Phần mềm cơ sở hạ tầng Internet liên tiếp phát hiện rủi ro bảo mật trong một ngày, liên quan đến PHP, Node.js và Go

Tin BlockBeats, ngày 22 tháng 10, nhiều dự án phần mềm nền tảng internet liên tiếp phát hành bản cập nhật bảo mật trong cùng một ngày, liên quan đến thực thi mã từ xa, bỏ qua xác thực chứng chỉ TLS và rủi ro tin cậy chứng chỉ. Trong đó:

PHP đã sửa hai lỗ hổng nghiêm trọng CVE-2026-109618 và CVE-2026-109619, cả hai đều có thể dẫn đến thực thi mã từ xa mà không cần xác thực, ảnh hưởng đến môi trường PHP xử lý yêu cầu web. Các phiên bản đã sửa bao gồm 8.5.12, 8.4.27, 8.3.36 và 8.2.35.

Thông báo của Node.js liệt kê mười lỗ hổng, trong đó bốn lỗ hổng mức cao, bao gồm thực thi mã từ xa do ghi ngoài phạm vi bộ giải mã Brotli, cắt ngắn tên DNS, và hai vấn đề bỏ qua xác thực tên máy chủ chứng chỉ TLS. Các phiên bản đã sửa là 26.12.1, 24.22.1 và 22.23.4.

Ngoài ra, rủi ro liên quan đến crypto/x509 của Go có mã CVE-2026-111943, Red Hat đánh giá là "Quan trọng", điểm CVSS 3.1 là 6.8. Kẻ tấn công trong điều kiện có vị trí mạng cụ thể và chứng chỉ liên quan, có thể mạo danh máy chủ hợp pháp, chặn hoặc sửa đổi thông tin liên lạc. Go 1.26.10 và 1.27.3 đã thêm vào danh sách từ chối, chặn tin cậy đối với chứng chỉ trung gian bị xâm phạm liên quan.