#Python

Brotli 解码器漏洞 CVE-2026-111497 影响 1.0.3 至 1.2.0 版本，并波及 Python 与 Node.js 的 HTTP 组件，CVSS 4.0 评分为 9.2。远程未认证攻击者可发送特制压缩流，造成内存损坏、敏感数据泄露、进程崩溃，并可能执行任意代码。Python 的 Brotli 需升级至 1.2.1、brotlicffi 至 1.2.1.0；Node.js 的修复版本为 22.23.4、24.22.1 或 26.12.1。该漏洞最初以 Node2Shell 披露，后称 HTTP2Shell；OpenAI 表示于今年 2 月发现该问题。

LWN 报道称，CPython 的实验性 JIT 将被移除。现有材料没有给出对应的 Python 版本、具体时间表，也没有提供替代优化方案或性能数据；标题表述为“将被移除”，尚不能据此确认该变更已经合入或发布。对关注 CPython 性能路线和 free-threading 的开发者而言，细节仍需以 LWN 原文和 CPython 官方信息为准。

微软在 pylance-release 仓库发布 Type Server Protocol（TSP）文档，提出一套仅面向 Python 的类型检查服务器协议，供编辑器、IDE 与类型检查工具对接使用。该文档目前是提案而非已交付的通用标准，具体实现和跨工具兼容性尚未由来源内容说明。相关讨论集中在协议命名、LSP 是否已足够，以及 Python 类型检查器生态碎片化的问题上。

Python 指导委员会此前要求 JIT 维护者在六个月内提交并获批一份标准跟踪 PEP，明确维护承诺、兼容性和成功指标，否则就须从 CPython 主线移除该 JIT。维护者随后提出 PEP 836，但在数月讨论后将其撤回。这个 JIT 于 2024 年为 CPython 3.13 加入，属于实验性功能；随着 PEP 撤回，这项主线 JIT 开发实际上已告终止，代码也预计将从主线移除。