Cyber ·
CPython CVE-2026-116566: socket.getaddrinfo() aceita bytes nulos embutidos em host e port
Aviso de segurança de gravidade média sobre o CPython: socket.getaddrinfo() aceitava bytes nulos dentro dos parâmetros host e port. Publicado em 29 de outubro de 2026 na lista oss-sec, com origem no anúncio da equipe de segurança do Python.
Em 29 de outubro de 2026, foi divulgado o CVE-2026-116566, uma vulnerabilidade de gravidade média que afeta o CPython. Segundo o aviso, a função socket.getaddrinfo() anteriormente aceitava bytes nulos embutidos nos argumentos host e port. O texto divulgado descreve o comportamento, mas o trecho disponível não informa as versões afetadas, o impacto exato nem a versão corrigida.
O aviso foi encaminhado pela lista de anúncios de segurança do Python e repassado à lista oss-sec, onde foi publicado como tradução automática. Para saber se seu ambiente é afetado, consulte o texto original e o registro oficial do CVE, que devem trazer as versões impactadas e as correções. Não considere este resumo como fonte completa de versões ou de mitigação.
A Rota Nacional não corrige bibliotecas de terceiros nem o interpretador Python de sua infraestrutura, e este aviso não descreve um recurso da plataforma. Se sua organização executa CPython em servidores, containers ou aplicações, a ação prática é verificar a versão instalada, aplicar a atualização oficial recomendada pelo fornecedor e revisar os pontos de entrada que recebem host e port de fontes externas.