CPython CVE-2026-116566: getaddrinfo() aceita bytes nulos em host e port

O que aconteceu e o que fazer

O aviso, divulgado pela equipe de segurança do Python e repassado na lista oss-sec por Alan Coopersmith, trata de uma vulnerabilidade de gravidade média no CPython identificada como CVE-2026-116566. Segundo o texto, socket.getaddrinfo() aceitava anteriormente bytes nulos dentro dos parâmetros host e port. A data de publicação é 29 de outubro de 2026, e o aviso foi assinado por Seth Larson.

Na prática, uma empresa deveria começar por um inventário de todos os serviços e pipelines que executam Python e usam resolução de nomes com valores vindos de fora, como URLs, configurações, filas de mensagens ou formulários. Depois, planejar a atualização para uma versão corrigida do CPython e validar, antes de chegar ao socket, que host e port não contenham bytes nulos e tenham formato esperado. Também vale registrar em logs as rejeições dessas entradas, para detectar tentativas de exploração e medir o efeito da correção. Um projeto desse tipo combina diagnóstico do parque de software, testes automatizados e um painel simples de acompanhamento da implantação.

Como a consultoria pode ajudar

Podemos diagnosticar onde o CPython roda na sua organização e quais caminhos de código passam valores externos para socket.getaddrinfo(). Em seguida, implementamos o plano de atualização, a validação de entradas e o monitoramento de rejeições, e operamos a solução com acompanhamento contínuo.

Próximo passo

Se a sua equipe executa Python em produção, envie uma descrição curta do seu ambiente e dos pontos onde entram dados externos. Respondemos com uma proposta de escopo para diagnóstico e correção.