인터넷 인프라 소프트웨어에서 하루 만에 PHP, Node.js, Go 관련 보안 위험이 잇따라 노출됐다.

Tapbit 뉴스, 10월 22일 — 여러 인터넷 인프라 소프트웨어 프로젝트가 하루 만에 보안 업데이트를 발표했으며, 원격 코드 실행, TLS 인증서 검증 우회 및 인증서 신뢰 위험을 포함한다. 그중:

PHP는 두 가지 심각한 취약점 CVE-2026-109618과 CVE-2026-109619을 수정했으며, 둘 다 인증되지 않은 원격 코드 실행을 유발할 수 있고 웹 요청을 처리하는 PHP 환경에 영향을 미친다. 수정된 버전은 8.5.12, 8.4.27, 8.3.36, 8.2.35이다.

Node.js는 10개의 취약점을 나열한 권고를 발표했으며, 그중 4개는 높은 심각도를 가진다. 이는 Brotli 디코더의 범위 밖 쓰기로 인한 원격 코드 실행, DNS 이름 단축, 두 가지 TLS 인증서 호스트명 검증 우회 문제를 포함한다. 수정된 버전은 26.12.1, 24.22.1, 22.23.4이다.

또한 Go crypto/x509 관련 위험은 CVE-2026-111943으로 추적되며, Red Hat에서 CVSS 3.1 점수 6.8로 "중요"로 평가됐다. 특정 네트워크 위치 및 관련 인증서 소유와 같은 조건에서 공격자가 합법 서버를 사칭하고 통신을 가로채거나 조작할 수 있다. Go 1.26.10과 1.27.3은 관련 손상된 중간 인증서에 대한 신뢰를 차단하는 거부 목록을 추가했다.