Risiko keamanan pada perangkat lunak dasar internet terungkap berturut-turut dalam satu hari, mencakup PHP, Node.js, dan Go

Pada tanggal 22 Oktober, tiga proyek perangkat lunak dasar untuk bahasa pemrograman utama—PHP, Node.js, dan Go—merilis pembaruan keamanan secara intensif dalam satu hari yang sama, mencakup berbagai masalah berisiko tinggi seperti eksekusi kode jarak jauh, penghindaran verifikasi nama host sertifikat TLS, serta risiko rantai kepercayaan sertifikat perantara. Di sisi PHP, dua kerentanan kritis, CVE-2026-109618 dan CVE-2026-109619, diperbaiki secara mendesak; keduanya memungkinkan pelaku serangan melakukan eksekusi kode jarak jauh tanpa autentikasi, sehingga memengaruhi semua lingkungan runtime PHP yang menangani permintaan web; versi yang memperbaiki masalah ini adalah 8.2.35, 8.3.36, 8.4.27, dan 8.5.12. Pada hari yang sama, Node.js mengungkapkan sepuluh kekurangan keamanan, empat di antaranya diklasifikasikan sebagai berisiko tinggi: eksekusi kode jarak jauh akibat penulisan melewati batas pada dekoder Brotli, kerentanan pemotongan nama DNS, serta dua kasus penghindaran logika verifikasi nama host sertifikat TLS; tambalan terkait telah diintegrasikan ke dalam versi 22.23.4, 24.22.1, dan 26.12.1. Di sisi bahasa Go, risiko kepercayaan sertifikat pada modul crypto/x509 diberi nomor CVE-2026-111943; Red Hat menilai tingkat keparahannya sebagai “Penting”, dengan skor dasar CVSS 3.1 sebesar 6.8; kerentanan ini memungkinkan pelaku serangan yang berada di lokasi jaringan tertentu dan memiliki sertifikat yang dirancang khusus untuk menyamar sebagai server sah, sehingga dapat melakukan perampasan komunikasi atau manipulasi data; versi Go 1.26.10 dan 1.27.3 telah memasukkan sertifikat perantara terkait ke dalam daftar penolakan, sehingga memaksa penghentian verifikasi rantai kepercayaan terhadap sertifikat tersebut.