--- title: "Node.js, Java va Python: so'nggi zaifliklar va tuzatish bo'yicha qo'llanma" description: "Ish vaqti, ramkalar va sertifikat yangilanishlarini, filialga xos yamoqning asosiy ko'rsatkichlari, ta'sir qilish shartlari, vaqtinchalik yumshatish va ishlab chiqarishni tekshirish bilan ko'rib chiqing." language: "uz" url: "https://keendigit.com/uz/insights/node-java-python-security-remediation-guide" author: "KeenDigit" published: "2026-10-23" --- # Node.js, Java va Python: so'nggi zaifliklar va tuzatish bo'yicha qo'llanma Ish vaqti, ramkalar va sertifikat yangilanishlarini, filialga xos yamoqning asosiy ko'rsatkichlari, ta'sir qilish shartlari, vaqtinchalik yumshatish va ishlab chiqarishni tekshirish bilan ko'rib chiqing. **2026-yil 23-oktabr holatiga koʻra tekshirilgan manbalar (UTC)** **Qamlash davri: 2026-yil 25-iyuldan 23-oktabrgacha, sentyabrdan oktyabrgacha yangi eʼlonlar va keyingi yamoqlarga eʼtibor qaratilgan.** **Audience: Node.js, Java, Python xizmatlari, konteynerlar, quvurlarni qurish va ishlab chiqish muhitini ta’minlovchi muhandislar va xavfsizlik xodimlari.** Ushbu maqolada Node.js, Java va Python ish vaqtlari, standart kutubxonalar va umumiy server ramkalari va bog'liqliklaridagi so'nggi muhim xavfsizlik xatarlari umumlashtiriladi va ta'sir doirasi, sobit versiyalar, vaqtinchalik yumshatish choralari, yamoq tanlash va tekshirish usullarini taqdim etadi. Komponent versiyalari, yoqilgan xususiyatlar va kirish nuqtalariga ta'sirni baholang. Zaiflik faktlari rasmiy maslahatlardan kelib chiqadi; sanalar, agar oldingi yamoq chiqarilishi aniq qayd etilmagan bo'lsa, ommaga oshkor qilishni nazarda tutadi. Biz tasdiqlanmagan ekspluatatsiya shartlari, CVSS ballari yoki tabiatda ekspluatatsiya haqida xulosa chiqarmaymiz. Joylashtirish bo'yicha maslahatlar amalga oshirish bo'yicha ko'rsatma sifatida aniqlanadi. ## TL;DR: tuzatish ustuvorliklari 1. **Avval xizmatni o'z ichiga olgan ish vaqtini yangilang.** Tegishli narsalarni yangilang Node.js hech bo'lmaganda filialga **22.23.4 / 24.22.1 / 26.12.1** . Xizmatlardan foydalanish Node 24 gacha yangilash mumkin **24.22.1 bir xil asosiy versiyada yoki keyingi versiyada** unda bir xil tuzatishlar mavjud. [S1](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-1) [S2](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-2) 2. **Yangilash Node ilova bog'liqliklari alohida.** uchun Next.js , foydalaning **15.5.28 / 16.4.1** yangilanishning asosiy chizig'i sifatida; foydalanganda React Server Components mustaqil ravishda, haqiqiy o'rnatilganni tekshiring `react-server-dom-*` paket. Faqat yangilash Node binary ushbu ramka zaifliklarini qoplamaydi. [S8](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-8) [S9](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-9) [S10](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-10) [S11](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-11) [S12](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-12) 3. **Java : yangilanishlarning ikkala bosqichini qamrab oladi.** 20-oktabrni ham qamrab oladigan sotuvchi qurilishini o'rnating CPU va 21 oktyabr **CVE-2026-91403** favqulodda sertifikat - ishonchni tuzatish. Bo'limga qarang 2.2 uchun Oracle JDK 11 -27 ta diapazondan tashqari versiyalar; boshqa tarqatishlarni o'zlarining xavfsizlik paketlari va to'liq tuzilish raqamlari bilan tekshiring. Tegishli narsalarni yangilang Tomcat filialiga **9.0.123 / 10.1.61 / 11.0.27** . [S16](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-16) [S17](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-17) [S18](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-18) [S20](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-20) [S21](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-21) [S22](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-22) [S23](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-23) 4. **Python : tarjimonni, dastur paketlarini va sertifikat paketlarini alohida yangilang.** Bo'limga qarang 2.3 tarjimon asoslari uchun; `certifi` tavsiya qiladi **≥ 2026.10.19** , `pip` **≥ 26.2.2** , foydalanganda `uv` **≥ 0.13.4** . Har bir mavjud venv tekshirilishi kerak. uchun `wrap_bio()` tegishli kodlar, to'g'ri va bo'sh bo'lmagan `server_hostname` ham kiritilishi kerak. [S29](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-29) [S30](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-30) [S31](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-31) [S33](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-33) [S35](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-35) [S36](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-36) [S37](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-37) 5. **Agar darhol yangilanish imkonsiz bo'lsa, tegishli kirish nuqtalarida ta'sir qilishni kamaytiring.** Ishonchsizlarni to'xtatishga ustuvor ahamiyat bering Brotli dekodlash, ta'sirlangan tasvirni/peyjingni/arxivlashni qayta ishlash va muammoni ajratish LDAP yoki autentifikatsiya yozuvlari; saqlash TLS sertifikatlar va xost nomlari tasdiqlangan. Kiruvchi WAF zararli siqilgan javoblarni tortuvchi ilovalar kabi chiquvchi yo'llarni qamrab olmaydi. [S3](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-3) [S11](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-11) [S25](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-25) [S27](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-27) [S30](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-30) [S32](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-32) 6. **Qayta qurish, eski jarayonlarni almashtirish va real xizmat koʻrsatish yoʻllari orqali tekshirish.** Qulflash fayli va tasvir dayjestini saqlang, ilova va tasvirni qayta tiklang, barcha ishchilar/JVM/konteynerlar uchun oʻzgartirishlarni chiqaring; haqiqiy jarayonni, qaramlik daraxtini, ishonchli do'konni va biznes regressiya testlarini tekshiring. Yangi buyruq qatori versiyasining o'zi tuzatish tugallanganligini tasdiqlamaydi. 7. **Agar LiteLLM 1.107.0 oʻrnatilgan yoki ishga tushirilgan boʻlsa, hodisaga javob berish tartib-qoidalariga rioya qiling.** Loyiha 21-oktabrda relizlar boʻyicha murosaga kelganini tasdiqladi. Taʼsir qilingan muhitlarni ajratib oling, toza muhitdan tekshiring, ochiq hisob maʼlumotlarini qayta tiklang va aylantiring. Avval tekshirish uchun Python/pip ni shubhali muhitda ishga tushirmang. Tafsilotlar uchun 9-bo'limga qarang. [S41](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-41) ## 1. Zaifliklarni ko'rib chiqish va xavflarni baholash ### 1.1 Haqiqiy ta'sir qilish orqali tuzatishga ustuvor ahamiyat bering Quyidagi joylashtirish ustuvorliklari amalga oshirish bo'yicha ko'rsatmalardir. Jiddiylik belgilari har bir sotuvchiga, jumladan Apache **Important** reytingiga mos keladi. CVSS 3.1 va 4.0 turli skor tizimlari; masalalarni faqat ball bo'yicha tartiblamang. | Ekotizim / qatlam | Asosiy masalalar | Rasmiy baho yoki tasdiqlangan ball | Ustuvor joylashtirish | | ---------------------------------- | ----------------------------------------------------------------------------------------------------- | ---------------------------------- | ---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | Node.js mahalliy qaramlik | CVE-2026-111497: Brotli chegaradan tashqarida yozilgan va RCE xavfi mavjud | Node：High | Brotli ma'lumotlarini [S1](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-1)[S3](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-3) tashqi so'rov tanasida yoki tashqi javobda dekodlash | | Node.js TLS / DNS | CVE-2026-105482, 105483, 106069: Tahlil qilish va shaxsni tekshirish mos kelmaydi | High | URL skanerlash, proksi-server, Webhook, dinamik maqsadli manzil [S1](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-1)[S5](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-5)[S6](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-6) | | Node.js HTTP/2 | CVE-2026-56846, 56848: Xotira tugagan va UAF | High | Node bevosita ishonchsiz HTTP/2 [S7](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-7) trafigini boshqaradi | | React / Next.js | RSC / `use cache` typed arrays RCE | Critical；CVSS 4.0 9.5 | Server RSC, tegishli kesh komponentlari va ma'lumotlar yo'li [S9](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-9)[S10](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-10) | | Next.js Tasvirni optimallashtirish | CVE-2026-96889: SVG Tasvirga ishlov berish RCE | Critical；CVSS 4.0 9.5 | glibc Linux da ishonchsiz tasvirlarni ishlay oladigan holatlar [S11](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-11) | | Next.js Server Actions | Maxsus ishlab chiqilgan so'rov CPU tugashiga olib keladi | High；CVSS 4.0 8.2 | App Router va kamida bitta Server Action [S12](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-12) | | Java TLS ishonch | CVE-2026-91403: Zararlangan oraliq CAga ishonishda davom eting | CVSS 3.1 9.1 | TLS/API stsenariysi [S17](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-17) zararlangan ishonch zanjiri yordamida | | Tomcat | JNDIRealm autentifikatsiyani chetlab o‘tish, HTTP/2 o‘zaro so‘rovlarni aralashtirish, AJP javob oqish | Important | Realm / Connector / async Servlet yo'liga mos keladi [S21](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-21)[S22](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-22)[S23](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-23) | | Spring for GraphQL | CVE-2026-59285: peyjingni seriyadan chiqarish RCE | High | Jackson 2 + Connection peyjing + ekspluatatsiya qilinadigan sinf yo'li [S25](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-25) | | Spring Security | CVE-2026-59270: oʻrnatilgan LDAP maʼlum boshqaruv identifikatori ochildi | Critical | O'rnatilgan LDAP yoqilgan va tinglash portiga tajovuzkor [S27](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-27) kirishi mumkin | | CPython `ssl` | CVE-2026-19445: SNI kommutatsiyasi natijasida UAF | Critical | Python TLS ni o‘z-o‘zidan tugatadi va [S29](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-29) kontekstli hayot aylanishi shartiga javob beradi | | CPython `ssl` | CVE-2026-19553: Xost nomi etishmayotgan bo‘lsa, tekshirishni o‘tkazib yuboring | High | `wrap_bio()` / Tegishli asyncio qo'ng'irog'i kutilgan host nomi [S30](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-30) yo'q | | CPython `tarfile` | CVE-2026-82049: Qattiq havola va ramziy havola birikmasi bypass | High | Ishonchsiz tar arxivini [S32](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-32) avtomatik ravishda chiqarib oling | | Django / GeoDjango | CVE-2026-15307: fazoviy so'rov yozish fayli, SSRF, RCE sharti ostida | High | Fazoviy so'rovlar yoki tegishli boshqaruv interfeyslari ishonchsiz kirishni qabul qiladi [S38](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-38) | | Python sertifikatiga bog'liqlik | certifi: emSign bilan bog'liq sertifikatga ishonchsizlik | Critical; GHSA, noma'lum CVE | TLS mijoz va paketlarni boshqarish vositasi [S36](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-36)[S37](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-37) hali ham ta'sirlangan CA bundle dan foydalanmoqda | Qisqartmalar: RCE masofadan turib kod bajarilishini, UAF bepul foydalanishni, SSRF esa server tomonidagi so'rovlarni qalbakilashtirishni anglatadi. RCE to'g'ridan-to'g'ri ruxsatlari odatda dasturni joylashtirgan jarayonning ruxsatlari bo'lib, avtomatik ravishda ildiz ruxsatlariga ekvivalent bo'la olmaydi. **Tavsiya etilgan ketma-ketlik:** birinchi navbatda tashqaridan kirish mumkin bo'lgan va shartlarga javob beradigan RCE bilan ishlaydi, autentifikatsiyani chetlab o'tish, foydalanuvchilar o'rtasidagi ma'lumotlarning sizib chiqishi va sertifikat autentifikatsiyasi muammolari; shu bilan birga, ommaga qaragan DoS kirish nuqtasi uchun yangilanishlarni rejalashtiring. Foydalanish qobiliyatini isbotlash uchun ishlab chiqarishda hujum yuklarini ishga tushirishning hojati yo'q. Bog'liqliklar mavjud, kod yo'llari mavjud va hujum shartlari bajariladi. Bular alohida tekshirilishi kerak bo'lgan uchta masala. ### 1.2 Uchta oson chalkash chegara - **Ish vaqtlari va bog'liqliklarni alohida yangilang.** Xavfsizlik uchun yangilanishlar Node , JDK , CPython ning mustaqil o'rnatishlarini avtomatik ravishda tuzatmaydi Next.js , Spring , Django , certifi yoki mahalliy kengaytmalar. - **Remediatsiya chegarasi joriy joylashtirishning asosiy darajasidan alohida.** Avgust oyidagi zaiflik uchun birinchi yamoq sentabrdan oktyabrgacha yangi muammolarni qamrab olishi kafolatlanmaydi; 2-bo'lim amalga oshirish maqsadi sifatida tasdiqlangan keyingi yangilanishlardan foydalanadi. - **Zaiflikni haqiqiy ta'minot zanjiri murosasidan ajratib ko'rsatish.** Umumiy zaifliklar uchun yamoqlar kelajakdagi hujum yo'llarini yo'q qiladi; zararli paketlar ishga tushirilganda, hisobga olish ma'lumotlari va qat'iylikning ta'sirini tekshirish kerak. 9-bo'limning LiteLLM rasman tasdiqlangan voqeadir. [S41](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-41) Yovvoyi tabiatda tasdiqlangan ekspluatatsiya mavjudligi rasmiy ma'lumotlarga asoslanishi kerak. Sotuvchi ekspluatatsiya faoliyati haqida gapirmadi va hech qanday hujum yo'qligini isbotlay olmaydi; remediatsiya haqiqiy hujum yuzasiga asoslangan holda amalga oshirilishi kerak. ## 2. Ruxsat etilgan versiya va joylashtirishning asosiy darajasini tezkor tekshirish ### Manba: 2.1 Node.js、React、Next.js | komponent/tarmoq | Tavsiya etilgan asosiy versiya | Foydalanish bo'yicha ko'rsatmalar | | -------------------------------------------------- | ------------------------------------------ | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | Node.js 22.x | **22.23.4** | Xavfsizlik nashri [S1](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-1)[S2](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-2), 21 oktyabr | | Node.js 24.x | **24.22.1** | Applies to the 24.x branch; 24.22.0 tarkibida 21-oktabrdagi [S1](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-1)[S2](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-2) xavfsizlik yamoqlari mavjud emas | | Node.js 26.x | **26.12.1** | Xuddi shu to'plamdagi xavfsizlik versiyasi [S1](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-1)[S2](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-2) | | Node.js 20 va undan oldingi yuqori oqim filiallari | Qo'llab-quvvatlanadigan filialga o'tkazing | Node 20 does not accept this upstream fix; sotuvchining kengaytirilgan qo'llab-quvvatlashi [S3](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-3) alohida tekshirilishi kerak | | Next.js 15.x | **15.5.28** | 14 oktyabrda yangilangan [S8](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-8) | | Next.js 16.x | **16.4.1** | Yuqoridagi kabi [S8](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-8) | | Mustaqil RSC 19.0 / 19.1 / 19.2 / 19.3 filiali | **19.0.9 / 19.1.10 / 19.2.9 / 19.3.1** | Uchta `react-server-dom-*` paketini alohida tekshiring; faqat yuqori qatlamga qaramang `react` [S10](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-10) | | Next aslida `sharp` yuklangan | **≥0.35.5** | SVG zaifligi uchun rasmiy vaqtinchalik tuzatish shartlari; boshqa Next.js yamoqlarini [S11](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-11) almashtirmaydi | Node oktyabr oyidagi zaiflik uchun ta'sirlangan texnik xizmat ko'rsatish tarmoqlarini rasman ro'yxatga oladi, lekin dastlab kiritilgan yamoq versiyasini band bo'yicha taqdim etmaydi, shuning uchun har bir zaiflikning aniq boshlang'ich versiyasini faqat texnik xizmat ko'rsatish sohasi diapazoni asosida aniqlash mumkin emas. Joylashtirishda bir xil filialning yuqoridagi versiyasidan yoki bir xil tuzatishlar mavjudligi tasdiqlangan keyingi versiyadan foydalanishga ustuvor ahamiyat bering. ### 2.2 Java: oktyabr CPU plus diapazondan tashqari sertifikat yangilanishi This table applies to **Oracle JDK**. The second column covers only the October 20 CPU; the third includes the October 21 out-of-band release. Faqat CPU versiyalari bu yerda muhokama qilingan barcha Java xavflarini qamrab olmaydi. [S16](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-16)[S17](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-17)[S18](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-18) | filiali | 20 oktyabr CPU | Oracle 21 oktyabrda guruhdan chiqdi | | ------- | -------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------ | | 11 | 11.0.33 | **11.0.33.0.2** | | 17 | 17.0.21 | **17.0.21.0.2** | | 21 | 21.0.13 | **21.0.13.0.2** | | 25 | 25.0.5 | **25.0.5.0.2** | | 27 | 27.0.1 | **27.0.1.0.2** | | 8 | 8u511 | Ommaviy nashrlar jadvalida hali ham **8u511** ko'rsatilgan; the specific security build and trust chain repair must be checked, and cannot be determined based on the short version number alone | \*\*Java 8 toʻliq tuzilish maʼlumotlari bilan tekshirilishi kerak:\*\*Oracle Ogohlantirishda 8u511 taʼsirlangan versiya sifatida koʻrsatilgan, relizlar roʻyxatida esa bir xil qisqa nomdagi keyingi yangilanishlar roʻyxati keltirilgan. Yamoq holatini faqat "8u511" qisqa versiya raqamiga qarab ajratib bo'lmaydi. You should confirm the specific security build and trust chain fixes. [S17](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-17)[S18](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-18) **Temurin , Corretto , Zulu , Microsoft Build of OpenJDK , chiqarish versiyasi OpenJDK , va hokazo, ularning tegishli e'lonlari va to'liq paket/qurilish raqamlariga muvofiq tekshiring.** Masalan, rasmiy reliz yozuvi Adoptium qo'shish uchun tegishli qurilish qayta paketlanganligini bildiradi eMudhra tuzatish; yuqoridagi versiyaning bir xil nomi paket tarkibi bir xil ekanligini anglatmaydi. The `.0.2` uchun qo'shimchalar qoidalari Oracle boshqa nashriyotlarga mexanik ravishda qo'llanilmaydi. [S20](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-20) | Java dastur komponentlari | Tavsiya etilgan asosiy versiya | Izohlar | | ------------------------------------- | ------------------------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | Tomcat 9 / 10.1 / 11 | **9.0.123 / 10.1.61 / 11.0.27** | Filial bo'yicha filialni tekshiring; Tomcat 10.0 has stopped maintenance [S21](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-21)[S22](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-22)[S23](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-23) | | Spring for GraphQL 2.0.x | **2.0.5（OSS）** | Tijoriy yordam ham 2.0.4.1 [S25](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-25) | | Spring Security 7.1 / 7.0 | **7.1.1 / 7.0.7（OSS）** | Avgust oyida e'lon qilingan minimal tuzatish versiyasiga mos keladi; joylashtirishdan oldin keyingi [S27](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-27)[S28](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-28) xavfsizlik byulletenini tekshirishingiz kerak | | Spring Security 6.5 / 6.4 / 5.8 / 5.7 | **6.5.12 / 6.4.19 / 5.8.28 / 5.7.26** | E'lon tijoriy yordamni tuzatish sifatida ro'yxatga olingan; migratsiya mos keladigan yordam mavjud bo'lmaganda baholanadi va Maven Central bepul [S27](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-27) uchun mavjud deb taxmin qilish mumkin emas. | Spring yangilanishlari loyihaning Spring Boot BOM, Java minimal versiyasi va moslik qatorlariga mos kelishi kerak. Do not directly force all Spring modules to the same number just to get a patch. ### 2.3 CPython, Django va sertifikat bog'liqliklari Quyidagi jadvalning ikkinchi ustuni sentyabr oyida oshkor qilingan TLS muammosiga qaratilgan; `tarfile` uchun filiallar farqlari 5.3. bo'limida ko'rsatilgan 21-oktabrdagi nashrlar, shuningdek, to'plamli sertifikat vositalarini ham yangiladi, shuning uchun oxirgi ustunda keyingi o'rnatishning asosiy ko'rsatkichlari mavjud. [S29](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-29)[S30](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-30)[S33](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-33)[S35](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-35) | CPython filiali | Sentyabr xavfsizlik paketining minimal versiyasi | Tavsiya etilgan joylashtirishning asosiy ko'rsatkichi | | --------------- | ----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------ | | 3.10 | 3.10.22 | Yuqori oqimdan so'nggi versiya, EOL; migratsiyani tashkil qiling yoki [S34](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-34) reliz kengaytmasini qo‘llab-quvvatlashni tekshiring | | 3.11 | **3.11.17** | 3.11.17 va pip/certifi ni har bir muhitda alohida yangilang | | 3.12 | **3.12.15** | 3.12.15 va pip/certifi ni har bir muhitda alohida yangilang | | 3.13 | 3.13.16 | **3.13.17** | | 3.14 | 3.14.8 | **3.14.9** | | 3.15 | Yakuniy 3.15.0 nashri ikkala TLS tuzatishlarini ham o'z ichiga oladi [S31](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-31)[S47](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-47) | **3.15.1** | 3.11 va 3.12 ning yuqoridagi xavfsizlik versiyalari faqat manba kodida chiqarilishi mumkin; operatsion tizim paketidan foydalanganda, sotuvchining backport maslahatini va paketning to'liq versiyasini tekshiring va Python tizimini o'z-o'zidan tuzilgan versiyaga majburan almashtirish talabi yo'q. [S33](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-33)[S34](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-34) | mustaqil qaramlik | Tavsiya etilgan asosiy versiya | Tavsif | | ---------------------- | ------------------------------ | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | Django 5.2 / 6.0 / 6.1 | **5.2.18 / 6.0.9 / 6.1.2** | 6-oktabrdagi keyingi tuzatish [S38](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-38)[S39](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-39) kiritilsin | | certifi | **≥2026.10.19** | GHSA boshlang‘ich yamog‘i .18; PSF [S36](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-36)[S37](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-37) sertifikatlarining mosligini saqlab qolish uchun .19 ni tavsiya qiladi. | | pip | **≥26.2.2** | certifi o'rnatilgan nusxasi alohida yangilanishi kerak [S35](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-35)[S37](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-37) | | uv (agar foydalanilsa) | **≥0.13.4** | [S37](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-37)-ni haqiqiy o'rnatish usuliga muvofiq yangilang | **Ushbu asoslar sanab o‘tilgan tuzatishlarni o‘z ichiga oladi.** `tar_filter`’dagi yana bir o‘rta jiddiylikdagi muammo 22-oktabrda oshkor qilingan. 2026-yil 23-oktabr holatiga ko‘ra, ushbu tuzatishni o‘z ichiga olgan rasmiy texnik versiya hali tasdiqlanmagan; shuning uchun 3.13.17 / 3.14.9 / 3.15.1 barcha tarfile masalalarini qamrab olgan deb hisoblanmaydi. 5.4. [S40](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-40) bo'limiga qarang ### 2.4 Tarqatish portlarini tekshirish Ubuntu, Debian, RHEL va boshqa dasturiy paketlarga taalluqli amal qilish tamoyillari: 1. Operatsion tizim versiyasini, ombor manbasini, to'liq paket versiyasini va sotuvchining xavfsizlik byulleteni raqamini yozib oling. 2. Maslahat maxsus CVE ni qamrab olishini va tegishli tarqatish nashri uchun belgilangan paketni aniqlashini tasdiqlang. 3. Faqat yuqoridagi qisqa versiyani emas, balki haqiqiy ishlaydigan jarayon tomonidan yuklangan ikkilik fayllarni/kutubxonalarni solishtiring. 4. Agar sotuvchining yamog'i haqida hech qanday dalil bo'lmasa, uni "tasdiqlash uchun" qoldiring va versiya raqami eski yoki yangi ko'rinadi degan yagona xulosa sifatida qabul qilmang. apt/RPM paket versiyalarida va turli tarqatishlarning backport strategiyalarida farqlar mavjud. Har bir tarqatishning xavfsizlik byulleteni va to'liq paketli versiyasi ustun bo'lishi kerak. ## 3. Node.js / JavaScript ekotizim: Sabablarni tahlil qilish va bartaraf etish ### 3.1 CVE-2026-111497: Brotli mahalliy dekoder chegaradan tashqarida yozish **Oshkora qilish: 2026-10-21; Node rasmiy darajasi: High.** Node 22.x, 24.x, 26.x taʼsirlangan tuzilmalari 2.1 yamoq qismini oʻrnatishni talab qiladi. Node E'londa CVSS raqamli ball ko'rsatilmagan. [S1](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-1) Muammo noto'g'ri tuzilgan Brotli siqilgan oqim bilan ishlashda mahalliy dekodlash mantig'ida yuzaga keladi, bu esa chegaradan tashqarida yozishga olib kelishi mumkin. Vercel ning rasmiy tavsifi tadqiqot namoyishi jarayon xotirasi oqib ketishi va buyruqlar bajarilishini o‘z ichiga olganligini tasdiqlaydi. Buzg'unchining dekoderga kirishi mumkinmi yoki yo'qmi, dastur yoki bog'liqlik u boshqaradigan ma'lumotlarni haqiqatda dekodlashiga bog'liq. [S3](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-3) Ikkala yo'nalish ham bir vaqtning o'zida tekshirilishi kerak: - **inbound:** ramkasi yoki o'rta dastur foydalanuvchi tomonidan yuborilgan Brotli so'rov qismini avtomatik ravishda ochadi. - \*\*outbound:\*\*HTTP Mijozlar, tasvir egalari va boshqalar tajovuzkor tomonidan boshqariladigan manbalarga kirish va qaytarilgan kontentni avtomatik ravishda ochish. Brauzerlarga yuborilgan javoblarning Brotli siqilishini o'chirib qo'yish dekodlash kirish nuqtasini olib tashlamaydi. Kiruvchi WAF himoyasi tashqi javoblarni olish va dekodlash ilovalarini ham qamrab olmaydi. [S3](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-3) \*\*Patch yo'nalishi:\*\*Node Brotli yuqori oqim tuzatishini mahalliy qaramlikka o'tkazing va noqonuniy dekodlash holatini tekshirish va xatolar tarqalishini to'ldiring. O'z-o'zidan tuzilgan versiyani saqlashda siz rasmiy xavfsizlik versiyasidan yoki mos keladigan filialning to'liq yamog'idan foydalanishingiz kerak. Siz shunchaki JavaScript paketining versiya bayonotini o'zgartira olmaysiz. [S4](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-4) **Vaqtinchalik amalga oshirish bo'yicha takliflar:** keraksiz ishonchsiz Brotli dekodlashni to'xtatish; o'rta dastur va HTTP mijozining avtomatik dekompressiya harakatini tekshirish; agar biznes ushbu formatni qabul qilishi kerak bo'lsa, imkon qadar tezroq yamalgan muhitda qayta ishlashni yakunlang. `Accept-Encoding` ni sozlash faqat muzokaralar harakatidir va yolg'iz o'zi zararli javob bloklanganligining dalili bo'lmasligi kerak. ### 3.2 TLS / DNS uchta High: Tekshiruv obyekti haqiqiy maqsadga mos kelmaydi Uchalasi ham 21-oktabr kuni oshkor qilingan, rasmiy yangilanish chegarasi 2.1. [S1](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-1) bo‘limida belgilangan. | Identifikator | Muammo tasdiqlandi | Ta'sir qilingan filiallar | | --------------- | --------------------------------------------------------------------------------------------------------- | ------------------------- | | CVE-2026-105482 | `dns.resolve` NUL o'z ichiga olgan nomlarni qisqartirish | 22.x / 24.x / 26.x | | CVE-2026-105483 | IP to'liq kenglikdagi raqamli shaklda sertifikat host nomini tekshirishni chetlab o'tishga olib keladi | 24.x / 26.x | | CVE-2026-106069 | IP sifatida erkin talqin qilinishi mumkin bo'lgan xost nomi TLS tekshiruvini chetlab o'tishga olib keladi | 22.x / 24.x / 26.x | DNS Muammoning mohiyati shundaki, yuqori qatlam tomonidan tekshirilgan satr pastki qatlam tomonidan tahlil qilingan nomdan farq qiladi. Rasmiy yamoq tahlil kiritishda NUL ni rad etadi va regressiya qamrovini qo'shadi. [S6](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-6) TLS Ikki element nomni normallashtirish, IP talqinining izchilligi va sertifikat mosligini o'z ichiga oladi. Haqiqiy IP so‘nggi nuqtasini sertifikat domeni identifikatori bilan chalkashtirib yubormaslik uchun standart bo‘lmagan IP kiritish rad etilishi yoki to‘g‘ri ishlashi uchun yamoq o‘rnating. [S5](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-5) **:** uchun nosozliklarni bartaraf etish bo‘yicha dolzarb takliflar qabul qiluvchi foydalanuvchi URL kodini, dinamik proksi-server yoki Webhook manzilini tekshirishga ustuvor ahamiyat beradi; yagona standartlashtirish va roʻyxat qaroriga ruxsat beradi, NUL/nazorat belgilarini rad etadi, qonuniy IPv4, IPv6 va xalqarolashtirilgan domen nomlarini tasdiqlaydi. SSRF yanada shakllantirilishi mumkinmi yoki yo'qmi, CVE nomidan to'g'ridan-to'g'ri chiqarib bo'lmaydigan havola dalillarini qo'llashni talab qiladi. Yangilanishdan keyingi nazorat summasi xatolarini bartaraf qilish uchun `NODE_TLS_REJECT_UNAUTHORIZED=0` yoki `rejectUnauthorized: false` dan foydalanmang. Manzil, sertifikat va biznes konfiguratsiyasi tuzatilishi kerak. ### 3.3 iyul HTTP/2 High-xavf va ruxsat modeli muammolari Iyul oyida oshkor qilingan quyidagi masalalar hali ham tergovga kiritilishi kerak. Joylashtirishda 2.1 bo'limida oktyabr oyi xavfsizlik versiyasidan to'g'ridan-to'g'ri foydalanish tavsiya etiladi. [S7](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-7) | CVE | Sabablari va oqibatlari | Birinchi sobit versiya | | -------------- | ---------------------------------------------------------------------------------------------------------------------------------- | ----------------------------------------------------- | | CVE-2026-56846 | Saqlangan HTTP/2 header bloki `maxSessionMemory` byudjetiga to'g'ri kiritilmagan va xotirani yo'qotishi mumkin; Ta'sir 22.x / 24.x | 22.23.2 / 24.18.1 | | CVE-2026-56848 | HTTP/2 paketlarni yig'ish vaqtida jo'natish yo'liga qayta kiradi, bu UAF to'plamini keltirib chiqaradi; ta'sir 22.x / 24.x / 26.x | 22.23.2 / 24.18.1 / 26.5.1 | | CVE-2026-58043 | `--permission` Yo'l prefiksi chegarasi juda keng va ruxsat etilgan ro'yxatdan tashqaridagi fayllarga kirish mumkin. | Yuqoridagi uchta parvarishlash liniyasi bilan bir xil | Uchalasi ham rasman High. Birinchi ikkita element HTTP/2 Node tomonidan qayta ishlanganligini tekshirishga ustuvor ahamiyat beradi; uchinchi band faqat ruxsat modelidan foydalanganda va ushbu chegaraga tayangan holda tegishli ma'noga ega. Ruxsat modeli elementlarining barchasini autentifikatsiyani talab qilmaydigan RCE tarmog‘i sifatida tasvirlab bo‘lmaydi. [S7](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-7) Alohida, yangilangan proksi-serverda HTTP/2-ni vaqtincha to'xtatish va backend manbalarini cheklash ta'sir qilishni kamaytirish uchun joylashtirish variantidir; resurs kvotalari faqat resurslarning tugashi oqibatlarini nazorat qilishi mumkin va UAF ni tuzatishi mumkin emas. ### 3.4 oktyabr React / Next.js: ikkita element RCE va bitta element DoS #### A. RCE RSC / `use cache` funksiyalari terilgan massivlarni qaytaradi **Ommaga chiqarilgan sana: 2026-10-14; Critical, CVSS 4.0 9.5.** Rasmiy maslahat identifikatorlari: - React：**GHSA-xqc2-xf4c-x3h3**。 - Next.js：**GHSA-673q-mjm6-r5xr**。[S9](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-9)[S10](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-10) The React Yuqori oqim muammosi tajovuzkor tomonidan boshqariladigan qiymatlar bilan birlashtirilgan bir nechta terilgan massivlarni o'z ichiga oladi RSC javob. Uchtasi ta'sir qildi `react-server-dom-*` paket versiyalari mavjud **19.0.0 — 19.0.8 , 19.1.0 — 19.1.9 , 19.2.0 — 19.2.8 , 19.3.0** ; bo'limiga qarang 2.1. Sof brauzer tomoni React , yoki qo'llab-quvvatlaydigan ramkalar/plaginlarni ishlatmaydigan ilovalar RSC umuman, ushbu bandning doirasiga kirmang. [S10](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-10) Next.js quyi oqim e'lonlari ro'yxati **16.0.0 — 16.4.0** , yilda qayta ko'rib chiqilgan **16.4.1** ; stsenariy shunday App Router , Cache Components , va `use cache` bir nechta terilgan massivlarni qaytaruvchi funksiyalar. Rasmiy ishonchli umumiy vaqtinchalik yechim yo'q va ta'sirlangan versiyalarning foydalanuvchilari o'z vaqtida yangilashlari kerak. Qayta ishlashni tugatish uchun "bu funksiya mavjud emasga o'xshaydi" degan qo'lda qidiruvga tayanish o'rinli emas. [S9](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-9) #### Manba: B. SVG Image Optimization RCE **CVE-2026-96889/GHSA-2464-fhr4-w9xw, 2026-10-14, Critical, CVSS 4.0 9.5.** muammosi tasvirni optimallashtirish uchun ishlatiladigan yuqori oqimdagi mahalliy kutubxonada yuzaga keladi. Rasmiylar RCE xavfi **glibc Linux** stsenariysida mavjudligini ta'kidladilar. [S11](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-11) Rasmiy versiya maydonlari: - `>=10.0.0 <=15.5.27`； - `>16.0.0 <=16.4.0`。 Rasmiy 16.x filiali uchun `>16.0.0` ning qattiq pastki chegarasidan foydalanadi, ammo bu diapazon bayonoti 16.0.0 xavfsiz ekanligini isbotlash uchun etarli emas. Haqiqiy yangilash maqsadi bir xilda **15.5.28 / 16.4.1**. [S11](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-11) Rasmiy vaqtinchalik yechim **Next ≥0.35.5** keskin yuklanishini ta'minlashdir. Bloklangan fayllar, ichki o'rnatilgan bog'liqliklar va o'rnatish tasvirlari hali ham eski namunalarni saqlashi mumkin, shuning uchun yuqori darajadagi `sharp` bog'liqligining yangi versiyasini qo'shishning o'zi etarli emas, yakuniy qaramlik daraxti tekshirilishi va qayta tiklanishi kerak. [S11](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-11) #### C. Server Actions CPU tugadi **GHSA-p3m5-59mp-jv5r , 2026-10-14, High , CVSS 4.0 8.2 .** Next ta'sir qiladi **13.0.0 — 15.5.27 , 16.0.0 — 16.4.0** , tuzatadi **15.5.28 / 16.4.1** . Shartlar shunday App Router va kamida bitta Server Action ; zararli so'rovlar saqlanishi mumkin CPU uzoq vaqt davomida band bo'lib, xuddi shu jarayonda keyingi so'rovlarni blokirovka qiladi. Ilovalar bilan Pages Router yoki holda Server Actions bu ta'sir qilmaydi. [S12](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-12) Yangilanishning o'rnini bosadigan rasmiy yechim yo'q. Tarif chegaralari, parallellik chegaralari va resurs kvotalari zararni kamaytirishi mumkin, ammo yamoq tekshiruvi uchun xulosa sifatida foydalanish mumkin emas. ### 3.5 Avvalroq Next.js bir xil oynada Jiddiy muammo Quyidagi elementlar hali ham avgust-sentyabrgacha bo'lgan versiyalarda saqlanib qolgan joylashtirishlarni yo'qotmaslik uchun mo'ljallangan; endi jadvaldagi eski tuzatish chegaralariga o'tish tavsiya etilmaydi. | Sana | Identifikator / stsenariy | Birinchi tuzatish; joriy harakat | | ---------- | ----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | -------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | 2026-08-25 | GHSA-2xp9-vwfh-vxw4: AVIF tasvirni optimallashtirish mahalliy kutubxonasi RCE, Critical | 15.5.24 / 16.3.3; hozir 15.5.28 / 16.4.1 [S13](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-13) | | 2026-08-25 | CVE-2026-75604: RCE, Critical, Pages Router va App Router Windows da bir vaqtda foydalanilganda va Cache Components yoqilmagan; `>=13.4.0 <15.5.24`, `>=16.0.0 <16.3.3` versiyalari | 15.5.24 / 16.3.3; Linux/macOS-ga ushbu Windows [S14](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-14) muammosi ta'sir qilmaydi | | 2026-09-22 | GHSA-vcvr-r3jv-pc5j: `next/og` da Node tasvir yaratish yoʻli ishonchsiz SVG, Critical jarayonlarini qayta ishlaydi; 16.2.0—16.3.5 | 16.3.6; Edge ilovasi ushbu muammo doirasidan tashqarida va 15.x ushbu RCE [S15](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-15) uchun taʼsirlangan filial emas. | ## 4. Java ekotizim: Ish vaqti ishonchi, konteynerlar va ramkalar alohida ishlanadi ### 4.1 JDK: Muntazam CPU va CVE-2026-91403 ikki bosqichli yangilanishlardir 20-oktabrdagi Java SE xavf matritsasi Oracle CPU uchun **55 yangi xavfsizlik yamoqlari ro‘yxatini o‘z ichiga oladi, ulardan 49 tasi tarmoq orqali autentifikatsiya qilinmasdan foydalanish mumkin deb belgilangan**. Bu 55 ta Critical mavjudligini yoki har bir Java veb-xizmati uchun 49 ta bevosita ekspluatatsiya qilinadigan RCE yo'llari mavjudligini anglatmaydi; matritsadagi komponentlar, API-lar, foydalanuvchilarning o'zaro ta'siri va joylashtirish shartlari bilan birgalikda tushunilishi kerak. [S16](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-16) Keyingi kunning **CVE-2026-91403 (CVSS 3.1 9.1)** xavfning boshqa turi bilan shug‘ullanadi: eMudhra hodisasi bilan bog‘liq oraliq CA to‘plami, endi ishonchsiz. Bu TLS tengdoshlarining autentifikatsiyasi va aloqa konfidentsialligi/yaxlitligiga ta'sir qiladi va JVM xotira buzilishining zaifligi deb ta'riflab bo'lmaydi. [S17](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-17) Oracle maslahatida 20-oktabrda chiqarilgan versiya taʼsir qilinganlar roʻyxati keltirilgan, shuning uchun 21-oktabrdagi tarmoqdan tashqari yangilanish ham oʻrnatilishi kerak. Muayyan versiya uchun 2.2 bo'limiga qarang. GraalVM ham tegishli ta'sirlangan mahsulotlarga ega va sobit versiya o'zining eksklyuziv xavfsizlik byulleteniga bo'ysunishi kerak. [S17](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-17)[S18](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-18) **Vaqtinchalik rasmiy choralar:** Avval zaxira nusxasini yarating, so‘ngra ko‘rsatilgan ildiz sertifikatini har bir foydalanilgan ishonchli do‘kondan olib tashlang: - `emSign ECC Root CA - G3`, Oracle taxallus `emsigneccrootcag3 [jdk]`. - `AAA Certificate Services`, Oracle taxallus `comodoaaaca [jdk]`. [S19](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-19) JDK 11 va undan keyingi versiyalar uchun rasmiy misol: ```bash keytool -delete -cacerts -alias "emsigneccrootcag3 [jdk]" keytool -delete -cacerts -alias "comodoaaaca [jdk]" ``` Ushbu buyruqlar uchun JDK**maqsadli**keytool-dan foydalaning va ular ilovaning haqiqiy ishonchli do'konida ishlayotganligini tasdiqlang. Java 8 `jre/lib/security/cacerts` ga mos keladigan yo'ldan foydalanadi; ishonchli do'konni sozlash alohida ko'rib chiqilishi kerak va boshqa noshirlar turli taxalluslarga ega bo'lishi mumkin. Ildiz sertifikatini olib tashlash rad etish doirasini kengaytiradi va qonuniy xizmat sertifikat zanjirlarini regressiya sinovidan o'tkazadi. [S19](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-19) Rasmiy, shuningdek, bekor qilishni tekshirishni yoqish imkoniyatini ham taqdim etadi, ammo ta'sir TLSning haqiqiy amalga oshirilishiga, bekor qilish xizmatiga kirish imkoniyatiga va muvaffaqiyatsizlik strategiyasiga bog'liq. Umumiy oʻrnatishlar uchun ikkita JVM kalitlarini barcha TLS kutubxonalari tuzatilganligining isboti sifatida koʻrib chiqmaslik uchun sotuvchining toʻliq yangilanishlarini oʻrnatishga ustuvor ahamiyat bering. ### 4.2 Tomcat: Autentifikatsiyani chetlab o'tish va foydalanuvchilarning o'zaro so'rovini izolyatsiya qilish Quyidagi uchta element **2026-10-20** da chop etildi; ta'mirlangan versiya yozuvining sanasi **Oktyabr 12**. Apache rasmiy bahosi **Important**. [S21](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-21)[S22](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-22)[S23](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-23) | CVE | Ta'sir qilingan versiyalar tasdiqlangan | Kerakli stsenariylar/natijalar | | --------------- | ---------------------------------------------------- | ----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | CVE-2026-101296 | 9.0.0.M1—9.0.122；10.1.0-M1—10.1.60；11.0.0-M1—11.0.26 | JNDIRealm GSSAPI bo'lmagan SASL autentifikatsiya mexanizmini sozlaydi, hisob ma'lumotlarini tekshirish mavjud emas va noto'g'ri parollar ham o'tishi mumkin | | CVE-2026-101356 | 9.0.118—9.0.122；10.1.55—10.1.60；11.0.22—11.0.26 | HTTP/2 asinxron Servlet xatosi ob'ektlarni noto'g'ri qayta ishlaydi/qayta ishlatadi, bu esa so'rovlar yoki javoblarning foydalanuvchilar o'rtasida aralashib ketishiga olib keladi. | | CVE-2026-103119 | Faqat **11.0.0-M25—11.0.26** tasdiqlang | Katta AJP blokirovka qilinmagan yozishlar buferning kam o'qilishiga olib kelishi mumkin, bu esa keyingi so'rovlarda oldingi javob ma'lumotlarini ko'rsatishi mumkin. | Tegishli tuzatish **9.0.123 / 10.1.61 / 11.0.27**; AJP e'longa ko'ra faqat Tomcat 11 ro'yxatiga kiritilgan va uni bir xil muammoli uchta filialga kengaytirib bo'lmaydi. [S21](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-21)[S22](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-22)[S23](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-23) JNDIRealm yamog'i haqiqiy autentifikatsiya jarayonidagi tekshirish bo'shlig'ini tuzatadi, bunda tekshirish o'rniga "ilovaga kirish interfeysi normal ko'rinadi" dan foydalanish mumkin emas. Realm, SASL mexanizmlari xizmatning haqiqiy konfiguratsiyasi uchun tekshirilishi kerak va noto'g'ri parollar uchun testlar muvaffaqiyatsiz bo'lishi kerak. [S24](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-24) **Oraliq amalga oshirish bo'yicha takliflar:** ta'sirlangan autentifikatsiya yo'lini ajrating; tadbirkorlik faoliyatiga ruxsat berilganda HTTP/2 Tomcat ni qayta ishlashni to‘xtatib turish; foydasiz AJP yoping. Faqat AJP portiga to'g'ridan-to'g'ri kirishni cheklash qonuniy old proksi-server orqali kiruvchi trafikga ta'sir qilmasligini isbotlay olmaydi. Rasmiy yangilanishdan so'ng, identifikatorlar va javoblar o'rtasida o'zaro suhbat yo'qligini tasdiqlash uchun ikkita mustaqil foydalanuvchining asinxron bir vaqtda so'rovlari sinovdan o'tkazilishi kerak. ### Manba: 4.3 Spring for GraphQL：CVE-2026-59285 **Ommaga chiqarilgan sana: 2026-08-20; High.** zararlangan **2.0.0—2.0.4**, ta'mirlangan **2.0.5 (OSS)** yoki **2.0.4.1 (tijoriy yordam)**. [S25](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-25) Bu peyjing so'rovlarida xavfli seriyani bekor qilish xavfi. Rasmiy talab shundaki, bir vaqtning o'zida quyidagi shartlar bajarilishi kerak: 1. Spring for GraphQL dan foydalaning. 2. Jekson 2.x yordamida JSONni seriyadan chiqarish. 3. Tashqi dunyoga ulanish peyjing maydonini taqdim eting. 4. Sinf yo'lida instantatsiya yoki seriyadan chiqarish vaqtida kutilmagan mantiqni amalga oshirishi mumkin bo'lgan maxsus sinflar mavjud. Zararli GraphQL so‘rovi shartlar bajarilganda RCE sabab bo‘lishi mumkin. Uni "Jekson ishlatadigan barcha Java dasturlari ishlatilishi mumkin" ga qisqartirib bo'lmaydi. [S25](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-25) **Nima uchun 2.0.4 etarli emas:** Iyun oyida, CVE-2026-41699 kabi yamoq asoslarini bergan edi 2.0.4 , va avgust oyida e'lon aniq kiritilgan 2.0.4 yangi ta'sir doirasiga kiradi. Shuning uchun ta'mirlash yozuvi keyingi e'lonlarga va eski minimal versiyaga muvofiq yangilanishi kerak. CVE foydalanish mumkin emas. [S26](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-26) Yangilanish vaqtinchalik mavjud bo'lmaganda, ishonchsiz qo'ng'iroq qiluvchilar kirishi mumkin bo'lgan ta'sirlangan sahifalash maydonlari to'xtatilishi mumkin; deserializatsiya qilinadigan turlarni va sinf yo'llarini toraytirish chuqur o'lchovdir. Regressiyalar qonuniy kursorlarni, sahifalangan natijalarni va istisno kiritishni rad etishni qamrab olishi va yakuniy JAR ilovasidagi komponentlarning haqiqiy versiyalarini tekshirishi kerak. ### 4.4 Spring Security: CVE-2026-59270 va tegishli autentifikatsiya xatarlari **CVE-2026-59270, 2026-08-20, Critical.** o'rnatilgan `UnboundIdContainer` ma'lum administrator hisob ma'lumotlarini sukut bo'yicha qayd qiladi va barcha tarmoq interfeyslarida tinglaydi. Komponent yoqilganda va portga kirish mumkin bo'lsa, tajovuzkor katalog ma'lumotlarini o'qishi yoki o'zgartirishi mumkin; odatda Spring Security ni joriy qiladigan loyihalar avtomatik ravishda LDAP ni oshkor qilmaydi. [S27](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-27) Ta'sir qilingan hudud: | filiali | ta'sirlangan | Birinchi tuzatish/sotib olish kanali | | --------- | ------------------------- | -------------------------------------- | | 7.1 | 7.1.0 | 7.1.1 OSS; shuningdek, tijorat 7.1.0.1 | | 7.0 | 7.0.0—7.0.6 | 7.0.7 OSS; shuningdek, tijorat 7.0.6.1 | | 6.5 / 6.4 | 6.5.0—6.5.11；6.4.0—6.4.18 | 6.5.12/6.4.19, tijorat | | 5.8 / 5.7 | 5.8.0—5.8.27；5.7.0—5.7.25 | 5.8.28/5.7.26, tijorat | Manba: [S27](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-27). `spring.ldap.embedded.*` avtomatik konfiguratsiyasi va to'g'ridan-to'g'ri instantsiya kodidagi muammolarni bartaraf etish; ishlab chiqarish uchun kerak bo'lmaganda komponentni yoping va haqiqiy tinglash manzilini tekshiring. Biznesga haqiqatan ham kerak bo'lganda, avval qo'ng'iroq manbalarini cheklang va keyin komponentni yangilashni yakunlang. \*\*Related authentication issue: CVE-2026-47841 (High).\*\*WebAuthn User authentication is set to `REQUIRED`, and after the HTTP session is serialized by distributed storage, incorrect ob'ekt identifikatorini taqqoslash autentifikatsiya talabini bekor qilishi mumkin. Hujum shuningdek, tajovuzkordan qurilmasiz o'zboshimchalik bilan masofadan kirishni emas, balki foydalanuvchi autentifikatsiya qurilmasiga ega bo'lishini talab qiladi. 7.1, 7.0, 6.5 va 6.4 ning tegishli ta'sirlangan versiyalari uchun yamoqning asosiy chizig'i yuqoridagi jadvaldagi ushbu filiallarga mos keladi; tekshirish tugunlar orasidagi seanslarni qamrab olishi va PIN/biometrik tasdiqlashni talab qilishi kerak. [S28](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-28) ## 5. Python ekotizim: tarjimon, standart kutubxona, ramka va sertifikatlar ### 5.1 CVE-2026-19445: SSLContext UAF, SNI qayta qo'ng'iroq **Nashr qilingan sana: 2026-09-30; PSF darajasi: Critical.** Python serverida TLS, `sni_callback` ulanishni boshqa `SSLContext` ga o'tkazadi va agar asl kontekstda boshqa havolalar bo'lmasa TLS mijozi xizmatni buzishi yoki chiqarilgan ob'ektdagi ko'rsatgichni chaqirishi mumkin. [S29](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-29) Asosiysi, Python ob'ekti TLS qayta qo'ng'iroq qilishning asosiy hayotiy tsikliga mos kelmaydi. Asl kontekst chiqarildi va asosiy qatlam hali ham qayta qo'ng'iroq qilish uchun zarur bo'lgan holatni saqlab qolishi mumkin; mos yozuvlar hayot aylanishini tuzatish uchun tarjimonning mahalliy patchidan foydalanish kerak. [S47](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-47) **Scope:** Faqat TLS mijozi vazifasini bajaradigan Python kodi bu elementga ta'sir qilmaydi; uzoq vaqt davomida asl kontekstni ushlab turgan tinglash rozetkasining normal rejimi e'londa tasvirlangan o'ziga xos nosozlik yo'liga tushmaydi. Nginx TLS-ni tugatgandan so'ng, u faqat mahalliy HTTP-ni Python-ga topshiradi va Python to'g'ridan-to'g'ri SNI-ni o'zi boshqaradi, bu boshqa hujum yuzasi. [S29](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-29) 3.10—3.14 sobit versiyasiga mos keladigan 2.3. bo'limiga qarang 3.15 rasmiy versiyasi ta'mirlandi va 3.15.1 aslida tanlanishi mumkin. Faqat pip bog'liqligini yangilash tarjimonning `_ssl` ilovasini almashtira olmaydi. [S33](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-33)[S35](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-35)[S47](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-47) **Rasmiy vaqtinchalik yumshatish:** SNI qayta qo‘ng‘iroqlarini serverning ishlash davri tugaguniga qadar o‘rnatgan barcha SSLContext-ga kuchli havolalarni saqlaydi. Bu haqiqiy dinamik yaratish va almashtirish yo'llarini qamrab olishi kerak; maxsus OpenSSL 1.1.1 tuzilishi, shuningdek, rasmiy emissiya yozuvi bilan birgalikda qayta muzokaralar shartlarini tekshirishi va yakuniy yangilanishlarga ustunlik berishi kerak. [S29](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-29)[S47](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-47) ### 5.2 CVE-2026-19553: Xost nomi bayrog‘i yoqilgan, lekin qo‘ng‘iroq qilayotganda xost nomi yo‘q **Ommaga chiqarilgan sana: 2026-09-30; High. Qachon**`SSLContext.check_hostname=True`, agar `wrap_bio()` `server_hostname` da o'tkazilmasa, asl dastur xost nomini tekshirishni jimgina o'tkazib yuborishi mumkin. Muvaffaqiyatli sertifikat zanjiri tekshiruvi maqsadli domen nomi ham mos kelganligini anglatmaydi. [S30](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-30) Qayta tiklash ikkala bosqichni ham talab qiladi: - 2.3. bo'limida keltirilgan tarjimon xavfsizlik versiyasini o'rnating - `wrap_bio()`, tegishli `asyncio.create_connection()` / `loop.start_tls()` yo'llarini tekshiring, kutilgan va bo'sh bo'lmagan xost nomini aniq kiriting va sertifikat tekshiruvini yoqilgan holda saqlang. [S30](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-30) \*\*O'tkazib yuborib bo'lmaydigan moslik farqlari:\*\*3.10, 3.11, 3.12 moslik uchun, faqat `DeprecationWarning` ba'zi holatlar uchun beriladi; xost nomi etishmayotgan 3.13 va keyinroq `ValueError` ko'taring. 3.12 orqa porti `None` ni bo'sh satrlardan ham aniq ajratib turadi: `None` uchun yangi ogohlantirish qo'shiladi va bo'sh satrlar uchun xato xabar qilinadi. Shuning uchun, past tarmoqli foydalanuvchilar dastlab etishmayotgan domen nomini tekshirish shunchaki yangilash orqali avtomatik ravishda tiklangan deb taxmin qila olmaydi. [S31](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-31)[S33](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-33) Sinov muhitida mos kelmaydigan xost nomiga ega ishonchli zanjir sertifikatidan foydalaning va haqiqiy dastur TLS mijozi uni rad etishini tasdiqlang. `check_hostname` mantiqiy qiymatini o'qishning o'zi to'liq qabul qilinganligini anglatmaydi. ### 5.3 CVE-2026-82049: tarfile filtridagi havola birikmasini aylanib o'tish **Ommaga chiqarilgan sana: 2026-09-14; High.** CPython 3.13 va undan oldingi tegishli ilovalarda ishonchsiz tardagi qattiq havolalar va ramziy havolalar birikmasi `data` / `tar` tarkibidagi fayllarni filtrlash, ochish fayllarini chetlab o'tishi mumkin. ochish daraxti yoki ularning ruxsatlari va o'zgartirish vaqtlarini o'zgartirish. [S32](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-32) Ushbu zaiflikning tasdiqlangan ta'siri orasida fayl tarkibiga ta'sir qilish va metama'lumotlarni o'zgartirish kiradi; faqat bu ta'sirlar tashqi fayl mazmunini o'zboshimchalik bilan qayta yozishni yoki RCE ning so'zsiz bajarilishini ko'rsatish uchun etarli emas. ning tegishli yamoq asoslari uchun 3.10 — 3.13 , bo'limga qarang 2.3. **Python 3.14 tufayli ushbu aniq masaladan ozod qilingan `os.link()` beri xatti-harakati o'zgaradi 3.14.0b1** , shuning uchun ta'sir doirasi 3.10 — 3.13 [S33](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-33) **Vaqtinchalik va chuqurlashtirilgan chora-tadbirlar:** ishonchsiz arxivlarni avtomatik chiqarishni to'xtatadi; biznesni qayta ishlash kerak bo'lganda, alohida past imtiyozli ishchi jarayonlari va yangi eksklyuziv kataloglardan foydalaning, biznes tomonidan ramziy havolalar, qattiq havolalar va qurilma yozuvlarini rad eting va fayllar va dekompressiya resurslari sonini cheklang. Bular joylashtirish bo'yicha tavsiyalar. `filter="data"` to'liq ishonch strategiyasidan ko'ra umumiy ishonchsiz arxivlar uchun ko'proq mos keladi, lekin eski versiyadagi filtrning o'zi ham bu zaiflikka ega va faqat ushbu parametrni qo'shish yangilanishni almashtira olmaydi. Filtr, shuningdek, to'liq fayl tizimining sinov maydoni emas. [S32](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-32)[S45](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-45) ### 5.4 Qo'shimcha xavf: CVE-2026-114583 (Medium) va yamoq chiqarish holati PSF **2026-10-22** hujjatida `tarfile.tar_filter`-ning muayyan havola nomlarini qayta ishlash jarayonini chetlab o'tish mumkinligi, bu keyingi a'zolarga o'ramini ochish katalogidan tashqarida yozish imkoniyatini beradi. **Medium**. Rasmiy tuzatish PR o'sha kuni birlashtirildi; 2026 yil 23 oktyabr holatiga ko'ra, ushbu majburiyatni o'z ichiga olgan rasmiy texnik relizlar tasdiqlanmagan. [S40](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-40) Shuning uchun: - Bu element Medium sifatida alohida ko'rsatilgan. - 21-oktabrda chiqarilgan tarjimon versiyalarida ushbu tuzatish kiritilgan deb hisoblanmaydi. - Ishonchsiz arxivlarni qayta ishlash uchun hali ham `filter="tar"` ishlatadigan jarayon relizlar portini kuzatishi kerak; qisqa vaqt davomida ushbu ishlov berish yo'lini ajratib oling yoki to'xtating. `data` ga o‘tish va havolalarni rad etishda siz uning biznes talablariga javob berishini ham tasdiqlashingiz kerak va filtrni o‘zgartirishni shartsiz sinov muhiti sifatida tasvirlab bo‘lmaydi. ### 5.5 GeoDjango: CVE-2026-15307 va oktyabr oyida keyingi tuzatishlar **2026-08-04, Django rasmiy High.** fazoviy soʻrovi `GDALRaster` ga maʼlum qatorlarni/lugʻatlarni bilvosita oʻtkazadi va drayver fayllarni yozishi yoki boshlashi mumkin; RCE aniq yo'llar va keyingi bajarish shartlari mavjud bo'lganda tuzilishi mumkin. Fazoviy maydon modelini koʻrish ruxsatiga ega boʻlgan xodimlar administrator oʻzgarishlar roʻyxati orqali ham ushbu yoʻlga kirishlari mumkin. [S38](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-38) Dastlabki tuzatish **5.2.17 / 6.0.8** bo'lib, fazoviy qidiruvlar tomonidan qabul qilinadigan kiritish turlarini cheklaydi. Bu o'zgarish rastrni ifodalash uchun string/lug'atdan foydalanishning asl biznesiga ta'sir qilishi mumkin; GDALRaster-ga ishonchsiz ma'lumotlarni o'rash uni tekshirishni anglatmaydi. [S38](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-38) 6 oktyabr kuni **CVE-2026-87890 (Oʻrtacha)** ta'mirlandi: baytlarda ifodalangan VRT tashqi resurslarga murojaat qilishi va tarmoq so'rovlarini ishga tushirishi mumkin; xuddi shu kuni, ichki geometriya DoS himoyasi CVE-2026-15830 ham mustahkamlandi. Oxirgi ikkitasini yangi yuqori xavfni tasvirlash uchun yangilab bo'lmaydi RCE , lekin joylashtirishning asosiy chizig'i bo'lishi kerakligini ko'rsating **5.2.18 / 6.0.9 / 6.1.2** . [S39](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-39) Amalga oshirish API va boshqaruv interfeysining ikkita kirish nuqtasini tekshiradi, ishonchli bo'lmagan fazoviy qidiruvni, fayllarni yozish uchun ruxsatlarni va chiquvchi kirishni cheklaydi; yangilangandan so'ng, regressiya-test haqiqiy fazoviy so'rovlar va taqiqlangan kiritishni rad etish. GeoDjango ishlatmaydigan oddiy Django ilovalari ushbu RCE xulosasini bevosita qo‘llamasligi kerak. ### 5.6 certifi / pip: Sertifikat ishonchliligi har bir nusxani qamrab olishi kerak **GHSA-6q48-6c7w-9gw2 , 2026-10-20, Critical , ma'lum CVE ro'yxatga kiritilmagan.** Bu sertifikat tufayli yuzaga kelgan ishonchsizlik yangilanishi eMudhra oraliq CA voqea. Buni HTTPS ning kriptografiya mexanizmi yoki barcha ildiz sertifikatlari buzilgan deb umumlashtirish mumkin emas. [S36](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-36) certifi maslahatida dastlab yamoq sifatida **2026.10.18** roʻyxati keltirilgan; PSF keyinchalik ta'sirlanmagan ildiz sertifikatlari bilan moslikni saqlash uchun **2026.10.19** ni aniq tavsiya qildi. Ishlashning asosiy chegarasi .19. [S36](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-36)[S37](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-37) Ajratish kerak: | Materialning joylashuviga ishoning | Nima uchun alohida tekshirish kerak | | ------------------------------------------------- | --------------------------------------------------------------------------------------------- | | Operatsion tizim CA to'plami | Rasm yoki xost uchun tizim ishonch materiali | | certifi venv | CA bundle aslida ilovalar yoki so'rovlar va boshqalar tomonidan qo'llaniladi. | | pip o'rnatilgan certifi | Tashqi o'rnatilgan certifi nusxasidan boshqa nusxa | | uv / Boshqa qadoqlash vositalari | Asbobning yangilanishlari va ishonchli manbalariga rioya qiling | | Moslashtirilgan CA fayllari, qadoqlangan suratlar | Tizimlar yoki paketlar uchun standart ishonchli manbalarni bekor qilishda davom etishi mumkin | Yuqoridagi turli qadoqlash joylariga asoslangan nazorat ro'yxati. PSF tegishli vositalarni, mavjud virtual muhitlarni yangilashni va tasvirni qayta tiklashni talab qiladi; faqat CA xostini yangilash yoki tarjimonni qayta o'rnatish barcha nusxalar yangilanganligini isbotlay olmaydi. [S35](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-35)[S37](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-37) Eski pip xavfsiz yuklash tizimidan yangilashda PSF **o'rnatilgan g'ildirak va SHA-256** uchun buyruqlar beradi, S37 ilovasiga qarang. Sertifikat masalalarini chetlab o‘tish uchun TLS tekshiruvini o‘chirmang yoki `--trusted-host` ni qo‘shmang. ## 6. Rasmiy tuzatish jarayoni Quyidagi buyruqlar tasdiqlangan ishonchli muhitlar uchundir. Amalga oshirishda, ziddiyatli blokirovka fayllarini yaratish uchun npm/pnpm/yarn yoki pip/uv/Poetry aralashmaslik uchun mavjud paket menejeri, bloklash fayli va loyihani joylashtirish jarayoni birlashtirilishi kerak. **Avval istisnodan foydalaning:** Agar siz 9-bo'limdagi buzilgan paketni muhit ishga tushirganiga shubha qilsangiz, avval uni ajratib oling va toza muhitdan disk, fayl va tasvir yozuvini tekshiring; avval quyidagi Python/pip buyrug'ini ishga tushirmang. [S41](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-41) ### 6.1 Haqiqiy trafikga mos keladigan daftarni yarating Har bir xizmat kamida quyidagilarni qayd qiladi: - Tashqi kirish nuqtasi, teskari proksi-server, kelib chiqish saytiga to'g'ridan-to'g'ri ulanish yo'li va fon navbati/rejalashtirilgan vazifalar. - Haqiqiy ishga tushirish buyrug'i, ishlaydigan hisob, ikkilik yo'l, jarayon yoki konteyner identifikatori. - Ish vaqtining toʻliq versiyasi, nashriyot/omborxona, paketning toʻliq versiyasi yoki tasvir dayjesti. - Framework va tranzitiv bog'liqliklar, qulflangan fayllar, mahalliy kutubxonalar va ishonchli do'kon yo'llari. - Zaiflik holati mavjudligiga mos ravishda, yamoq maqsadi, qayta ishga tushirish doirasi, mas'ul shaxs va tekshirish natijasi. Rivojlanish mashinalari, CI yuguruvchilari, qurish konteynerlari va fon vazifalari ham ishonchsiz tarkibga yo'llariga qarab tekshirilishi kerak; faqat ommaviy veb-konteynerni yangilamang. ### 6.2 Node.js: Avval ish vaqtini aniqlang, so'ngra ilova bog'liqliklarini yangilang Haqiqiy xizmat muhitida tekshiring: ```bash node -p 'JSON.stringify({execPath:process.execPath,node:process.version,openssl:process.versions.openssl,brotli:process.versions.brotli},null,2)' npm ls next react react-dom react-server-dom-webpack react-server-dom-parcel react-server-dom-turbopack sharp --all npm audit --omit=dev ``` `node -p` xizmatning haqiqiy bajariladigan fayli yordamida yoki haqiqiy konteyner ichida bajarilishi kerak; u yangi boshlangan jarayonlarni tekshiradi va eski ishchi almashtirilganligini o'zi isbotlamaydi. Node o'rnatilgan Brotli ga yamoqni qo'shishi mumkin, shu bilan birga kutubxonaning asl versiyasi qatorini saqlab qoladi. Shuning uchun, ta'mirlanganligini aniqlash uchun faqat `process.versions.brotli` ga tayanmang. Siz uni Node xavfsizlik versiyasi yoki sotuvchining backport dalillari bilan birlashtirishingiz kerak. [S2](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-2)[S4](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-4) `npm ls` haqiqiy qaramlik daraxtini ko'rish uchun ishlatiladi; etishmayotgan paketlar yoki tengdoshlar to'qnashuvi nolga teng bo'lmagan chiqish kodlarini ham ishlab chiqishi mumkin, shuning uchun siz maxsus chiqishni o'qib chiqishingiz kerak. `npm audit` qaramlikni tekshirish yordami sifatida ishlatiladi va Node ikkilik va mahalliy kutubxona tekshiruvini almashtira olmaydi. **mise-dan Node 24** muhitini boshqarish uchun foydalaning, uni quyidagi tarzda yangilash mumkin: ```bash mise use -g node@24.22.1 mise exec node@24.22.1 -- node -p 'process.version + " " + process.execPath' ``` `mise use -g` global versiyani sozlaydi; loyihaning mahalliy konfiguratsiyasi hali ham alohida tekshirilishi kerak. Agar xizmat eski mutlaq yo'lni, konteyner bazasi tasvirini yoki boshqa hisobning muhitini tuzatgan bo'lsa, tegishli konfiguratsiya yangilanishi va xizmatni qayta ishga tushirish kerak. Buyruqning o'zi eski ishlaydigan jarayonni almashtirmaydi. [S43](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-43) Next loyihasida tanlangan filialga muvofiq tegishli buyruqni bajaring. Next 15 uchun: ```bash # Next 15 分支 npm install --save-exact next@15.5.28 ``` Next 16 uchun: ```bash # Next 16 分支 npm install --save-exact next@16.4.1 ``` React/RSC-ga mos keladigan bog'liqliklarni, fayllarni blokirovka qilish va yakuniy keskin misolni tekshiring va keyin loyiha jarayoniga muvofiq tuzing. Qayta tiklanadigan o'rnatish uchun CI-da yangilangan blokirovka faylidan foydalaning va qurgandan so'ng ishlaydigan rasmdagi versiyani tekshiring. Ushbu favqulodda vaziyat uchun standart yechim sifatida asosiy versiyalarda nazoratsiz avtomatik ta'mirlashdan foydalanmang. ### 6.3 Java: noshirni, haqiqiy JVM va oʻrnatilgan komponentlarni tekshiring Dastlabki inventarizatsiya: ```bash java -XshowSettings:properties -version ``` Chiqishdagi `java.home`, `java.runtime.version` va noshir xizmat tomonidan amalda ishlatiladigan JVM bilan mos kelishi kerak. Biriktirish ruxsatiga ega JVM uchun JDK `jcmd` dan faqat kirish qobig'ini emas, balki maqsadli jarayonni tekshirish uchun foydalanish mumkin. Ishonchli loyihalardagi bog'liqliklarni tekshiring va haqiqiy qurish vositalari asosida tanlang: ```bash ./mvnw dependency:tree '-Dincludes=org.apache.tomcat.embed:*,org.springframework.security:*,org.springframework.graphql:*' ./gradlew dependencyInsight --dependency tomcat-embed-core --configuration runtimeClasspath ./gradlew dependencyInsight --dependency spring-security-core --configuration runtimeClasspath ./gradlew dependencyInsight --dependency spring-graphql --configuration runtimeClasspath ``` Ushbu qurish buyruqlari plaginlarni bajarishi va onlayn bog'liqliklarni hal qilishi mumkin va faqat ishonchli loyihalarda ishlaydi. Rasmdagi yakuniy JAR/WAR yoki haqiqiy JAR ni tekshiring va yakuniy artefakt uchun qurilish fayl deklaratsiyasini almashtirmang. Spring Yuklash o'rnatilgan Tomcat ilovani qayta tiklashni talab qiladi; tizimda alohida Tomcat o'rnatilishini yangilash dastur paketidagi nusxani o'zgartirmaydi. Ish vaqti yangilangandan so'ng, moslashtirilgan `javax.net.ssl.trustStore`, ilova tomonidan o'zi yuklanadigan KeyStore, jlink ish vaqti, GraalVM/native image va boshqa yetkazib berish shakllarini element bo'yicha tekshiring. Allaqachon moslashtirilgan ishonchli materiallarga ega bo'lgan ilovalar JDK katalogi yangi bo'lganligi sababli tekshirishni tugata olmaydi. ### 6.4 Python: tarjimon-tarjimon va virtual muhitni qayta ishlash Ishonchli ekanligi tasdiqlangan haqiqiy venv/konteyner ichida: ```bash python - <<'PY' import sys import ssl import importlib.metadata as metadata print("executable:", sys.executable) print("version:", sys.version) print("openssl:", ssl.OPENSSL_VERSION) print("verify_paths:", ssl.get_default_verify_paths()) for name in ("pip", "certifi", "Django", "urllib3", "Brotli", "litellm"): try: print(name + ":", metadata.version(name)) except metadata.PackageNotFoundError: print(name + ": not installed") PY python -m pip --version python -m pip check ``` Ushbu skript faqat ma'lumot to'playdi va versiya malakasini aniqlashni amalga oshirmaydi. `ssl.get_default_verify_paths()` standart yo'l ma'lumotidir va barcha uchinchi tomon mijozlari bir xil ishonchli do'kondan foydalanishini isbotlay olmaydi; u ilova konfiguratsiyasi asosida tasdiqlanishi kerak. S37 ilovasining ishonchli pip yuklash yangilanishini tugatgandan so'ng, sertifikat bog'liqliklarini loyiha cheklovlariga muvofiq yangilang, masalan: ```bash python -m pip install --upgrade 'certifi>=2026.10.19' # 仅适用于当前就选择 Django 5.2 的项目 python -m pip install --upgrade 'Django>=5.2.18,<5.3' python -m pip check ``` Loyihaning talablari/qulflash fayli bir vaqtning o'zida yangilanishi kerak, aks holda keyingi joylashtirish eski versiyaga qaytishi mumkin. uv, Poetry yoki korporativ paketlar omboridan foydalanilganda, ularning mavjud qulflash va nashr qilish jarayonlaridan foydalaning; faqat ishlab chiqarish konteynerida paketlarni qo'lda o'zgartirmang. Loyihaning mavjud `pip-audit` ish jarayoni ishonchli muhitda ma'lum bo'lgan qaramlik zaifliklarini tekshirish uchun ishlatilishi mumkin; u zararli kod skaneri emas va barcha tarjimon, tizim kutubxonasi va ishonchli do'kon xatarlarini qamrab olmaydi. [S44](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-44) **`/usr/bin/python3` tizimini yangi kompilyatsiya qilingan versiyaga ishora qilishga majburlash tavsiya etilmaydi.** Python tizimiga tayanadigan boshqaruv vositalarini buzmaslik uchun xavfsizlik yangilanishlari yoki loyihani izolyatsiya qilish vaqtlaridan foydalaning. Bu amalga oshirish tanlovidir va bu zaiflik uchun qo'shimcha tuzatish talabi emas. ### 6.5 Ishlayotgan namunani qayta tiklang va almashtiring To'liq o'zgartirish sifatida quyidagi amallarni bajarish tavsiya etiladi: 1. Yamoqni asl ishonchli manbadan oling va versiya/xesh va qaramlik qulfini saqlang. 2. Asosiy funksiyalarni ishlab chiqarishga yaqin muhitda qaytaring va mahalliy kengaytmalar JVM/framework bilan mos kelishini tasdiqlang. 3. Ish vaqtini, ilovalarga bog'liqliklarni va haqiqiy ishonchli do'konni yangilang; asosiy tasvirni va konteyner uchun CA tizimini yangilang, shunchaki eski qatlamni qayta ishlatmang. 4. Ilovalar va tasvirlarni qayta yarating va xizmat, ishchi, navbat iste'molchisi va rejalashtirilgan vazifa misollarini o'zgartiring. 5. Yangi ishlayotgan nusxada versiya va konfiguratsiyani qayta tekshiring va barcha eski nusxalar chiqqanligini tasdiqlang. 6. Xato stavkalari, kechikish, CPU/xotira, TLS qoʻl siqishdagi nosozliklar va jarayonning ishdan chiqishiga eʼtibor bering. Orqaga qaytarish xavfsiz ish vaqti va yamoqqa bog'liqlikni saqlab qolish va ilova konfiguratsiyasi yoki biznes o'zgarishlarini orqaga qaytarishga ustuvor ahamiyat berishi kerak. Agar siz zaifliklari bo'lgan eski mahsulotga qaytishingiz kerak bo'lsa, tegishli kirish cheklovlari bir vaqtning o'zida tiklanishi kerak va mas'ul shaxs va minimal tiklanish davri aniq belgilanishi kerak. ## 7. Vaqtinchalik yumshatish va yamoq tanlash ### 7.1 Vaqtinchalik chora-tadbirlarni qamrab olish chegarasi Quyida e'lon qilingan foydalanish shartlari asosida amalga oshirish bo'yicha takliflar keltirilgan. Rasmiy reja qayd etilmagan bo'lsa, sotuvchi barcha variantlarni to'liq blokirovka qilish mumkinligiga kafolat bermaydi. | xavf | Qabul qilinishi mumkin bo'lgan vaqtinchalik choralar | Bunga asoslanib, tugallangan deb hisoblanmaydigan qism | | ------------------------------------ | ------------------------------------------------------------------------------------------------------------------------------------------ | ---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | Brotli dekodlash | Ishonchsiz kirish dekodlashni to'xtatish; kiruvchi va chiquvchi avtomatik dekompressiyani tekshiring | Kiruvchi WAF yoki javobni siqishni oʻchirish [S3](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-3) barcha dekodlash yozuvlarini qamrab olmaydi | | Next.js typed arrays RCE | Darhol yangilang; agar kerak bo'lsa, ta'sirlangan xizmatlarni vaqtincha izolyatsiya qiling | [S9](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-9) rasmiy ishonchli universal vaqtinchalik yechim yo'q | | Next.js SVG RCE | Rasmiy reja: Haqiqiy keskin ≥0.35.5 ni ta'minlash; biznes ruxsat berilganda tegishli optimallashtirish kirish nuqtalarini to'xtatib turish | Boshqa Next/RSC [S11](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-11) masalalarini qamrab olmaydi | | Tomcat Realm / HTTP/2 / AJP | Tegishli yo'lni ajratib oling va keraksiz ulagichlarni yoping | Hali ham tegishli filialni ta'mirlash paketi kerak [S21](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-21)[S22](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-22)[S23](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-23) | | GraphQL Seriyadan chiqarish | Ta'sir qilingan ulanish maydonlarini to'xtatib turish; ishonchsiz qo'ng'iroq qiluvchilarni cheklash | Faqat so'rov uzunligi chegarasi [S25](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-25) turi/seriyadan chiqarish muammosini hal qila olmaydi | | Spring embedded LDAP | Zarur bo'lmaganda o'chirib qo'ying; haqiqiy tinglash portiga kirishni cheklash | Standart ma'muriy identifikator va katalog yaxlitligi hali ham tekshirilishi kerak [S27](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-27) | | CPython SNI UAF | Rasmiy reja: Xizmat oxirigacha tegishli SSLContext kuchli ma'lumotnomasini saqlang | Barcha yaratish/almashtirish yo'llari [S29](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-29) bilan qoplangan bo'lishi kerak | | Python xost nomini o'tkazib yuborish | Rasmiy yechim: kutilgan server\_hostnameni toʻgʻri kiriting | Faqat check\_hostname bayrog'ini tekshirib bo'lmaydi yoki [S30](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-30)[S31](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-31) ogohlantirishini e'tiborsiz qoldirib bo'lmaydi | | Ishonchsiz tar | Ekstraktsiyani o'chirib qo'ying/karantin qiling, muhim bo'lmagan havolalar va qurilma yozuvlarini rad eting | Filtrlar ham, manba kvotalari ham universal sinov qutilari emas [S32](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-32)[S40](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-40)[S45](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-45) | | Sertifikat ishonch hodisasi | To'g'ri CA materialini yangilang; Java ishonchini rasmiy yumshatishga ko'ra cheklash mumkin | TLS tekshiruvini o'chirib qo'yish [S19](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-19)[S37](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-37) xavfini oshiradi | ### 7.2 Yetkazib berish usuli asosida yamoqni tanlang | Yetkazib berish usuli | Ta'mirlash usullariga ustunlik bering | Saqlanishi kerak bo'lgan dalillar | | --------------------------------------------- | ------------------------------------------------------------------------------------------------------ | ------------------------------------------------------------------------------------------------- | | Tarqatish tomonidan boshqariladigan ish vaqti | Ishlab chiqaruvchining tegishli xavfsizlik yangilanishlari | To'liq paket versiyasi, e'lon, ombor manbai | | Rasmiy Binary/Runtime Manager | Xuddi shu filialdan rasmiy xavfsizlik versiyasi | Versiya, manba va dayjest, haqiqiy ijro yo'li | | O'z-o'zidan tuzilgan Node / CPython | Mos keladigan filialning rasmiy manba relizi yoki sotuvchining to'liq yamoq to'plami | To'plamni qabul qiling, parametrlarni yarating, bog'liq kutubxonalar va regressiya natijalari | | Spring / Next / Django | Filial ichidagi yangilanishlar, qaramlik qulflarini qayta tiklash va yakuniy ilovalar bilan mos keladi | Yakuniy qaramlik daraxti, JAR/paket/rasmdagi haqiqiy versiya | | Shaxsiy ishonch do'koni | Pulni olishning rasmiy rejasi yoki sotuvchining yechib olinganligini tasdiqlovchi yangilanishi | Haqiqiy foydalanish yo'li, material o'zgarishi, TLS muvaffaqiyati va rad etish testlari | | Buzilgan muhit | Toza va ishonchli mahsulotlardan tiklang va hodisani alohida tergov qiling | Tarixiy paket/tasvir dayjesti, o'rnatish yozuvi, hisobga olish ma'lumotlarini aylantirish rekordi | ### 7.3 Kalit yamoq mexanizmi va ko'rib chiqish markazi - **Brotli:** tuzilishga kirishdan oldin chegara tekshiruvi va mahalliy dekodlash holatining xato qaytarilishi tugallanganligiga e'tibor beradi; faqat JavaScript paketini almashtirish Node ga statik ravishda tuzilgan kodni o'zgartira olmaydi. [S4](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-4) - **Node DNS / TLS :** kiritishni rad etishga, manzilni normallashtirishga, o'rtasidagi farqga qaratilgan IP SAN va DNS identifikatsiyalar va DNS qayta qo'ng'iroq qilish/Promise Tahlil qilish yo'li va TLS xost nomi mosligi testi. [S5](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-5) [S6](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-6) - **Tomcat JNDIRealm:** autentifikatsiya jarayoni shunchaki katalog kontekstini olishdan ko'ra, hisobga olish ma'lumotlarini tekshiradimi yoki yo'qligiga e'tibor qaratadi; rasmiy versiyaga ustunlik berish va bitta manba faylini almashtirishni to'liq ikkilik yamoq sifatida ko'rib chiqmaslik. [S24](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-24) - **CPython ssl:** Python ma'lumotnoma egaligi va asosiy SSLContext hayotiy tsikliga e'tibor qaratadi; `wrap_bio()` tarmoq mosligidagi farqlarga ega bo'lgan holda backports va siz foydalanilgan filialning amaldagi bajarilishini o'qib chiqishingiz kerak. [S31](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-31)[S47](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-47) - **Sertifikatga ishonchsizlik:** Bunday yangilanishlar ishonchli material sifatida koʻrinishi yoki aniq API oʻzgarishlarini emas, balki roʻyxat oʻzgarishlarini rad etishi mumkin. Node ning bir xil partiyasi ta'sirlangan oraliq CA ni rad etish mexanizmini ham o'z ichiga oladi; Java va Python ning tegishli ishonch manbalari hali ham alohida tekshirilishi kerak. [S19](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-19)[S37](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-37)[S46](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-46) **Mustaqil Brotli bog'lanishi ham tekshirilishi kerak.** Google upstream chiqarildi **1.0.10 / 1.1.1 / 1.2.1** tuzatish uchun o'sha kuni CVE-2026-111497 . Python bir xil ta'sirlangan C ilovasini o'z ichiga olgan mahalliy kengaytmalar yoki JNI artefaktlari mustaqil ravishda yangilanishi/qayta tiklanishi kerak; hamma narsani sof deb bo'lmaydi Java dekoderlar ta'sir ko'rsatmaydi va yangilanishni taxmin qilish mumkin emas Node boshqa tillardagi nusxalarni avtomatik ravishda almashtiradi. [S42](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-42) ## 8. Tekshirish va keyingi tekshiruvlar ### 8.1 Minimal tekshirish roʻyxati | Elementlarni tekshiring | Dalil talab qilinadi | | ------------------------------------- | ---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | ish vaqti | Haqiqiy jarayonda/konteynerda to'g'ri to'liq versiya yoki sotuvchining backport dalillari | | amaliy bog'liqliklar | Yakuniy joylashtirishda Next/RSC/sharp, Tomcat/Spring va Django/certifi mos keladigan chegaraga yetdi | | O'zgartirish diapazoni | Barcha ishchi/JVM/konteyner nusxalari va fon vazifalari yangilari bilan almashtirildi va eski nusxalar tugatildi. | | TLS | Yaroqli domen sertifikatlari muvaffaqiyatli; mos kelmaydigan xost nomlari va noto'g'ri zanjirlar siyosatga muvofiq ishlamayapti; maxsus ishonch do'konlari kiritilgan | | eMudhra ishonchsizlik | Ta'sir qilingan oraliq CA tomonidan tuzilgan sertifikatlar zanjiri haqiqiy ish vaqtida rad etilgan yoki ma'lum bir sotuvchining xavfsizlikni yaratish/tegishli rad etish ro'yxati o'rnatilgani haqida dalillar mavjud; umumiy TLS testi yoki Java 8 qisqa versiya raqami asosida ishni yopish mumkin emas. | | Node dekodlash va tasvirlar | Oddiy siqilgan javob, yuklash, tasvirni optimallashtirish va RSC funksiyalari mavjud; ishonchsiz manba siyosati amal qiladi | | Java Autentifikatsiya va izolyatsiya | Noto'g'ri parol rad etildi; identifikator/javob aralashuvisiz mustaqil foydalanuvchining bir vaqtda asinxron so'rovlari; LDAP kutilganidek tinglanmoqda | | Python SNI / Arxiv | Oddiy ko'p domen nomi TLS biznes barqaror; arxivlash yo'lni o'tishni va ruxsat etilmagan havolalarni rad etadi va katalogdan tashqaridagi fayllar o'zgartirilmaydi | | Ma'lumotlar va funktsional regressiya | Peyjing, fazoviy so'rovlar, ruxsatlarni tekshirish va fon vazifalari loyihaning mavjud sinovlaridan o'tdi | | Resurslar va kuzatishlar | CPU, xotira, xato tezligi, kechikish va TLS xatolarida g'ayritabiiy o'sish kuzatilmaydi. | | Kuzatish imkoniyati | Yangilash vaqtini, paket/tasvir dayjestini, konfiguratsiya o‘zgarishlarini, tekshirish natijalarini va hal qilinmagan narsalarni tejang | Bular amalga oshirishni qabul qilish boʻyicha tavsiyalar boʻlib, har bir CVE uchun hujum skriptini yaratishni talab qilmaydi. Buzilishlar, resurslarning tugashi va arxivdan tashqarida bo'lgan tekshirishlar yuqori regressiya testi yoki izolyatsiya qilingan muhitda loyiha tomonidan boshqariladigan test ma'lumotlaridan foydalanishi kerak. ### 8.2 Yamoq va bosqinni tekshirish turli vazifalardir Mavjud jurnallarni noodatiy dekodlash xatolari, ishchi/JVM ishdan chiqishi, shubhali fayllarni yozish, katalog maʼlumotlarini oʻzgartirish, autentifikatsiya qilish istisnolari, chiquvchi soʻrovlar va hisob maʼlumotlaridan foydalanish yozuvlari mavjudligini tekshiring. Ushbu belgilar kontekstda baholanishi kerak: avariya yoki OOM muvaffaqiyatli ekspluatatsiyaning isboti emas; ogohlantirishlarning yo'qligi tizimning ta'sirlanmaganligini isbotlamaydi. Ruxsatsiz o'zgartirishlar, buzilgan hisobga olish ma'lumotlari yoki tasdiqlangan zararli bog'liqliklar aniqlanganda, dalillar saqlanishi, tegishli misollar ajratilishi, ta'sirlangan hisobga olish ma'lumotlari ishonchli muhitdan aylantirilishi va tizim qayta tiklanishi kerak. Yamoq tajovuzkor tomonidan olingan tokenlarni bekor qilmaydi yoki o'zgartirilgan ma'lumotlarni tiklamaydi. ## 9. Ta'minot zanjiri xavfsizligi hodisasi: LiteLLM 1.107.0 kelishuvi \*\*Rasmiy tasdiqlash sanasi: 21-10-2026.\*\*LiteLLM uning chiqarish quvuri buzilgani haqida xabar berdi. PyPI ning **litellm==1.107.0** va xuddi shu davrdagi ba'zi Docker/GHCR mahsulotlari maxfiy o'g'irlash va masofadan boshqarishning zararli kodini o'z ichiga olgan va tegishli mahsulotlar olib tashlangan. [S41](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-41) Ta'sirni aniqlash uchun siz tarixiy o'rnatish yozuvlarini va tasvirni sinashni tekshirishingiz kerak; `latest`, `main-latest` va `main-stable` kabi teglar endi toza tasvirlarga ishora qiladi, bu voqea sodir bo'lgan paytda tortib olingan mahsulotlarning toza ekanligini isbotlamaydi. O'sha paytdagi rasmiy tavsiya **1.106.2** ni vaqtincha pin qilish edi; ushbu tavsiya ushbu hodisaga asoslangan va tarqatish paytida boshqa xavfsizlik e'lonlari hali ham tekshirilishi kerak. [S41](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-41) Tegishli mahsulotlar o'rnatilgan yoki ishga tushirilgan muhitlar uchun: 1. O'rnatish yozuvlari, rasmlari va jurnallarini ajratib oling va saqlang va ularni toza muhitdan tekshiring. 2. **Python/pip** ni avval shubhali muhitda ishga tushirmang; zararli `.pth` / `sitecustomize.py` ishga tushirilgandan so'ng yana bajarilishi mumkin. 3. Ishonchli manbalardan xostlar, venvs/konteynerlarni qayta qurish; faqat paketlarni o'chirib tashlash yoki yangilash mumkin emas. 4. Bulutli hisob ma'lumotlarini, LLM provayder kalitlarini, LiteLLM kalitlarini va ma'lumotlar bazasi hisob ma'lumotlarini haqiqiy mavjudlik asosida bekor qilish/aylantirish va g'ayritabiiy foydalanishni ko'rib chiqish. [S41](https://keendigit.com/uz/insights/node-java-python-security-remediation-guide#source-41) Bu tasdiqlangan ta'minot zanjiri hodisasi bo'lib, u bilan ishlashda zararli kod ijrosi, hisob ma'lumotlari sizib chiqishi va doimiy xavflarni hisobga olishni talab qiladi. 2026-yil 23-oktabr holatiga ko‘ra, rasmiylar hali ham dastlabki bosqinni tekshirmoqda. ## Ilova: keltirilgan manbalar va havolalar Quyidagi manbani tekshirish sanasi **2026-10-23**, jumladan, loyihaning xavfsizlik boʻyicha rasmiy eʼlonlari, rasmiy kodlar ombori va sotuvchining koʻrsatmalari. \[Sx] asosiy matni ushbu ilovaga mos keladi; yangilanishlarni amalga oshirayotganda, etkazib beruvchining keyingi tahrirlarni chiqarganligini tekshirishingiz kerak. ### S1 — Node.js: 2026-10-21 Xavfsizlik eslatmasi - Maqsad: To'rt ish vaqti High, filiallarga ta'sir qiladi, oktyabrda xavfsizlikni chiqarish. - Manba: [Official Security Bulletin](https://nodejs.org/en/blog/vulnerability/october-2026-security-releases) ### S2 - Node.js: uchta texnik xizmat ko'rsatish liniyasi uchun rasmiy relizlar bo'yicha ko'rsatmalar - Maqsad: 22.23.4, 24.22.1, 26.12.1 va haqiqiy birlashtirilgan yamoqlarni tekshiring. - Manba: [Node.js 22.23.4](https://nodejs.org/en/blog/release/v22.23.4/) - Manba: [Node.js 24.22.1](https://nodejs.org/en/blog/release/v24.22.1/) - Manba: [Node.js 26.12.1](https://nodejs.org/en/blog/release/v26.12.1/) ### S3 — Vercel: Node.js Brotli RCE xavfsizlik bo'yicha maslahat - Maqsad: Kirish/chiqish dekodlash shartlari, WAF qamrov chegarasi, Node 20 holati. - Manba: [Node.js security advisory: Brotli decoder RCE](https://vercel.com/kb/bulletin/node-js-security-advisory) ### S4 — Node.js: Brotli rasmiy yamoqlarini yuborish - Maqsad: Mahalliy dekodlashni tekshirish va xatolarni yoyish uchun asos. - Manba: [Brotli Patch commit 49dff6f57a](https://github.com/nodejs/node/commit/49dff6f57a) ### S5 — Node.js: TLS manzilini normallashtirish patchi - Maqsad: To'liq kenglikdagi raqamlar va nostandart IP sertifikatining identifikatorini tekshirish. - Manba: [IP normalization regression Patch](https://github.com/nodejs/node/commit/935918e342) - Manba: [rejects the patching of non-standard IP address](https://github.com/nodejs/node/commit/de49c913f2) ### S6 — Node.js: DNS NUL tekshirish patchi - Maqsad: kirishni rad etish va regressiyani qoplash. - Manba: [dns.resolve Input verification patch](https://github.com/nodejs/node/commit/843a1627dc) ### S7 — Node.js: 29-07-2026 Xavfsizlik eslatmasi - Maqsad: HTTP/2 xotiraning tugashi, UAF va ruxsat modeli zaifligi. - Manba: [July 2026 Security Releases](https://nodejs.org/en/blog/vulnerability/july-2026-security-releases) ### S8 — Next.js: 2026-10-14 xavfsizlik yangilanishi - Maqsad: Yangilanishning asosiy darajasini va uchta asosiy xavfni birlashtirish. - Manba: [Next.js Security Update for Upstream Vulnerabilities](https://nextjs.org/blog/nextjs-security-update-october-14-2026) ### Manba: S9 — Next.js：typed arrays / use cache RCE - Maqsad: GHSA-673q-mjm6-r5xr; interval, holat, ball va vaqtinchalik hal holatiga ta'sir qiladi. - Manba: [Next.js Official Security Bulletin](https://github.com/vercel/next.js/security/advisories/GHSA-673q-mjm6-r5xr) ### Manba: S10 — React：React Server Components RCE - Maqsad: GHSA-xqc2-xf4c-x3h3; uchta RSC paketlarining ta'sirlangan va sobit versiyalari. - Manba: [React Official Security Bulletin](https://github.com/react/react/security/advisories/GHSA-xqc2-xf4c-x3h3) ### Manba: S11 — Next.js：SVG Image Optimization RCE - Maqsad: CVE-2026-96889 / GHSA-2464-fhr4-w9xw; glibc, keskin va original versiya chegaralari. - Manba: [SVG Image Optimization Official Security Bulletin](https://github.com/vercel/next.js/security/advisories/GHSA-2464-fhr4-w9xw) ### Manba: S12 — Next.js：Server Actions DoS - Maqsad: GHSA-p3m5-59mp-jv5r; shartlarga, versiyalarga va reytinglarga ta'sir qiladi. - Manba: [Server Actions DoS Official Security Bulletin](https://github.com/vercel/next.js/security/advisories/GHSA-p3m5-59mp-jv5r) ### S13 — Next.js: AVIF Tasvirni optimallashtirish RCE - Maqsad: 2026-08-25, GHSA-2xp9-vwfh-vxw4. - Manba: [AVIF Official Security Bulletin](https://github.com/vercel/next.js/security/advisories/GHSA-2xp9-vwfh-vxw4) ### Manba: S14 — Next.js：Windows RCE - Maqsad: 2026-08-25, CVE-2026-75604/GHSA-p293-qw3h-jr36. - Manba: [Windows RCE Official Security Bulletin](https://github.com/vercel/next.js/security/advisories/GHSA-p293-qw3h-jr36) ### Manba: S15 — Next.js：next/og ImageResponse RCE - Maqsad: 2026-09-22, GHSA-vcvr-r3jv-pc5j; Node va Edge o'rtasidagi farq. - Manba: [ImageResponse Official Security Bulletin](https://github.com/vercel/next.js/security/advisories/GHSA-vcvr-r3jv-pc5j) - Manba: [September 22 release notes](https://nextjs.org/blog/nextjs-security-update-september-22-2026) ### Manba: S16 — Oracle: October 2026 CPU - Maqsad: Java SE xavf matritsasi, yamoq miqdori va tegishli shartlar. - Manba: [Oracle Critical Patch Update – October 2026](https://www.oracle.com/security-alerts/cpuoct2026.html) - Manba: [Oracle Java SE CPU Version list](https://docs.oracle.com/en-us/iaas/releasenotes/java-management/jdk-cpu-october-2026.htm) ### S17 — Oracle: CVE-2026-91403 diapazondan tashqari signal - Maqsad: 21-10-2026, JSSE sertifikati ishonch xavfi, ta'sirlangan mahsulotlar va CVSS 3.1 9.1. - Manba: [Oracle Security Alert](https://www.oracle.com/security-alerts/alert-cve-2026-91403.html) ### S18 — Oracle: JDK rasmiy versiyasi va yuklab olish - Maqsad: 20-oktabrdagi CPU va 21-oktabrdagi tarmoqdan tashqari versiyani farqlash; Java 8 qisqa versiyasining cheklovlarini ajratib ko'rsatish. - Manba: [JDK release list](https://ops.java/releases/) - Manba: [Oracle Java Download page](https://www.oracle.com/java/technologies/downloads/) ### S19 — Oracle: eMudhra vaqtinchalik yechib olish rejasi - Maqsad: Yangilangan 2026-10-22; ikkita ildiz sertifikati, keytool, maxsus ishonchli do'kon va bekor qilishni tekshirish. - Manba: [Distrusting eMudhra Intermediate Certificates in Oracle JDK](https://ops.java/emudhra) ### S20 - Eclipse Adoptium: Relizlar tuzish yozuvi - Maqsad: Temurin sertifikat hodisasi tufayli qayta qadoqlangan; Oracle versiyasi qo'shimchasini mexanik ravishda qo'llash mumkin emas. - Manba: [Adoptium Release Scorecards](https://github.com/adoptium/adoptium/wiki/Adoptium-Release-Scorecards) ### S21 — Apache Tomcat 9 Xavfsizlik eslatmasi - Maqsad: 9.0.123 tuzatish bilan 9-tarmoqli aniq ta'sirlangan interval. - Manba: [Tomcat 9 vulnerabilities](https://tomcat.apache.org/security-9.html) ### S22 — Apache Tomcat 10 Xavfsizlik eslatmasi - Maqsad: 10.1 filialining aniq oralig'i va 10.1.61 ta'mirlash; 10.0 EOL. - Manba: [Tomcat 10 vulnerabilities](https://tomcat.apache.org/security-10.html) ### S23 — Apache Tomcat 11 Xavfsizlik eslatmasi - Maqsad: uchta element Important, 11.0.27, AJP amaldagi qamrov va oshkor qilish/chiqarish sanasi. - Manba: [Tomcat 11 vulnerabilities](https://tomcat.apache.org/security-11.html) ### S24 — Apache Tomcat: JNDIRealm yamoqlarini bajarish - Maqsad: Sertifikatlashtirishni tekshirish bo'shliqlarini tuzatish uchun rasmiy asos. - Manba: [JNDIRealm Patch commit](https://github.com/apache/tomcat/commit/e43453fc04abb44f64faf571ca98af71aa3c20a1) ### Manba: S25 — Spring：GraphQL CVE-2026-59285 - Maqsad: 2026-08-20, Majburiy, 2.0.5 OSS / 2.0.4.1 Tijoriy ta'mirlash. - Manba: [Spring for GraphQL Unsafe Deserialization](https://spring.io/security/cve-2026-59285/) ### Manba: S26 — Spring：GraphQL CVE-2026-41699 - Maqsad: oldingi tuzatish chegarasi, nega eski bazada qola olmasligingizni tushuntirish uchun. - Manba: [6 Month GraphQL Security Bulletin](https://spring.io/security/cve-2026-41699/) ### Manba: S27 — Spring Security：CVE-2026-59270 - Maqsad: UnboundID LDAP, ma'lum boshqaruv identifikatorini joylashtiring va OSS/tijorat versiyasini ajratib oling. - Manba: [Spring embedded LDAP Security Bulletin](https://spring.io/security/cve-2026-59270/) ### Manba: S28 — Spring Security：CVE-2026-47841 - Maqsad: WebAuthn foydalanuvchi autentifikatsiyasi, seansni ketma-ketlashtirish va hujum uchun asos. - Manba: [WebAuthn Security Bulletin](https://spring.io/security/cve-2026-47841/) ### S29 — PSF: CVE-2026-19445 Xavfsizlik boʻyicha mustaqil maslahat - Maqsad: 2026-09-30, Critical, SNI SSLContext tomonidan keltirilgan shartlar va vaqtinchalik choralar. - Manba: [SSLContext UAF Official announcement](https://mail.python.org/archives/list/security-announce@python.org/thread/QMQIUQB6WGGC3MI7I3WKQXOYOBDSPPS3/) ### S30 — PSF: CVE-2026-19553 Xavfsizlik boʻyicha mustaqil maslahat - Maqsad: 2026-09-30, High, xost nomi etishmayotgan va parametrlarni aniq yumshatish. - Manba: [wrap\_bio Official announcement of hostname verification](https://mail.python.org/archives/list/security-announce@python.org/thread/QNZRG3YOAMTHDCMVCICXGY6YEFPY2VDL/) ### S31 — CPython: wrap\_bio rasmiy yamasi va 3.12 backport - Maqsad: 3.10—3.12 ogohlantirish muvofiqlik siyosati, None va boʻsh qator oʻrtasidagi farq. - Manba: [Main Patch PR #158503](https://github.com/python/cpython/pull/158503) - Manba: [3.12 Backfill PR #158513](https://github.com/python/cpython/pull/158513) - Manba: [3.15 Backfill PR #158511](https://github.com/python/cpython/pull/158511) ### S32 — PSF: CVE-2026-82049 Xavfsizlik boʻyicha mustaqil maslahat - Maqsad: 2026-09-14, High, havola birikmasi, metamaʼlumotlarni oʻzgartirish va kontentga taʼsir qilish. - Manba: [tarfile link bypasses the official announcement](https://mail.python.org/archives/list/security-announce@python.org/thread/EFJWGAZJA56AKSBR2WHMHQZO7RRLZPRH/) ### S33 — CPython: Sentyabr oxiri/oktyabr oyi boshida rasmiy xavfsizlik versiyasi - Maqsad: Minimal tuzatish versiyasi, manba kodini tarqatish usuli va tarfilega xos muammolar uchun 3.14 ozod qilish. - Manba: [Python Cross-branch security release instructions](https://blog.python.org/2026/10/python-31022-31117/) - Manba: [Python 3.11.17](https://www.python.org/downloads/release/python-31117/) - Manba: [Python 3.12.15](https://www.python.org/downloads/release/python-31215/) - Manba: [Python 3.13.16](https://www.python.org/downloads/release/python-31316/) - Manba: [Python 3.14.8](https://www.python.org/downloads/release/python-3148/) ### S34 — CPython: 3.10 oxirgi xavfsiz versiya - Maqsad: 3.10.22 va yuqori oqim hayotiy tsiklining oxiri. - Manba: [Python 3.10.22](https://www.python.org/downloads/release/python-31022/) ### S35 — CPython: 2026-10-21 favqulodda texnik xizmat ko‘rsatish versiyasi - Maqsad: 3.13.17 / 3.14.9 / 3.15.1, o'rnatilgan pip va certifi yangilanishlari, mavjud venv talablari. - Manba: [Python 3.13.17](https://www.python.org/downloads/release/python-31317/) - Manba: [Python 3.14.9](https://www.python.org/downloads/release/python-3149/) - Manba: [Python 3.15.1](https://www.python.org/downloads/release/python-3151/) ### S36 — certifi: emSign sertifikatiga ishonchsizlik e'loni - Maqsad: 2026-10-20, GHSA-6q48-6c7w-9gw2, Critical, ma'lum emas CVE. - Manba: [certifi Official Security Bulletin](https://github.com/certifi/python-certifi/security/advisories/GHSA-6q48-6c7w-9gw2) ### S37 - PSF: eMudhra / emSign ning Python foydalanuvchilariga ta'siri - Maqsad: certifi .19 tavsiyasi, pip/uv bazaviy chiziq, SHA-256 bilan ishonchli yuklashni yangilash buyrug'i. - Manba: [PSF Official event and upgrade instructions](https://discuss.python.org/t/information-for-python-users-regarding-emudhra-emsign-ca-certificate-security-incident/109576) S37 tomonidan keltirilgan rasmiy ko'rsatmalar tomonidan taqdim etilgan pip yuklashni yangilash buyrug'i quyidagicha. Faqat ishonchliligi tasdiqlangan Python muhitlarida foydalanish mumkin; agar 9-bo'limda zaharlanishga shubha bo'lsa, birinchi navbatda hodisa jarayoniga muvofiq izolyatsiya qiling va qayta quring. U g'ildirak tarkibidagi xeshni tuzatadi va keyinchalik loyiha jarayoniga muvofiq boshqa bog'liqliklarni yangilaydi. ```bash python -m pip install "pip @ https://files.pythonhosted.org/packages/3f/06/3e4420302363fbb71be3c7f35ce042f54bfca330e3e66b3a2e3c4cca579f/pip-26.2.2-py3-none-any.whl#sha256=fd7f4dfa8190e014013b9f08f3e973f4e4c26ffd179a204895533a7254813a70" ``` ### S38 — Django: 2026-08-04 xavfsiz reliz - Foydalanish: CVE-2026-15307, GeoDjango Foydalanish shartlari, dastlabki tuzatishlar va moslik o'zgarishlari. - Manba: [Django 6.0.8 / 5.2.17](https://www.djangoproject.com/weblog/2026/aug/04/security-releases/) ### S39 — Django: 2026-10-06 xavfsiz reliz - Maqsad: CVE-2026-87890, geometriya DoS hozirgi tanlangan asosiy chiziq bilan keyingi mustahkamlash. - Manba: [Django 6.1.2 / 6.0.9 / 5.2.18](https://www.djangoproject.com/weblog/2026/oct/06/security-releases/) ### S40 — PSF / CPython: oxirgi tar\_filtr yon eslatmasi - Maqsad: 2026-10-22, CVE-2026-114583 (Medium); PR birlashishi rasmiy texnik versiyasi chiqarilganligini anglatmaydi. - Manba: [PSF Independent Announcement](https://mail.python.org/archives/list/security-announce@python.org/thread/43JOWPRAV5DI3VZ4FUEUAZOHCATXXOCK/) - Manba: [CPython Patch PR #160098](https://github.com/python/cpython/pull/160098) ### S41 - LiteLLM: Ta'minot zanjiri hodisasi haqida rasmiy hisobot, 21 oktyabr - Maqsad: 1.107.0 ifloslangan mahsulot, tarixiy dayjest, izolyatsiyani qayta qurish va hisobga olish ma'lumotlarini yo'q qilish. - Manba: [Contained: LiteLLM v1.107.0 Compromised](https://docs.litellm.ai/blog/security-incident-oct-21-2026) ### S42 — Google Brotli: rasmiy xavfsiz versiya - Maqsad: Mustaqil Brotli 1.0.10 / 1.1.1 / 1.2.1 va tillararo ko'milgan nusxani tekshirish asosi. - Manba: [Brotli releases](https://github.com/google/brotli/releases) ### S43 - noto'g'ri: buyruq rasmiy hujjatlaridan foydalaning - Maqsad: Global konfiguratsiyaning asbob versiyasi va buyruq semantikasini ko'rsating. - Manba: [mise use](https://mise.jdx.dev/cli/use.html) ### S44 — PyPA: pip-auditning rasmiy loyihasi - Maqsad: Python Bog'liqlik zaifligi auditining maqsadi va imkoniyatlari chegaralari. - Manba: [pip-audit](https://github.com/pypa/pip-audit) ### S45 - Python: tarfile ekstraktsiya filtri hujjati - Maqsad: ma'lumotlar strategiyasi, standart xatti-harakatlardagi o'zgarishlar va sinov muhitini almashtira olmaydigan cheklovlar. - Manba: [tarfile extraction filters](https://docs.python.org/3/library/tarfile.html#extraction-filters) ### S46 — Node.js: oraliq CA rad etish mexanizmi - Maqsad: eMudhra bilan bog'liq bo'lgan ishonch zanjirini qayta ishlash barcha ildiz sertifikatlarining kriptografik bekor qilinishiga teng emas. - Manba: [Node.js PR #66871](https://github.com/nodejs/node/pull/66871) ### S47 — CPython: SNI UAF texnik eslatmalar va tuzatishlar - Maqsad: mos yozuvlar hayot aylanishi, maxsus qurish shartlari va filialni orqaga qaytarish. - Manba: [official issue #156293](https://github.com/python/cpython/issues/156293) - Manba: [official patch PR #158504](https://github.com/python/cpython/pull/158504) - Manba: [3.15 Backfill PR #158514](https://github.com/python/cpython/pull/158514) ## Xavfsizlikni saqlash bo'yicha maslahat Sertifikat ishonchliligi o'zgarishi tizimlaringizga qanday ta'sir qilishini bilmayapsizmi? Biz zararlangan mijozlarni baholashda va xavfsizlik yangilanishlarini rejalashtirishda yordam bera olamiz. [Xavfsizlik yangilanishlarini muhokama qiling]() [Asl sahifa]() · [Kontent indeksi]() KeenDigit LLC · Vayoming fayl identifikatori: 2026-002106155 [Vayoming shtati kotibi bilan tasdiqlang]() © 2026 KeenDigit LLC · Sheridan, Wyoming, Amerika Qoʻshma Shtatlari (AQSh) · Barcha huquqlar himoyalangan.