Riesgos de seguridad detectados en un solo día en software fundamental de internet, incluidos PHP, Node.js y Go

El 22 de octubre, tres proyectos fundamentales de software para los lenguajes de programación más populares —PHP, Node.js y Go— publicaron simultáneamente actualizaciones de seguridad que abarcan múltiples vulnerabilidades críticas, incluyendo ejecución remota de código, omisión de la verificación del nombre de host en certificados TLS y riesgos en la cadena de confianza de certificados intermedios. En el caso de PHP, se corrigieron de forma urgente dos vulnerabilidades graves identificadas como CVE-2026-109618 y CVE-2026-109619, ambas permiten la ejecución remota de código sin necesidad de autenticación previa, afectando a todos los entornos de ejecución de PHP que procesan solicitudes web; las versiones con las correcciones correspondientes son 8.2.35, 8.3.36, 8.4.27 y 8.5.12. Node.js reveló, el mismo día, diez defectos de seguridad, cuatro de los cuales fueron calificados como de alta gravedad: ejecución remota de código provocada por una escritura fuera de límites en el decodificador Brotli, una vulnerabilidad de truncamiento en nombres DNS y dos casos de omisión de la lógica de verificación del nombre de host en certificados TLS; los parches pertinentes ya se integraron en las versiones 22.23.4, 24.22.1 y 26.12.1. En cuanto al lenguaje Go, el riesgo de confianza en certificados detectado en el módulo crypto/x509 recibió el identificador CVE-2026-111943; Red Hat lo clasificó como «importante», con una puntuación base CVSS 3.1 de 6.8; esta vulnerabilidad permite que un atacante con ubicación de red específica y un certificado maliciosamente construido suplante a un servidor legítimo, llevando a cabo secuestro o alteración de la comunicación; las versiones Go 1.26.10 y 1.27.3 han incluido el certificado intermedio afectado en una lista de rechazo, anulando forzosamente su validación dentro de la cadena de confianza.