Software dell'infrastruttura Internet ha esposto rischi di sicurezza in rapida successione in un solo giorno, coinvolgendo PHP, Node.js e Go.

Notizie Tapbit, 22 ottobre — Molti progetti software per l'infrastruttura Internet hanno rilasciato aggiornamenti di sicurezza in un solo giorno, coprendo esecuzione remota di codice, bypass validazione certificati TLS e rischi di fiducia certificati. Tra questi:

PHP ha corretto due vulnerabilità critiche, CVE-2026-109618 e CVE-2026-109619, entrambe possono portare a esecuzione remota non autenticata e interessano ambienti PHP che gestiscono richieste web. Le versioni corrette includono 8.5.12, 8.4.27, 8.3.36 e 8.2.35.

Node.js ha pubblicato un avviso che elenca dieci vulnerabilità, quattro di alta gravità, tra cui esecuzione remota di codice causata da scrittura fuori limite nel decoder Brotli, troncamento nome DNS e due problemi di bypass validazione hostname certificati TLS. Le versioni corrette sono 26.12.1, 24.22.1 e 22.23.4.

Inoltre, il rischio correlato a Go crypto/x509 è tracciato come CVE-2026-111943, valutato "Importante" da Red Hat con punteggio CVSS 3.1 di 6.8. In condizioni come una specifica posizione di rete e possesso di certificati rilevanti, un attaccante può impersonare un server legittimo e intercettare o manipolare comunicazioni. Go 1.26.10 e 1.27.3 hanno aggiunto liste di blocco per impedire fiducia nei certificati intermedi compromessi.