Программное обеспечение интернет-инфраструктуры выявило угрозы безопасности в быстрой последовательности за один день, включая PHP, Node.js и Go.

Tapbit, 22 октября — Несколько проектов ПО интернет-инфраструктуры выпустили обновления безопасности за один день, включая удалённое выполнение кода, обход проверки TLS-сертификатов и риски доверия сертификатам. Среди них:

PHP исправил две критические уязвимости, CVE-2026-109618 и CVE-2026-109619, обе могут привести к удалённому выполнению кода без аутентификации и затрагивают PHP-среды, обрабатывающие веб-запросы. Исправленные версии: 8.5.12, 8.4.27, 8.3.36 и 8.2.35.

Node.js опубликовал бюллетень с десятью уязвимостями, четыре из которых высокой серьёзности, включая удалённое выполнение кода из-за записи за границами в декодере Brotli, усечение DNS-имени и два обхода проверки имени хоста TLS-сертификата. Исправленные версии: 26.12.1, 24.22.1 и 22.23.4.

Кроме того, риск, связанный с Go crypto/x509, отслеживается как CVE-2026-111943, оценён Red Hat как «Важный» с баллом CVSS 3.1 6.8. При условиях, таких как особая сетевая позиция и наличие сертификатов, злоумышленник может выдать себя за легитимный сервер и перехватить или изменить связь. Go 1.26.10 и 1.27.3 добавили чёрные списки для блокировки доверия скомпрометированным промежуточным сертификатам.