互联网基础软件一日内接连曝出安全风险，涉及PHP、Node.js与Go

10月22日，PHP、Node.js 和 Go 三大主流编程语言的基础软件项目在同一天密集发布安全更新， collectively 涵盖远程代码执行、TLS 证书主机名校验绕过及中间证书信任链风险等多类高危问题。PHP 方面，CVE-2026-109618 与 CVE-2026-109619 两个严重漏洞被紧急修复，二者均允许攻击者在无需身份验证的前提下实现远程代码执行，影响所有处理 Web 请求的 PHP 运行环境；对应修复版本为 8.2.35、8.3.36、8.4.27 和 8.5.12。Node.js 同日披露十项安全缺陷，其中四项被定为高危：包括由 Brotli 解码器越界写入引发的远程代码执行、DNS 名称截断漏洞，以及两起 TLS 证书主机名校验逻辑绕过问题；相关补丁已集成至版本 22.23.4、24.22.1 与 26.12.1。Go 语言方面，crypto/x509 模块存在的证书信任风险被编号为 CVE-2026-111943，Red Hat 评定其严重等级为「重要」，CVSS 3.1 基础评分为 6.8；该漏洞使具备特定网络位置并持有恶意构造证书的攻击者可冒充合法服务器，进而实施通信劫持或篡改；Go 1.26.10 与 1.27.3 版本已将涉事中间证书加入拒绝列表，强制终止对其的信任链验证。