Les logiciels d'infrastructure internet ont exposé des risques de sécurité en succession rapide en une seule journée, impliquant PHP, Node.js et Go.

Actualité Tapbit, 22 octobre — Plusieurs projets de logiciels d'infrastructure internet ont publié des mises à jour de sécurité en une seule journée, couvrant l'exécution de code à distance, le contournement de validation de certificats TLS et les risques de confiance des certificats. Parmi eux :

PHP a corrigé deux vulnérabilités critiques, CVE-2026-109618 et CVE-2026-109619, pouvant entraîner une exécution de code à distance non authentifiée et affectant les environnements PHP traitant des requêtes web. Les versions corrigées incluent 8.5.12, 8.4.27, 8.3.36 et 8.2.35.

Node.js a publié un avis listant dix vulnérabilités, dont quatre de haute sévérité, incluant l'exécution de code à distance via un dépassement de mémoire dans le décodeur Brotli, la troncation de noms DNS et deux contournements de validation de noms d'hôtes de certificats TLS. Les versions corrigées sont 26.12.1, 24.22.1 et 22.23.4.

De plus, le risque lié à Go crypto/x509 est suivi sous CVE-2026-111943, classé "Important" par Red Hat avec un score CVSS 3.1 de 6.8. Dans des conditions comme une position réseau spécifique et la possession de certificats pertinents, un attaquant peut usurper un serveur légitime et intercepter ou altérer les communications. Go 1.26.10 et 1.27.3 ont ajouté des listes de refus pour bloquer la confiance dans les certificats intermédiaires compromis concernés.