Software de infraestrutura da internet expôs riscos de segurança em rápida sucessão num único dia, envolvendo PHP, Node.js e Go.

Notícias Tapbit, 22 de outubro — Vários projetos de software de infraestrutura da internet lançaram atualizações de segurança num único dia, cobrindo execução remota de código, bypass de validação de certificado TLS e riscos de confiança em certificados. Entre eles:

PHP corrigiu duas vulnerabilidades críticas, CVE-2026-109618 e CVE-2026-109619, ambas podendo levar à execução remota de código não autenticada e afetando ambientes PHP que lidam com requisições web. As versões corrigidas incluem 8.5.12, 8.4.27, 8.3.36 e 8.2.35.

Node.js publicou um aviso listando dez vulnerabilidades, quatro de alta gravidade, incluindo execução remota de código por escrita fora dos limites no decodificador Brotli, truncamento de nome DNS e dois problemas de bypass de validação de nome de host em certificados TLS. As versões corrigidas são 26.12.1, 24.22.1 e 22.23.4.

Além disso, o risco relacionado ao Go crypto/x509 é rastreado como CVE-2026-111943, classificado como "Importante" pela Red Hat com pontuação CVSS 3.1 de 6.8. Sob condições como posição de rede específica e posse de certificados relevantes, um atacante pode impersonar um servidor legítimo e interceptar ou adulterar comunicações. Go 1.26.10 e 1.27.3 adicionaram listas de negação para bloquear confiança nos certificados intermediários comprometidos relevantes.