İnternet altyapı yazılımları tek bir gün içinde art arda güvenlik riskleri açığa çıkardı; PHP, Node.js ve Go dahil.

Tapbit haber, 22 Ekim — Birden fazla internet altyapı yazılımı projesi tek bir gün içinde güvenlik güncellemeleri yayınladı; uzaktan kod yürütme, TLS sertifika doğrulama atlama ve sertifika güven riskleri kapsanıyor. Bunlar arasında:

PHP, iki kritik güvenlik açığını düzeltti: CVE-2026-109618 ve CVE-2026-109619. Her ikisi de kimlik doğrulamasız uzaktan kod yürütmeye yol açabilir ve web isteklerini işleyen PHP ortamlarını etkiler. Düzeltilen sürümler 8.5.12, 8.4.27, 8.3.36 ve 8.2.35'i içeriyor.

Node.js, on güvenlik açığı listeledi; dördü yüksek önemde: Brotli kod çözücüde sınır dışı yazma nedeniyle uzaktan kod yürütme, DNS ad kesme ve iki TLS sertifika ana bilgisayar adı doğrulama atlama sorunu. Düzeltilen sürümler 26.12.1, 24.22.1 ve 22.23.4.

Ayrıca, Go crypto/x509 ile ilgili risk CVE-2026-111943 olarak izleniyor; Red Hat tarafından CVSS 3.1 skoru 6.8 ile "Önemli" olarak değerlendirildi. Belirli ağ konumu ve ilgili sertifikalara sahip olma gibi koşullarda, saldırgan meşru bir sunucuyu taklit edip iletişimi kesebilir veya değiştirebilir. Go 1.26.10 ve 1.27.3, ilgili tehlikeye girmiş ara sertifikalara güveni engellemek için reddetme listeleri ekledi.