El software de infraestructura de internet expuso riesgos de seguridad en rápida sucesión en un solo día, involucrando a PHP, Node.js y Go.

Noticias de Tapbit, 22 de octubre — Múltiples proyectos de software de infraestructura de internet liberaron actualizaciones de seguridad en un solo día, cubriendo ejecución remota de código, omisión de validación de certificados TLS y riesgos de confianza en certificados. Entre ellos:

PHP corrigió dos vulnerabilidades críticas, CVE-2026-109618 y CVE-2026-109619, ambas pueden causar ejecución remota de código no autenticada y afectan entornos PHP que manejan solicitudes web. Las versiones corregidas incluyen 8.5.12, 8.4.27, 8.3.36 y 8.2.35.

Node.js publicó un aviso con diez vulnerabilidades, cuatro de alta gravedad, incluyendo ejecución remota de código por escritura fuera de límites en el decodificador Brotli, truncamiento de nombres DNS y dos problemas de omisión de validación de nombres de host en certificados TLS. Las versiones corregidas son 26.12.1, 24.22.1 y 22.23.4.

Además, el riesgo relacionado con crypto/x509 de Go se rastrea como CVE-2026-111943, calificado como 'Importante' por Red Hat con puntuación CVSS 3.1 de 6.8. En condiciones como posición de red específica y posesión de certificados relevantes, un atacante podría suplantar un servidor legítimo e interceptar o alterar comunicaciones. Go 1.26.10 y 1.27.3 agregaron listas de denegación para bloquear la confianza en los certificados intermedios comprometidos.