互联网基础软件一日内接连曝出安全风险，涉及PHP、Node.js与Go

BlockBeats 消息，10 月 22 日，多个互联网基础软件项目一日内接连发布安全更新，涉及远程代码执行、TLS 证书校验绕过及证书信任风险。其中：

PHP 修复 CVE-2026-109618、CVE-2026-109619 两项严重漏洞，均可导致未经身份验证的远程代码执行，影响处理 Web 请求的 PHP 环境。修复版本包括 8.5.12、8.4.27、8.3.36 和 8.2.35。

Node.js 公告列出十项漏洞，其中四项为高危，包括 Brotli 解码器越界写入导致的远程代码执行、DNS 名称截断，以及两项 TLS 证书主机名校验绕过问题。修复版本为 26.12.1、24.22.1 和 22.23.4。

此外，Go 的 crypto/x509 相关风险编号为 CVE-2026-111943，Red Hat 将其评级为「重要」，CVSS 3.1 评分为 6.8。攻击者在具备特定网络位置及相关证书等条件下，可能冒充合法服务器，拦截或篡改通信。Go 1.26.10 和 1.27.3 已加入拒绝列表，阻断对相关失陷中间证书的信任。

AI 解读

PHP“php2shell”从10月20日公告、21日慢雾与腾讯云预警，到22日修复版本落地，窗口不足48小时；同日Node.js补丁列出十项漏洞、四项高危，Go则处理crypto/x509信任链风险。基础软件层正从单点RCE扩展到TLS证书校验与CA信任，攻击面从应用代码上移到运行时和证书体系。

容易被忽略的是Go的处理方式：CVE-2026-111943 CVSS仅6.8、Red Hat评“重要”，但Go 1.26.10/1.27.3直接加入拒绝列表，阻断对失陷中间证书的信任。这比常规版本升级更像证书信任链的紧急止血，意味着风险不只在一台服务器，而在中间证书被冒充后的通信拦截与篡改。对交易所、钱包、云与Agent基础设施而言，补丁之外还要审计证书链和中间件暴露面。

展开

纠错/举报