網路基礎設施軟體一日內接連爆出安全風險，涉及PHP、Node.js與Go

Tapbit消息，10月22日——多款網路基礎設施軟體專案於一日內發布安全更新，涵蓋遠端程式碼執行、TLS憑證驗證繞過與憑證信任風險。其中包括：

PHP修復了兩個重大漏洞CVE-2026-109618與CVE-2026-109619，皆可導致未經認證的遠端程式碼執行，影響處理網路請求的PHP環境。修復版本包含8.5.12、8.4.27、8.3.36及8.2.35。

Node.js發布公告列出十個漏洞，其中四個屬高嚴重性，包含Brotli解碼器越界寫入導致的遠端程式碼執行、DNS名稱截斷，以及兩個TLS憑證主機名稱驗證繞過問題。修復版本為26.12.1、24.22.1與22.23.4。

此外，Go的crypto/x509相關風險追蹤為CVE-2026-111943，被Red Hat評為「重要」級別，CVSS 3.1分數6.8。在特定網路位置與持有相關憑證等條件下，攻擊者可能冒充合法伺服器並攔截或篡改通訊。Go 1.26.10與1.27.3已新增拒絕清單，以阻擋對相關遭入侵中繼憑證的信任。