互聯網基礎軟件一日內接連曝出安全風險，涉及PHP、Node.js與Go

BlockBeats 消息，10 月 22 日，多個互聯網基礎軟件項目一日內接連發佈安全更新，涉及遠程代碼執行、TLS 證書校驗繞過及證書信任風險。其中：

PHP 修復 CVE-2026-109618、CVE-2026-109619 兩項嚴重漏洞，均可導致未經身份驗證的遠程代碼執行，影響處理 Web 請求的 PHP 環境。修復版本包括 8.5.12、8.4.27、8.3.36 和 8.2.35。

Node.js 公告列出十項漏洞，其中四項為高危，包括 Brotli 解碼器越界寫入導致的遠程代碼執行、DNS 名稱截斷，以及兩項 TLS 證書主機名校驗繞過問題。修復版本為 26.12.1、24.22.1 和 22.23.4。

此外，Go 的 crypto/x509 相關風險編號為 CVE-2026-111943，Red Hat 將其評級為「重要」，CVSS 3.1 評分為 6.8。攻擊者在具備特定網絡位置及相關證書等條件下，可能冒充合法伺服器，攔截或篡改通信。Go 1.26.10 和 1.27.3 已加入拒絕列表，阻斷對相關失陷中間證書的信任。