relizlar tasdiqlanmagan. S40

Shuning uchun:

Bu element Medium sifatida alohida ko’rsatilgan.
21-oktabrda chiqarilgan tarjimon versiyalarida ushbu tuzatish kiritilgan deb hisoblanmaydi.
Ishonchsiz arxivlarni qayta ishlash uchun hali ham filter="tar" ishlatadigan jarayon relizlar portini kuzatishi kerak; qisqa vaqt davomida ushbu ishlov berish yo’lini ajratib oling yoki to’xtating. data ga o‘tish va havolalarni rad etishda siz uning biznes talablariga javob berishini ham tasdiqlashingiz kerak va filtrni o‘zgartirishni shartsiz sinov muhiti sifatida tasvirlab bo‘lmaydi.

5.5 GeoDjango: CVE-2026-15307 va oktyabr oyida keyingi tuzatishlar

2026-08-04, Django rasmiy High. fazoviy soʻrovi GDALRaster ga maʼlum qatorlarni/lugʻatlarni bilvosita oʻtkazadi va drayver fayllarni yozishi yoki boshlashi mumkin; RCE aniq yo’llar va keyingi bajarish shartlari mavjud bo’lganda tuzilishi mumkin. Fazoviy maydon modelini koʻrish ruxsatiga ega boʻlgan xodimlar administrator oʻzgarishlar roʻyxati orqali ham ushbu yoʻlga kirishlari mumkin. S38

Dastlabki tuzatish 5.2.17 / 6.0.8 bo’lib, fazoviy qidiruvlar tomonidan qabul qilinadigan kiritish turlarini cheklaydi. Bu o’zgarish rastrni ifodalash uchun string/lug’atdan foydalanishning asl biznesiga ta’sir qilishi mumkin; GDALRaster-ga ishonchsiz ma’lumotlarni o’rash uni tekshirishni anglatmaydi. S38

6 oktyabr kuni CVE-2026-87890 (Oʻrtacha) ta’mirlandi: baytlarda ifodalangan VRT tashqi resurslarga murojaat qilishi va tarmoq so’rovlarini ishga tushirishi mumkin; xuddi shu kuni, ichki geometriya DoS himoyasi CVE-2026-15830 ham mustahkamlandi. Oxirgi ikkitasini yangi yuqori xavfni tasvirlash uchun yangilab bo’lmaydi RCE , lekin joylashtirishning asosiy chizig’i bo’lishi kerakligini ko’rsating 5.2.18 / 6.0.9 / 6.1.2 . S39

Amalga oshirish API va boshqaruv interfeysining ikkita kirish nuqtasini tekshiradi, ishonchli bo’lmagan fazoviy qidiruvni, fayllarni yozish uchun ruxsatlarni va chiquvchi kirishni cheklaydi; yangilangandan so’ng, regressiya-test haqiqiy fazoviy so’rovlar va taqiqlangan kiritishni rad etish. GeoDjango ishlatmaydigan oddiy Django ilovalari ushbu RCE xulosasini bevosita qo‘llamasligi kerak.

5.6 certifi / pip: Sertifikat ishonchliligi har bir nusxani qamrab olishi kerak

GHSA-6q48-6c7w-9gw2 , 2026-10-20, Critical , ma’lum CVE ro’yxatga kiritilmagan. Bu sertifikat tufayli yuzaga kelgan ishonchsizlik yangilanishi eMudhra oraliq CA voqea. Buni HTTPS ning kriptografiya mexanizmi yoki barcha ildiz sertifikatlari buzilgan deb umumlashtirish mumkin emas. S36

certifi maslahatida dastlab yamoq sifatida 2026.10.18 roʻyxati keltirilgan; PSF keyinchalik ta’sirlanmagan ildiz sertifikatlari bilan moslikni saqlash uchun 2026.10.19 ni aniq tavsiya qildi. Ishlashning asosiy chegarasi .19. S36 S37

Ajratish kerak:

Materialning joylashuviga ishoning	Nima uchun alohida tekshirish kerak
Operatsion tizim CA to’plami	Rasm yoki xost uchun tizim ishonch materiali
certifi venv	CA bundle aslida ilovalar yoki so’rovlar va boshqalar tomonidan qo’llaniladi.
pip o’rnatilgan certifi	Tashqi o’rnatilgan certifi nusxasidan boshqa nusxa
uv / Boshqa qadoqlash vositalari	Asbobning yangilanishlari va ishonchli manbalariga rioya qiling
Moslashtirilgan CA fayllari, qadoqlangan suratlar	Tizimlar yoki paketlar uchun standart ishonchli manbalarni bekor qilishda davom etishi mumkin

Yuqoridagi turli qadoqlash joylariga asoslangan nazorat ro’yxati. PSF tegishli vositalarni, mavjud virtual muhitlarni yangilashni va tasvirni qayta tiklashni talab qiladi; faqat CA xostini yangilash yoki tarjimonni qayta o’rnatish barcha nusxalar yangilanganligini isbotlay olmaydi. S35 S37

Eski pip xavfsiz yuklash tizimidan yangilashda PSF o’rnatilgan g’ildirak va SHA-256 uchun buyruqlar beradi, S37 ilovasiga qarang. Sertifikat masalalarini chetlab o‘tish uchun TLS tekshiruvini o‘chirmang yoki --trusted-host ni qo‘shmang.

6. Rasmiy tuzatish jarayoni

Quyidagi buyruqlar tasdiqlangan ishonchli muhitlar uchundir. Amalga oshirishda, ziddiyatli blokirovka fayllarini yaratish uchun npm/pnpm/yarn yoki pip/uv/Poetry aralashmaslik uchun mavjud paket menejeri, bloklash fayli va loyihani joylashtirish jarayoni birlashtirilishi kerak.

Avval istisnodan foydalaning: Agar siz 9-bo’limdagi buzilgan paketni muhit ishga tushirganiga shubha qilsangiz, avval uni ajratib oling va toza muhitdan disk, fayl va tasvir yozuvini tekshiring; avval quyidagi Python/pip buyrug’ini ishga tushirmang. S41

6.1 Haqiqiy trafikga mos keladigan daftarni yarating

Har bir xizmat kamida quyidagilarni qayd qiladi:

Tashqi kirish nuqtasi, teskari proksi-server, kelib chiqish saytiga to’g’ridan-to’g’ri ulanish yo’li va fon navbati/rejalashtirilgan vazifalar.
Haqiqiy ishga tushirish buyrug’i, ishlaydigan hisob, ikkilik yo’l, jarayon yoki konteyner identifikatori.
Ish vaqtining toʻliq versiyasi, nashriyot/omborxona, paketning toʻliq versiyasi yoki tasvir dayjesti.
Framework va tranzitiv bog’liqliklar, qulflangan fayllar, mahalliy kutubxonalar va ishonchli do’kon yo’llari.
Zaiflik holati mavjudligiga mos ravishda, yamoq maqsadi, qayta ishga tushirish doirasi, mas’ul shaxs va tekshirish natijasi.

Rivojlanish mashinalari, CI yuguruvchilari, qurish konteynerlari va fon vazifalari ham ishonchsiz tarkibga yo’llariga qarab tekshirilishi kerak; faqat ommaviy veb-konteynerni yangilamang.

6.2 Node.js: Avval ish vaqtini aniqlang, so’ngra ilova bog’liqliklarini yangilang

Haqiqiy xizmat muhitida tekshiring:

node -p 'JSON.stringify({execPath:process.execPath,node:process.version,openssl:process.versions.openssl,brotli:process.versions.brotli},null,2)'
npm ls next react react-dom react-server-dom-webpack react-server-dom-parcel react-server-dom-turbopack sharp --all
npm audit --omit=dev

node -p xizmatning haqiqiy bajariladigan fayli yordamida yoki haqiqiy konteyner ichida bajarilishi kerak; u yangi boshlangan jarayonlarni tekshiradi va eski ishchi almashtirilganligini o’zi isbotlamaydi. Node o’rnatilgan Brotli ga yamoqni qo’shishi mumkin, shu bilan birga kutubxonaning asl versiyasi qatorini saqlab qoladi. Shuning uchun, ta’mirlanganligini aniqlash uchun faqat process.versions.brotli ga tayanmang. Siz uni Node xavfsizlik versiyasi yoki sotuvchining backport dalillari bilan birlashtirishingiz kerak. S2 S4

npm ls haqiqiy qaramlik daraxtini ko’rish uchun ishlatiladi; etishmayotgan paketlar yoki tengdoshlar to’qnashuvi nolga teng bo’lmagan chiqish kodlarini ham ishlab chiqishi mumkin, shuning uchun siz maxsus chiqishni o’qib chiqishingiz kerak. npm audit qaramlikni tekshirish yordami sifatida ishlatiladi va Node ikkilik va mahalliy kutubxona tekshiruvini almashtira olmaydi.

mise-dan Node 24 muhitini boshqarish uchun foydalaning, uni quyidagi tarzda yangilash mumkin:

mise use -g [email protected]
mise exec [email protected] -- node -p 'process.version + " " + process.execPath'

mise use -g global versiyani sozlaydi; loyihaning mahalliy konfiguratsiyasi hali ham alohida tekshirilishi kerak. Agar xizmat eski mutlaq yo’lni, konteyner bazasi tasvirini yoki boshqa hisobning muhitini tuzatgan bo’lsa, tegishli konfiguratsiya yangilanishi va xizmatni qayta ishga tushirish kerak. Buyruqning o’zi eski ishlaydigan jarayonni almashtirmaydi. S43

Next loyihasida tanlangan filialga muvofiq tegishli buyruqni bajaring. Next 15 uchun:

# Next 15 分支
npm install --save-exact [email protected]

Next 16 uchun:

# Next 16 分支
npm install --save-exact [email protected]

React/RSC-ga mos keladigan bog’liqliklarni, fayllarni blokirovka qilish va yakuniy keskin misolni tekshiring va keyin loyiha jarayoniga muvofiq tuzing. Qayta tiklanadigan o’rnatish uchun CI-da yangilangan blokirovka faylidan foydalaning va qurgandan so’ng ishlaydigan rasmdagi versiyani tekshiring. Ushbu favqulodda vaziyat uchun standart yechim sifatida asosiy versiyalarda nazoratsiz avtomatik ta’mirlashdan foydalanmang.

6.3 Java: noshirni, haqiqiy JVM va oʻrnatilgan komponentlarni tekshiring

Dastlabki inventarizatsiya:

java -XshowSettings:properties -version

Chiqishdagi java.home, java.runtime.version va noshir xizmat tomonidan amalda ishlatiladigan JVM bilan mos kelishi kerak. Biriktirish ruxsatiga ega JVM uchun JDK jcmd dan faqat kirish qobig’ini emas, balki maqsadli jarayonni tekshirish uchun foydalanish mumkin.

Ishonchli loyihalardagi bog’liqliklarni tekshiring va haqiqiy qurish vositalari asosida tanlang:

./mvnw dependency:tree '-Dincludes=org.apache.tomcat.embed:*,org.springframework.security:*,org.springframework.graphql:*'

./gradlew dependencyInsight --dependency tomcat-embed-core --configuration runtimeClasspath
./gradlew dependencyInsight --dependency spring-security-core --configuration runtimeClasspath
./gradlew dependencyInsight --dependency spring-graphql --configuration runtimeClasspath

Ushbu qurish buyruqlari plaginlarni bajarishi va onlayn bog’liqliklarni hal qilishi mumkin va faqat ishonchli loyihalarda ishlaydi. Rasmdagi yakuniy JAR/WAR yoki haqiqiy JAR ni tekshiring va yakuniy artefakt uchun qurilish fayl deklaratsiyasini almashtirmang. Spring Yuklash o’rnatilgan Tomcat ilovani qayta tiklashni talab qiladi; tizimda alohida Tomcat o’rnatilishini yangilash dastur paketidagi nusxani o’zgartirmaydi.

Ish vaqti yangilangandan so’ng, moslashtirilgan javax.net.ssl.trustStore, ilova tomonidan o’zi yuklanadigan KeyStore, jlink ish vaqti, GraalVM/native image va boshqa yetkazib berish shakllarini element bo’yicha tekshiring. Allaqachon moslashtirilgan ishonchli materiallarga ega bo’lgan ilovalar JDK katalogi yangi bo’lganligi sababli tekshirishni tugata olmaydi.

6.4 Python: tarjimon-tarjimon va virtual muhitni qayta ishlash

Ishonchli ekanligi tasdiqlangan haqiqiy venv/konteyner ichida:

python - <<'PY'
import sys
import ssl
import importlib.metadata as metadata

print("executable:", sys.executable)
print("version:", sys.version)
print("openssl:", ssl.OPENSSL_VERSION)
print("verify_paths:", ssl.get_default_verify_paths())
for name in ("pip", "certifi", "Django", "urllib3", "Brotli", "litellm"):
    try:
        print(name + ":", metadata.version(name))
    except metadata.PackageNotFoundError:
        print(name + ": not installed")
PY

python -m pip --version
python -m pip check

Ushbu skript faqat ma’lumot to’playdi va versiya malakasini aniqlashni amalga oshirmaydi. ssl.get_default_verify_paths() standart yo’l ma’lumotidir va barcha uchinchi tomon mijozlari bir xil ishonchli do’kondan foydalanishini isbotlay olmaydi; u ilova konfiguratsiyasi asosida tasdiqlanishi kerak.

S37 ilovasining ishonchli pip yuklash yangilanishini tugatgandan so’ng, sertifikat bog’liqliklarini loyiha cheklovlariga muvofiq yangilang, masalan:

python -m pip install --upgrade 'certifi>=2026.10.19'

# 仅适用于当前就选择 Django 5.2 的项目
python -m pip install --upgrade 'Django>=5.2.18,<5.3'

python -m pip check

Loyihaning talablari/qulflash fayli bir vaqtning o’zida yangilanishi kerak, aks holda keyingi joylashtirish eski versiyaga qaytishi mumkin. uv, Poetry yoki korporativ paketlar omboridan foydalanilganda, ularning mavjud qulflash va nashr qilish jarayonlaridan foydalaning; faqat ishlab chiqarish konteynerida paketlarni qo’lda o’zgartirmang.

Loyihaning mavjud pip-audit ish jarayoni ishonchli muhitda ma’lum bo’lgan qaramlik zaifliklarini tekshirish uchun ishlatilishi mumkin; u zararli kod skaneri emas va barcha tarjimon, tizim kutubxonasi va ishonchli do’kon xatarlarini qamrab olmaydi. S44

/usr/bin/python3 tizimini yangi kompilyatsiya qilingan versiyaga ishora qilishga majburlash tavsiya etilmaydi. Python tizimiga tayanadigan boshqaruv vositalarini buzmaslik uchun xavfsizlik yangilanishlari yoki loyihani izolyatsiya qilish vaqtlaridan foydalaning. Bu amalga oshirish tanlovidir va bu zaiflik uchun qo’shimcha tuzatish talabi emas.

6.5 Ishlayotgan namunani qayta tiklang va almashtiring

To’liq o’zgartirish sifatida quyidagi amallarni bajarish tavsiya etiladi:

Yamoqni asl ishonchli manbadan oling va versiya/xesh va qaramlik qulfini saqlang.
Asosiy funksiyalarni ishlab chiqarishga yaqin muhitda qaytaring va mahalliy kengaytmalar JVM/framework bilan mos kelishini tasdiqlang.
Ish vaqtini, ilovalarga bog’liqliklarni va haqiqiy ishonchli do’konni yangilang; asosiy tasvirni va konteyner uchun CA tizimini yangilang, shunchaki eski qatlamni qayta ishlatmang.
Ilovalar va tasvirlarni qayta yarating va xizmat, ishchi, navbat iste’molchisi va rejalashtirilgan vazifa misollarini o’zgartiring.
Yangi ishlayotgan nusxada versiya va konfiguratsiyani qayta tekshiring va barcha eski nusxalar chiqqanligini tasdiqlang.
Xato stavkalari, kechikish, CPU/xotira, TLS qoʻl siqishdagi nosozliklar va jarayonning ishdan chiqishiga eʼtibor bering.

Orqaga qaytarish xavfsiz ish vaqti va yamoqqa bog’liqlikni saqlab qolish va ilova konfiguratsiyasi yoki biznes o’zgarishlarini orqaga qaytarishga ustuvor ahamiyat berishi kerak. Agar siz zaifliklari bo’lgan eski mahsulotga qaytishingiz kerak bo’lsa, tegishli kirish cheklovlari bir vaqtning o’zida tiklanishi kerak va mas’ul shaxs va minimal tiklanish davri aniq belgilanishi kerak.

7. Vaqtinchalik yumshatish va yamoq tanlash

7.1 Vaqtinchalik chora-tadbirlarni qamrab olish chegarasi

Quyida e’lon qilingan foydalanish shartlari asosida amalga oshirish bo’yicha takliflar keltirilgan. Rasmiy reja qayd etilmagan bo’lsa, sotuvchi barcha variantlarni to’liq blokirovka qilish mumkinligiga kafolat bermaydi.

xavf	Qabul qilinishi mumkin bo’lgan vaqtinchalik choralar	Bunga asoslanib, tugallangan deb hisoblanmaydigan qism
Brotli dekodlash	Ishonchsiz kirish dekodlashni to’xtatish; kiruvchi va chiquvchi avtomatik dekompressiyani tekshiring	Kiruvchi WAF yoki javobni siqishni oʻchirish S3 barcha dekodlash yozuvlarini qamrab olmaydi
Next.js typed arrays RCE	Darhol yangilang; agar kerak bo’lsa, ta’sirlangan xizmatlarni vaqtincha izolyatsiya qiling	S9 rasmiy ishonchli universal vaqtinchalik yechim yo’q
Next.js SVG RCE	Rasmiy reja: Haqiqiy keskin ≥0.35.5 ni ta’minlash; biznes ruxsat berilganda tegishli optimallashtirish kirish nuqtalarini to’xtatib turish	Boshqa Next/RSC S11 masalalarini qamrab olmaydi
Tomcat Realm / HTTP/2 / AJP	Tegishli yo’lni ajratib oling va keraksiz ulagichlarni yoping	Hali ham tegishli filialni ta’mirlash paketi kerak S21 S22 S23
GraphQL Seriyadan chiqarish	Ta’sir qilingan ulanish maydonlarini to’xtatib turish; ishonchsiz qo’ng’iroq qiluvchilarni cheklash	Faqat so’rov uzunligi chegarasi S25 turi/seriyadan chiqarish muammosini hal qila olmaydi
Spring embedded LDAP	Zarur bo’lmaganda o’chirib qo’ying; haqiqiy tinglash portiga kirishni cheklash	Standart ma’muriy identifikator va katalog yaxlitligi hali ham tekshirilishi kerak S27
CPython SNI UAF	Rasmiy reja: Xizmat oxirigacha tegishli SSLContext kuchli ma’lumotnomasini saqlang	Barcha yaratish/almashtirish yo’llari S29 bilan qoplangan bo’lishi kerak
Python xost nomini o’tkazib yuborish	Rasmiy yechim: kutilgan server_hostnameni toʻgʻri kiriting	Faqat check_hostname bayrog’ini tekshirib bo’lmaydi yoki S30 S31 ogohlantirishini e’tiborsiz qoldirib bo’lmaydi
Ishonchsiz tar	Ekstraktsiyani o’chirib qo’ying/karantin qiling, muhim bo’lmagan havolalar va qurilma yozuvlarini rad eting	Filtrlar ham, manba kvotalari ham universal sinov qutilari emas S32 S40 S45
Sertifikat ishonch hodisasi	To’g’ri CA materialini yangilang; Java ishonchini rasmiy yumshatishga ko’ra cheklash mumkin	TLS tekshiruvini o’chirib qo’yish S19 S37 xavfini oshiradi

7.2 Yetkazib berish usuli asosida yamoqni tanlang

Yetkazib berish usuli	Ta’mirlash usullariga ustunlik bering	Saqlanishi kerak bo’lgan dalillar
Tarqatish tomonidan boshqariladigan ish vaqti	Ishlab chiqaruvchining tegishli xavfsizlik yangilanishlari	To’liq paket versiyasi, e’lon, ombor manbai
Rasmiy Binary/Runtime Manager	Xuddi shu filialdan rasmiy xavfsizlik versiyasi	Versiya, manba va dayjest, haqiqiy ijro yo’li
O’z-o’zidan tuzilgan Node / CPython	Mos keladigan filialning rasmiy manba relizi yoki sotuvchining to’liq yamoq to’plami	To’plamni qabul qiling, parametrlarni yarating, bog’liq kutubxonalar va regressiya natijalari
Spring / Next / Django	Filial ichidagi yangilanishlar, qaramlik qulflarini qayta tiklash va yakuniy ilovalar bilan mos keladi	Yakuniy qaramlik daraxti, JAR/paket/rasmdagi haqiqiy versiya
Shaxsiy ishonch do’koni	Pulni olishning rasmiy rejasi yoki sotuvchining yechib olinganligini tasdiqlovchi yangilanishi	Haqiqiy foydalanish yo’li, material o’zgarishi, TLS muvaffaqiyati va rad etish testlari
Buzilgan muhit	Toza va ishonchli mahsulotlardan tiklang va hodisani alohida tergov qiling	Tarixiy paket/tasvir dayjesti, o’rnatish yozuvi, hisobga olish ma’lumotlarini aylantirish rekordi

7.3 Kalit yamoq mexanizmi va ko’rib chiqish markazi

Brotli: tuzilishga kirishdan oldin chegara tekshiruvi va mahalliy dekodlash holatining xato qaytarilishi tugallanganligiga e’tibor beradi; faqat JavaScript paketini almashtirish Node ga statik ravishda tuzilgan kodni o’zgartira olmaydi. S4
Node DNS / TLS : kiritishni rad etishga, manzilni normallashtirishga, o’rtasidagi farqga qaratilgan IP SAN va DNS identifikatsiyalar va DNS qayta qo’ng’iroq qilish/Promise Tahlil qilish yo’li va TLS xost nomi mosligi testi. S5 S6
Tomcat JNDIRealm: autentifikatsiya jarayoni shunchaki katalog kontekstini olishdan ko’ra, hisobga olish ma’lumotlarini tekshiradimi yoki yo’qligiga e’tibor qaratadi; rasmiy versiyaga ustunlik berish va bitta manba faylini almashtirishni to’liq ikkilik yamoq sifatida ko’rib chiqmaslik. S24
CPython ssl: Python ma’lumotnoma egaligi va asosiy SSLContext hayotiy tsikliga e’tibor qaratadi; wrap_bio() tarmoq mosligidagi farqlarga ega bo’lgan holda backports va siz foydalanilgan filialning amaldagi bajarilishini o’qib chiqishingiz kerak. S31 S47
Sertifikatga ishonchsizlik: Bunday yangilanishlar ishonchli material sifatida koʻrinishi yoki aniq API oʻzgarishlarini emas, balki roʻyxat oʻzgarishlarini rad etishi mumkin. Node ning bir xil partiyasi ta’sirlangan oraliq CA ni rad etish mexanizmini ham o’z ichiga oladi; Java va Python ning tegishli ishonch manbalari hali ham alohida tekshirilishi kerak. S19 S37 S46

Mustaqil Brotli bog’lanishi ham tekshirilishi kerak. Google upstream chiqarildi 1.0.10 / 1.1.1 / 1.2.1 tuzatish uchun o’sha kuni CVE-2026-111497 . Python bir xil ta’sirlangan C ilovasini o’z ichiga olgan mahalliy kengaytmalar yoki JNI artefaktlari mustaqil ravishda yangilanishi/qayta tiklanishi kerak; hamma narsani sof deb bo’lmaydi Java dekoderlar ta’sir ko’rsatmaydi va yangilanishni taxmin qilish mumkin emas Node boshqa tillardagi nusxalarni avtomatik ravishda almashtiradi. S42

8. Tekshirish va keyingi tekshiruvlar

8.1 Minimal tekshirish roʻyxati

Elementlarni tekshiring	Dalil talab qilinadi
ish vaqti	Haqiqiy jarayonda/konteynerda to’g’ri to’liq versiya yoki sotuvchining backport dalillari
amaliy bog’liqliklar	Yakuniy joylashtirishda Next/RSC/sharp, Tomcat/Spring va Django/certifi mos keladigan chegaraga yetdi
O’zgartirish diapazoni	Barcha ishchi/JVM/konteyner nusxalari va fon vazifalari yangilari bilan almashtirildi va eski nusxalar tugatildi.
TLS	Yaroqli domen sertifikatlari muvaffaqiyatli; mos kelmaydigan xost nomlari va noto’g’ri zanjirlar siyosatga muvofiq ishlamayapti; maxsus ishonch do’konlari kiritilgan
eMudhra ishonchsizlik	Ta’sir qilingan oraliq CA tomonidan tuzilgan sertifikatlar zanjiri haqiqiy ish vaqtida rad etilgan yoki ma’lum bir sotuvchining xavfsizlikni yaratish/tegishli rad etish ro’yxati o’rnatilgani haqida dalillar mavjud; umumiy TLS testi yoki Java 8 qisqa versiya raqami asosida ishni yopish mumkin emas.
Node dekodlash va tasvirlar	Oddiy siqilgan javob, yuklash, tasvirni optimallashtirish va RSC funksiyalari mavjud; ishonchsiz manba siyosati amal qiladi
Java Autentifikatsiya va izolyatsiya	Noto’g’ri parol rad etildi; identifikator/javob aralashuvisiz mustaqil foydalanuvchining bir vaqtda asinxron so’rovlari; LDAP kutilganidek tinglanmoqda
Python SNI / Arxiv	Oddiy ko’p domen nomi TLS biznes barqaror; arxivlash yo’lni o’tishni va ruxsat etilmagan havolalarni rad etadi va katalogdan tashqaridagi fayllar o’zgartirilmaydi
Ma’lumotlar va funktsional regressiya	Peyjing, fazoviy so’rovlar, ruxsatlarni tekshirish va fon vazifalari loyihaning mavjud sinovlaridan o’tdi
Resurslar va kuzatishlar	CPU, xotira, xato tezligi, kechikish va TLS xatolarida g’ayritabiiy o’sish kuzatilmaydi.
Kuzatish imkoniyati	Yangilash vaqtini, paket/tasvir dayjestini, konfiguratsiya o‘zgarishlarini, tekshirish natijalarini va hal qilinmagan narsalarni tejang

Bular amalga oshirishni qabul qilish boʻyicha tavsiyalar boʻlib, har bir CVE uchun hujum skriptini yaratishni talab qilmaydi. Buzilishlar, resurslarning tugashi va arxivdan tashqarida bo’lgan tekshirishlar yuqori regressiya testi yoki izolyatsiya qilingan muhitda loyiha tomonidan boshqariladigan test ma’lumotlaridan foydalanishi kerak.

8.2 Yamoq va bosqinni tekshirish turli vazifalardir

Mavjud jurnallarni noodatiy dekodlash xatolari, ishchi/JVM ishdan chiqishi, shubhali fayllarni yozish, katalog maʼlumotlarini oʻzgartirish, autentifikatsiya qilish istisnolari, chiquvchi soʻrovlar va hisob maʼlumotlaridan foydalanish yozuvlari mavjudligini tekshiring. Ushbu belgilar kontekstda baholanishi kerak: avariya yoki OOM muvaffaqiyatli ekspluatatsiyaning isboti emas; ogohlantirishlarning yo’qligi tizimning ta’sirlanmaganligini isbotlamaydi.

Ruxsatsiz o’zgartirishlar, buzilgan hisobga olish ma’lumotlari yoki tasdiqlangan zararli bog’liqliklar aniqlanganda, dalillar saqlanishi, tegishli misollar ajratilishi, ta’sirlangan hisobga olish ma’lumotlari ishonchli muhitdan aylantirilishi va tizim qayta tiklanishi kerak. Yamoq tajovuzkor tomonidan olingan tokenlarni bekor qilmaydi yoki o’zgartirilgan ma’lumotlarni tiklamaydi.

9. Ta’minot zanjiri xavfsizligi hodisasi: LiteLLM 1.107.0 kelishuvi

**Rasmiy tasdiqlash sanasi: 21-10-2026.**LiteLLM uning chiqarish quvuri buzilgani haqida xabar berdi. PyPI ning litellm==1.107.0 va xuddi shu davrdagi ba’zi Docker/GHCR mahsulotlari maxfiy o’g’irlash va masofadan boshqarishning zararli kodini o’z ichiga olgan va tegishli mahsulotlar olib tashlangan. S41

Ta’sirni aniqlash uchun siz tarixiy o’rnatish yozuvlarini va tasvirni sinashni tekshirishingiz kerak; latest, main-latest va main-stable kabi teglar endi toza tasvirlarga ishora qiladi, bu voqea sodir bo’lgan paytda tortib olingan mahsulotlarning toza ekanligini isbotlamaydi. O’sha paytdagi rasmiy tavsiya 1.106.2 ni vaqtincha pin qilish edi; ushbu tavsiya ushbu hodisaga asoslangan va tarqatish paytida boshqa xavfsizlik e’lonlari hali ham tekshirilishi kerak. S41

Tegishli mahsulotlar o’rnatilgan yoki ishga tushirilgan muhitlar uchun:

O’rnatish yozuvlari, rasmlari va jurnallarini ajratib oling va saqlang va ularni toza muhitdan tekshiring.
Python/pip ni avval shubhali muhitda ishga tushirmang; zararli .pth / sitecustomize.py ishga tushirilgandan so’ng yana bajarilishi mumkin.
Ishonchli manbalardan xostlar, venvs/konteynerlarni qayta qurish; faqat paketlarni o’chirib tashlash yoki yangilash mumkin emas.
Bulutli hisob ma’lumotlarini, LLM provayder kalitlarini, LiteLLM kalitlarini va ma’lumotlar bazasi hisob ma’lumotlarini haqiqiy mavjudlik asosida bekor qilish/aylantirish va g’ayritabiiy foydalanishni ko’rib chiqish. S41

Bu tasdiqlangan ta’minot zanjiri hodisasi bo’lib, u bilan ishlashda zararli kod ijrosi, hisob ma’lumotlari sizib chiqishi va doimiy xavflarni hisobga olishni talab qiladi. 2026-yil 23-oktabr holatiga ko‘ra, rasmiylar hali ham dastlabki bosqinni tekshirmoqda.

Ilova: keltirilgan manbalar va havolalar

Quyidagi manbani tekshirish sanasi 2026-10-23, jumladan, loyihaning xavfsizlik boʻyicha rasmiy eʼlonlari, rasmiy kodlar ombori va sotuvchining koʻrsatmalari. [Sx] asosiy matni ushbu ilovaga mos keladi; yangilanishlarni amalga oshirayotganda, etkazib beruvchining keyingi tahrirlarni chiqarganligini tekshirishingiz kerak.

S1 — Node.js: 2026-10-21 Xavfsizlik eslatmasi

Maqsad: To’rt ish vaqti High, filiallarga ta’sir qiladi, oktyabrda xavfsizlikni chiqarish.
Manba: Official Security Bulletin

S2 - Node.js: uchta texnik xizmat ko’rsatish liniyasi uchun rasmiy relizlar bo’yicha ko’rsatmalar

Maqsad: 22.23.4, 24.22.1, 26.12.1 va haqiqiy birlashtirilgan yamoqlarni tekshiring.
Manba: Node.js 22.23.4
Manba: Node.js 24.22.1
Manba: Node.js 26.12.1

S3 — Vercel: Node.js Brotli RCE xavfsizlik bo’yicha maslahat

Maqsad: Kirish/chiqish dekodlash shartlari, WAF qamrov chegarasi, Node 20 holati.
Manba: Node.js security advisory: Brotli decoder RCE

S4 — Node.js: Brotli rasmiy yamoqlarini yuborish

Maqsad: Mahalliy dekodlashni tekshirish va xatolarni yoyish uchun asos.
Manba: Brotli Patch commit 49dff6f57a

S5 — Node.js: TLS manzilini normallashtirish patchi

Maqsad: To’liq kenglikdagi raqamlar va nostandart IP sertifikatining identifikatorini tekshirish.
Manba: IP normalization regression Patch
Manba: rejects the patching of non-standard IP address

S6 — Node.js: DNS NUL tekshirish patchi

Maqsad: kirishni rad etish va regressiyani qoplash.
Manba: dns.resolve Input verification patch

S7 — Node.js: 29-07-2026 Xavfsizlik eslatmasi

Maqsad: HTTP/2 xotiraning tugashi, UAF va ruxsat modeli zaifligi.
Manba: July 2026 Security Releases

S8 — Next.js: 2026-10-14 xavfsizlik yangilanishi

Maqsad: Yangilanishning asosiy darajasini va uchta asosiy xavfni birlashtirish.
Manba: Next.js Security Update for Upstream Vulnerabilities

Manba: S9 — Next.js：typed arrays / use cache RCE

Maqsad: GHSA-673q-mjm6-r5xr; interval, holat, ball va vaqtinchalik hal holatiga ta’sir qiladi.
Manba: Next.js Official Security Bulletin

Manba: S10 — React：React Server Components RCE

Maqsad: GHSA-xqc2-xf4c-x3h3; uchta RSC paketlarining ta’sirlangan va sobit versiyalari.
Manba: React Official Security Bulletin

Manba: S11 — Next.js：SVG Image Optimization RCE

Maqsad: CVE-2026-96889 / GHSA-2464-fhr4-w9xw; glibc, keskin va original versiya chegaralari.
Manba: SVG Image Optimization Official Security Bulletin

Manba: S12 — Next.js：Server Actions DoS

Maqsad: GHSA-p3m5-59mp-jv5r; shartlarga, versiyalarga va reytinglarga ta’sir qiladi.
Manba: Server Actions DoS Official Security Bulletin

S13 — Next.js: AVIF Tasvirni optimallashtirish RCE

Maqsad: 2026-08-25, GHSA-2xp9-vwfh-vxw4.
Manba: AVIF Official Security Bulletin

Manba: S14 — Next.js：Windows RCE

Maqsad: 2026-08-25, CVE-2026-75604/GHSA-p293-qw3h-jr36.
Manba: Windows RCE Official Security Bulletin

Manba: S15 — Next.js：next/og ImageResponse RCE

Maqsad: 2026-09-22, GHSA-vcvr-r3jv-pc5j; Node va Edge o’rtasidagi farq.
Manba: ImageResponse Official Security Bulletin
Manba: September 22 release notes

Manba: S16 — Oracle: October 2026 CPU

Maqsad: Java SE xavf matritsasi, yamoq miqdori va tegishli shartlar.
Manba: Oracle Critical Patch Update – October 2026
Manba: Oracle Java SE CPU Version list

S17 — Oracle: CVE-2026-91403 diapazondan tashqari signal

Maqsad: 21-10-2026, JSSE sertifikati ishonch xavfi, ta’sirlangan mahsulotlar va CVSS 3.1 9.1.
Manba: Oracle Security Alert

S18 — Oracle: JDK rasmiy versiyasi va yuklab olish

Maqsad: 20-oktabrdagi CPU va 21-oktabrdagi tarmoqdan tashqari versiyani farqlash; Java 8 qisqa versiyasining cheklovlarini ajratib ko’rsatish.
Manba: JDK release list
Manba: Oracle Java Download page

S19 — Oracle: eMudhra vaqtinchalik yechib olish rejasi

Maqsad: Yangilangan 2026-10-22; ikkita ildiz sertifikati, keytool, maxsus ishonchli do’kon va bekor qilishni tekshirish.
Manba: Distrusting eMudhra Intermediate Certificates in Oracle JDK

S20 - Eclipse Adoptium: Relizlar tuzish yozuvi

Maqsad: Temurin sertifikat hodisasi tufayli qayta qadoqlangan; Oracle versiyasi qo’shimchasini mexanik ravishda qo’llash mumkin emas.
Manba: Adoptium Release Scorecards

S21 — Apache Tomcat 9 Xavfsizlik eslatmasi

Maqsad: 9.0.123 tuzatish bilan 9-tarmoqli aniq ta’sirlangan interval.
Manba: Tomcat 9 vulnerabilities

S22 — Apache Tomcat 10 Xavfsizlik eslatmasi

Maqsad: 10.1 filialining aniq oralig’i va 10.1.61 ta’mirlash; 10.0 EOL.
Manba: Tomcat 10 vulnerabilities

S23 — Apache Tomcat 11 Xavfsizlik eslatmasi

Maqsad: uchta element Important, 11.0.27, AJP amaldagi qamrov va oshkor qilish/chiqarish sanasi.
Manba: Tomcat 11 vulnerabilities

S24 — Apache Tomcat: JNDIRealm yamoqlarini bajarish

Maqsad: Sertifikatlashtirishni tekshirish bo’shliqlarini tuzatish uchun rasmiy asos.
Manba: JNDIRealm Patch commit

Manba: S25 — Spring：GraphQL CVE-2026-59285

Maqsad: 2026-08-20, Majburiy, 2.0.5 OSS / 2.0.4.1 Tijoriy ta’mirlash.
Manba: Spring for GraphQL Unsafe Deserialization

Manba: S26 — Spring：GraphQL CVE-2026-41699

Maqsad: oldingi tuzatish chegarasi, nega eski bazada qola olmasligingizni tushuntirish uchun.
Manba: 6 Month GraphQL Security Bulletin

Manba: S27 — Spring Security：CVE-2026-59270

Maqsad: UnboundID LDAP, ma’lum boshqaruv identifikatorini joylashtiring va OSS/tijorat versiyasini ajratib oling.
Manba: Spring embedded LDAP Security Bulletin

Manba: S28 — Spring Security：CVE-2026-47841

Maqsad: WebAuthn foydalanuvchi autentifikatsiyasi, seansni ketma-ketlashtirish va hujum uchun asos.
Manba: WebAuthn Security Bulletin

S29 — PSF: CVE-2026-19445 Xavfsizlik boʻyicha mustaqil maslahat

Maqsad: 2026-09-30, Critical, SNI SSLContext tomonidan keltirilgan shartlar va vaqtinchalik choralar.
Manba: SSLContext UAF Official announcement

S30 — PSF: CVE-2026-19553 Xavfsizlik boʻyicha mustaqil maslahat

Maqsad: 2026-09-30, High, xost nomi etishmayotgan va parametrlarni aniq yumshatish.
Manba: wrap_bio Official announcement of hostname verification

S31 — CPython: wrap_bio rasmiy yamasi va 3.12 backport

Maqsad: 3.10—3.12 ogohlantirish muvofiqlik siyosati, None va boʻsh qator oʻrtasidagi farq.
Manba: Main Patch PR #158503
Manba: 3.12 Backfill PR #158513
Manba: 3.15 Backfill PR #158511

S32 — PSF: CVE-2026-82049 Xavfsizlik boʻyicha mustaqil maslahat

Maqsad: 2026-09-14, High, havola birikmasi, metamaʼlumotlarni oʻzgartirish va kontentga taʼsir qilish.
Manba: tarfile link bypasses the official announcement

S33 — CPython: Sentyabr oxiri/oktyabr oyi boshida rasmiy xavfsizlik versiyasi

Maqsad: Minimal tuzatish versiyasi, manba kodini tarqatish usuli va tarfilega xos muammolar uchun 3.14 ozod qilish.
Manba: Python Cross-branch security release instructions
Manba: Python 3.11.17
Manba: Python 3.12.15
Manba: Python 3.13.16
Manba: Python 3.14.8

S34 — CPython: 3.10 oxirgi xavfsiz versiya

Maqsad: 3.10.22 va yuqori oqim hayotiy tsiklining oxiri.
Manba: Python 3.10.22

S35 — CPython: 2026-10-21 favqulodda texnik xizmat ko‘rsatish versiyasi

Maqsad: 3.13.17 / 3.14.9 / 3.15.1, o’rnatilgan pip va certifi yangilanishlari, mavjud venv talablari.
Manba: Python 3.13.17
Manba: Python 3.14.9
Manba: Python 3.15.1

S36 — certifi: emSign sertifikatiga ishonchsizlik e’loni

Maqsad: 2026-10-20, GHSA-6q48-6c7w-9gw2, Critical, ma’lum emas CVE.
Manba: certifi Official Security Bulletin

S37 - PSF: eMudhra / emSign ning Python foydalanuvchilariga ta’siri

Maqsad: certifi .19 tavsiyasi, pip/uv bazaviy chiziq, SHA-256 bilan ishonchli yuklashni yangilash buyrug’i.
Manba: PSF Official event and upgrade instructions

S37 tomonidan keltirilgan rasmiy ko’rsatmalar tomonidan taqdim etilgan pip yuklashni yangilash buyrug’i quyidagicha. Faqat ishonchliligi tasdiqlangan Python muhitlarida foydalanish mumkin; agar 9-bo’limda zaharlanishga shubha bo’lsa, birinchi navbatda hodisa jarayoniga muvofiq izolyatsiya qiling va qayta quring. U g’ildirak tarkibidagi xeshni tuzatadi va keyinchalik loyiha jarayoniga muvofiq boshqa bog’liqliklarni yangilaydi.

python -m pip install "pip @ https://files.pythonhosted.org/packages/3f/06/3e4420302363fbb71be3c7f35ce042f54bfca330e3e66b3a2e3c4cca579f/pip-26.2.2-py3-none-any.whl#sha256=fd7f4dfa8190e014013b9f08f3e973f4e4c26ffd179a204895533a7254813a70"

S38 — Django: 2026-08-04 xavfsiz reliz

Foydalanish: CVE-2026-15307, GeoDjango Foydalanish shartlari, dastlabki tuzatishlar va moslik o’zgarishlari.
Manba: Django 6.0.8 / 5.2.17

S39 — Django: 2026-10-06 xavfsiz reliz

Maqsad: CVE-2026-87890, geometriya DoS hozirgi tanlangan asosiy chiziq bilan keyingi mustahkamlash.
Manba: Django 6.1.2 / 6.0.9 / 5.2.18

S40 — PSF / CPython: oxirgi tar_filtr yon eslatmasi

Maqsad: 2026-10-22, CVE-2026-114583 (Medium); PR birlashishi rasmiy texnik versiyasi chiqarilganligini anglatmaydi.
Manba: PSF Independent Announcement
Manba: CPython Patch PR #160098

S41 - LiteLLM: Ta’minot zanjiri hodisasi haqida rasmiy hisobot, 21 oktyabr

Maqsad: 1.107.0 ifloslangan mahsulot, tarixiy dayjest, izolyatsiyani qayta qurish va hisobga olish ma’lumotlarini yo’q qilish.
Manba: Contained: LiteLLM v1.107.0 Compromised

S42 — Google Brotli: rasmiy xavfsiz versiya

Maqsad: Mustaqil Brotli 1.0.10 / 1.1.1 / 1.2.1 va tillararo ko’milgan nusxani tekshirish asosi.
Manba: Brotli releases

S43 - noto’g’ri: buyruq rasmiy hujjatlaridan foydalaning

Maqsad: Global konfiguratsiyaning asbob versiyasi va buyruq semantikasini ko’rsating.
Manba: mise use

S44 — PyPA: pip-auditning rasmiy loyihasi

Maqsad: Python Bog’liqlik zaifligi auditining maqsadi va imkoniyatlari chegaralari.
Manba: pip-audit

S45 - Python: tarfile ekstraktsiya filtri hujjati

Maqsad: ma’lumotlar strategiyasi, standart xatti-harakatlardagi o’zgarishlar va sinov muhitini almashtira olmaydigan cheklovlar.
Manba: tarfile extraction filters

S46 — Node.js: oraliq CA rad etish mexanizmi

Maqsad: eMudhra bilan bog’liq bo’lgan ishonch zanjirini qayta ishlash barcha ildiz sertifikatlarining kriptografik bekor qilinishiga teng emas.
Manba: Node.js PR #66871

S47 — CPython: SNI UAF texnik eslatmalar va tuzatishlar

Maqsad: mos yozuvlar hayot aylanishi, maxsus qurish shartlari va filialni orqaga qaytarish.
Manba: official issue #156293
Manba: official patch PR #158504
Manba: 3.15 Backfill PR #158514