Docker
該標籤下有 2 篇文章
eMudhra（emSign）中繼 CA 金鑰外洩：Python 使用者必須對 pip、certifi 與 uv 做什麼
2026 年 10 月 17 日，有報告指出，印度憑證機構 eMudhra 的八張中繼憑證私鑰（其中六張用於 TLS）產生方式極為不當，任何人都可能還原。eMudhra 於 10 月 18 日撤銷全部八張憑證；Chrome 與 Firefox 則在 10 月 17 日透過各自的推送機制封鎖這些憑證。10 月 20 日，Mozilla 決定緊急移除其上層根憑證 emSign ECC Root CA - G3 的信任，Chrome 將於 10 月 27 日（太平洋時間）移除。瀏覽器已受保護，但瀏覽器以外的 TLS 用戶端，在更新自身 CA 清單之前，仍可能信任偽造的憑證。在 Python 中，pip 一律載入其內建的 certifi，因此即使作業系統的信任儲存區已修正，舊版 pip 仍然暴露在風險中。Python 專案於 10 月 20 日發布通知（於 10 月 22 日更新），要求使用者升級至至少 certifi 2026.10.19、pip 26.2.2、uv 0.13.4、sigstore 4.5.1、conda 26.9.4 與 pixi 0.82.1，並在不使用層快取的情況下重建容器映像檔。10 月 21 日，他們發布內含 pip 26.2.2 的 Python 3.15.1、3.14.9 與 3.13.17。3.11 與 3.12 不會再推出內含較新 pip 的版本。這並非 CPython 的程式碼執行漏洞：位於網路路徑上的攻擊者可以將連往 PyPI、python.org 及其他網站的連線導向假伺服器。截至 10 月 24 日，尚未有任何遭利用的公告。10 月 22 日，eMudhra 表示將退出全球 SSL/TLS 憑證業務。本站的看法：在每個環境中將 pip 升級至 26.2.2 或更新版本、certifi 升級至 2026.10.19 或更新版本，在不使用快取的情況下重建 Docker 映像檔，並提高鎖定檔中所有 certifi 的版本釘選。
安全維運 Next.js：建立不在已公開 CVE 上掉隊的機制
框架的最大風險是放任已公開的 CVE。以四項做法防守：以實際執行的版本判定、用 Dependabot/osv-scanner 監控、迅速更新、以最小權限執行。本站的看法：個人開發者通常欠缺的不是知識，而是讓維運持續下去的方法；不漏看 CVE 的機制比速度更重要。