CPython (Lib/webbrowser.py) Le score CVSS v3.1 évalue CVE-2026-4519 à 7.8 (HIGH, CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H). Le score opérationnel Hermes s'établit à 85 (HIGH) en raison de l'exposition critique de l'écosystème Python dans les pipelines de données et d'IA.
Software platform affected by security vulnerabilities and agentic attack patterns.
“Confirmed security vulnerability in CPython Interpreter & Standard Library documented in Hermes dossier.”
Adversaries abuse command and script interpreters (Bash, Python, PowerShell) to execute arbitrary commands.
“Attack execution telemetry aligns with MITRE ATT&CK technique T1059.”
Le composant CPython (Lib/webbrowser.py) intervient au cœur des runtimes applicatifs, des microservices et des chaînes de traitement de données sous Python.
| Paramètre | Spécification technique | Contexte threat intelligence |
|---|---|---|
| Identifiant CVE | CVE-2026-4519 | Bulletin officiel de sécurité amont |
| Produit affecté | python:cpython | Écosystème logiciel Python |
| Composant vulnérable | CPython (Lib/webbrowser.py) | Bibliothèque standard / Outil de packaging |
| Classe de faiblesse | CWE-88: Improper Neutralization of Argument Delimiters in a Command | Faiblesse d’exécution / Gestion des ressources |
| Score CVSS v3.1 | 7.8 (HIGH / Score Hermes 85) | CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H |
| Version corrigée | 3.13.13 | Correctif officiel amont |
| Techniques MITRE ATT&CK | T1202 - Indirect Command Execution, T1059.006 - Python | Exécution de code / Déni de service |
| Référence forensique | Contrôle des privilèges et exécutions de commandes Linux | Analyse mémoire et diagnostic des processus |
L’examen du code source incriminé met en évidence la faille logique ou l’absence de vérification d’encadrement :
# Flaw in Lib/webbrowser.py (UnixBrowser.open)def open(self, url, new=0, autoraise=True): cmdline = [self.name] + self.args # VULNERABILITY: url is appended directly without '--' separator! # If url starts with '--', browser treats it as a CLI switch! cmdline.append(url) try: if sys.platform[:3] == 'win': p = subprocess.Popen(cmdline) else: p = subprocess.Popen(cmdline, close_fds=True) return TrueLorsque des entrées non fiables atteignent cette routine, le comportement du programme diverge des invariants de sécurité attendus, provoquant une saturation de ressources ou une manipulation de pointeurs en mémoire.
webbrowser.open(url_fournie).CPython (Lib/webbrowser.py).Les analystes de sécurité peuvent identifier les tentatives d’exploitation en corrélant les traces applicatives et les alertes du système d’exploitation.
Télémétrie des processus & crashs
Surveillez les journaux applicatifs à la recherche des motifs :
audit: type=1300 ... comm="chrome" args="--load-extension=/tmp/evil" syscall=execve. Recherchez les pics anormaux de CPU ou les arrêts forcés par manque de mémoire (OOM).
Auditd & surveillance des appels
Déployez des règles d’audit pour tracer les créations de processus enfants ou les écritures anormales. Consultez Contrôle des privilèges et exécutions de commandes Linux.
title: Browser Spawned with Suspicious Debugging Arguments from Python (FR)id: cve-2026-4519status: experimentaldescription: Détecte les anomalies de crash ou d'exécution associées à CVE-2026-4519.logsource: category: process_creation product: linuxdetection: selection: - 'audit:' - 'cpython' condition: selectionfields: - CommandLine - Userlevel: high# Surveillance par tracepoint eBPF des exécutions sous python:cpythonsudo bpftrace -e 'tracepoint:syscalls:sys_enter_execve /comm == "python3"/ { printf("PID %d a lancé: %s\n", pid, str(args->filename));}'La sécurisation des environnements applicatifs repose sur le déploiement des correctifs et le durcissement du traitement des données :
python:cpython vers la version 3.13.13 ou ultérieure via votre gestionnaire de paquets ou vos fichiers de dépendances (requirements.txt, Pipfile, pyproject.toml).pickle au profit de formats sécurisés tels que JSON ou safetensors.