Internet-Infrastruktursoftware offenbarte Sicherheitsrisiken schnell nacheinander an einem einzigen Tag, betroffen sind PHP, Node.js und Go.

Tapbit News, 22. Oktober — Mehrere Internet-Infrastruktursoftware-Projekte veröffentlichten an einem Tag Sicherheitsupdates, darunter Remote-Code-Ausführung, Umgehung der TLS-Zertifikatsvalidierung und Zertifikatsvertrauensrisiken. Darunter:

PHP behob zwei kritische Schwachstellen, CVE-2026-109618 und CVE-2026-109619, die beide zu unauthentifizierter Remote-Code-Ausführung führen und PHP-Umgebungen bei Webanfragen betreffen. Die gepatchten Versionen sind 8.5.12, 8.4.27, 8.3.36 und 8.2.35.

Node.js veröffentlichte eine Advisory mit zehn Schwachstellen, vier davon hoch riskant, inklusive Remote-Code-Ausführung durch Out-of-Bounds-Schreiben im Brotli-Decoder, DNS-Namenstrunkierung und zwei TLS-Zertifikats-Hostname-Validierungsprobleme. Gepatchte Versionen: 26.12.1, 24.22.1 und 22.23.4.

Zudem wird das Go crypto/x509-Risiko als CVE-2026-111943 verfolgt, von Red Hat als "Wichtig" mit CVSS 3.1 6.8 bewertet. Unter bestimmten Netzwerkbedingungen und mit relevanten Zertifikaten könnte ein Angreifer legitime Server imitieren und Kommunikation abfangen oder manipulieren. Go 1.26.10 und 1.27.3 führten Deny-Listen ein, um Vertrauen in kompromittierte Zwischenzertifikate zu blockieren.