Escape de sandbox no CPython sem correção nas versões de segurança

O que aconteceu e o que fazer

O aviso, publicado na lista oss-sec em 5 de novembro de 2026 por Alan Coopersmith, trata de um escape de sandbox no CPython, o interpretador de referência de Python. Segundo a publicação da Sybil, o problema não pôde ser reportado como vulnerabilidade de segurança. Em vez disso, foi enviada uma correção como pull request no repositório do CPython, e o upstream informou que não portará essa correção para as versões de segurança, o que deixa instalações nesses ramos sem o ajuste previsto.

Para uma empresa, o ponto prático é não tratar o sandbox do próprio Python como barreira de isolamento para código não confiável, como trechos gerados por agentes, plugins de terceiros ou entradas externas. Um plano de ação pode começar por inventariar onde o CPython roda em produção, com quais versões e em quais serviços que executam código ou processam dados externos. Em seguida, essas cargas podem ser separadas em contêineres ou máquinas virtuais, com usuário sem privilégios, rede restrita e sistema de arquivos limitado. Também vale acompanhar o pull request e os ramos de correção, criar alertas para novas publicações sobre o tema e definir um procedimento para atualizar ou isolar rapidamente quando um ajuste for liberado.

Como a consultoria pode ajudar

Diagnóstico de onde o CPython roda na empresa e de quais cargas executam código não confiável, com plano de isolamento em contêineres ou VMs, inventário de versões, monitoramento da correção upstream e procedimento de atualização, implementado no ambiente do cliente.

Próximo passo

Envie uma descrição curta do seu ambiente Python, com versões em uso, serviços afetados e pontos onde código externo é executado, e receba uma proposta escopada de diagnóstico e implementação.