三大基础软件同日曝漏洞

10 月 22 日，PHP、Node.js、Go 一日内接连发布安全更新，风险集中在远程代码执行与 TLS 证书校验环节。

  • PHP：修复 CVE-2026-109618、CVE-2026-109619 两项严重漏洞，均可导致未授权远程代码执行，影响处理 Web 请求的 PHP 环境。修复版本为 8.5.12、8.4.27、8.3.36、8.2.35。

  • Node.js：公告列出十项漏洞，其中四项高危，包括 Brotli 解码器越界写入导致的远程代码执行、DNS 名称截断，以及两项 TLS 证书主机名校验绕过。修复版本为 26.12.1、24.22.1、22.23.4。

  • Go：crypto/x509 相关风险编号 CVE-2026-111943，Red Hat 评级「重要」，CVSS 3.1 评分 6.8。特定网络位置及证书条件下，攻击者可冒充合法服务器拦截或篡改通信。Go 1.26.10 与 1.27.3 已将相关失陷中间证书加入拒绝列表。


运行上述环境的项目方与节点服务商需尽快升级。