1日間で連続発生したインターネット基盤ソフトウェアのセキュリティリスク。PHP、Node.js、Goが対象。

Tapbitニュース、10月22日 — 複数のインターネット基盤ソフトウェアが同日にセキュリティ更新を公開。対象はリモートコード実行、TLS証明書検証バイパス、証明書信頼リスク。具体的には：

PHPは重大な脆弱性CVE-2026-109618とCVE-2026-109619を修正。未認証のリモートコード実行を引き起こす可能性があり、Webリクエストを処理するPHP環境に影響。修正バージョンは8.5.12、8.4.27、8.3.36、8.2.35。

Node.jsは10件の脆弱性を公表。うち4件は高深刻度で、Brotliデコーダの境界外書き込みによるリモートコード実行、DNS名切り詰め、TLS証明書ホスト名検証バイパス2件を含む。修正バージョンは26.12.1、24.22.1、22.23.4。

Goのcrypto/x509関連リスクはCVE-2026-111943で、Red Hat評価は「重要」（CVSS 3.1スコア6.8）。特定のネットワーク環境で関連証明書があれば、攻撃者は正当なサーバーを偽装し通信を傍受・改ざん可能。Go 1.26.10と1.27.3は侵害された中間証明書を拒否する拒否リストを追加。