互联网基础软件一日内接连曝出安全风险，涉及PHP、Node.js与Go

10 月 22 日，多个互联网基础软件项目一日内接连发布安全更新，涉及远程代码执行、TLS 证书校验绕过及证书信任风险。其中：PHP 修复 CVE-2026-109618、CVE-2026-109619 两项严重漏洞，均可导致未经身份验证的远程代码执行，影响处理 Web 请求的 PHP 环境。修复版本包括 8.5.12、8.4.27、8.3.36 和 8.2.35。Node.js 公告列出十项漏洞，其中四项为高危，包括 Brotli 解码器越界写入导致的远程代码执行、DNS 名称截断，以及两项 TLS 证书主机名校验绕过问题。修复版本为 26.12.1、24.22.1 和 22.23.4。此外，Go 的 crypto/x509 相关风险编号为 CVE-2026-111943，Red Hat 将其评级为「重要」，CVSS 3.1 评分为 6.8。攻击者在具备特定网络位置及相关证书等条件下，可能冒充合法服务器，拦截或篡改通信。Go 1.26.10 和 1.27.3 已加入拒绝列表，阻断对相关失陷中间证书的信任。(BlockBeats)