CVE-2026-2297
Vulnérabilité moyenne dans CPython (Python Software Foundation)
CVSS 5.7 · Moyenne
EPSS 0.2%
Python Software Foundation•CPython•Versions : <3.10.21, <3.14.4, 3.14.0, 3.11.0, 3.13.0, <3.13.13, 3.15.0a1, 3.12.0, 0, <3.12.14, <3.11.16, <3.15.0a7
Description
The import hook in CPython that handles legacy *.pyc files (SourcelessFileLoader) is incorrectly handled in FileLoader (a base class) and so does not use io.open_code() to read the .pyc files. sys.audit handlers for this audit event therefore do not fire.
Gravité et risque d'exploitation
CVE-2026-2297 obtient un score CVSS de 5.7/10, soit une gravité moyenne. Selon le modèle EPSS, la probabilité qu'elle soit exploitée dans les 30 prochains jours est de 0.20 %, ce qui la place devant 9.4 % des CVE référencées.
Que faire ?
- Vérifiez si CPython (versions <3.10.21, <3.14.4, 3.14.0, 3.11.0, 3.13.0, <3.13.13, 3.15.0a1, 3.12.0, 0, <3.12.14, <3.11.16, <3.15.0a7) est présent sur votre parc.
- Appliquez le correctif ou la version corrigée indiqués dans les références de l'éditeur.
- À défaut de correctif, limitez l'exposition (filtrage réseau, désactivation du composant).
- Automatisez la détection : les agents CVE Heimdall (gratuits, open source) corrèlent l'inventaire de vos serveurs avec la base CVE.
Références
- https://github.com/python/cpython/issues/145506
- https://github.com/python/cpython/pull/145507
- https://github.com/python/cpython/commit/482d6f8bdba9da3725d272e8bb4a2d25fb6a603e
- https://github.com/python/cpython/commit/a51b1b512de1d56b3714b65628a2eae2b07e535e
- https://github.com/python/cpython/commit/e58e9802b9bec5cdbf48fc9bf1da5f4fda482e86
- https://github.com/python/cpython/commit/69ddd9bb2cc4bd69b1565647c18659c6a789ccd9
- https://github.com/python/cpython/commit/876858c9f65d9ab656c7fa639f268ce7856d89dd
- https://github.com/python/cpython/commit/c70adad78caeeea33f92f560ecb93331ca11bf66