インターネット基盤ソフトウェアが1日以内に相次いでセキュリティリスクを露呈し、PHP、Node.js、Goが影響を受けた。

10月22日、PHP、Node.js、Goの3大主要プログラミング言語を支える基盤ソフトウェアプロジェクトが、同日に集中してセキュリティ更新を公開しました。これらの更新は、リモートコード実行、TLS証明書のホスト名検証バイパス、中間証明書の信頼チェーンリスクなど、複数の高危険度問題を包括的にカバーしています。PHPについては、深刻な脆弱性CVE-2026-109618およびCVE-2026-109619が緊急対応され、いずれも認証不要でリモートコード実行を可能とするものであり、すべてのWebリクエストを処理するPHP実行環境に影響を及ぼします。対応済みの修正バージョンは8.2.35、8.3.36、8.4.27および8.5.12です。Node.jsでは同日に10件のセキュリティ欠陥が公表され、そのうち4件が「高危険度」と判定されました。具体的には、Brotliデコーダのバッファオーバーランによるリモートコード実行、DNS名の切り捨て脆弱性、およびTLS証明書のホスト名検証ロジックをバイパスする2件の問題です。関連するパッチは、バージョン22.23.4、24.22.1および26.12.1に統合されています。Go言語においては、crypto/x509モジュールに存在する証明書信頼リスクがCVE-2026-111943として割り当てられ、Red Hatによる評価では「重要」レベルとされ、CVSS 3.1の基本スコアは6.8です。この脆弱性により、特定のネットワーク位置を有し、悪意のある証明書を所持する攻撃者が正当なサーバーをなりすまし、通信の乗っ取りや改ざんを実行することが可能になります。Go 1.26.10および1.27.3では、該当する中間証明書が拒否リストに追加され、その信頼チェーン検証が強制的に終了されるようになっています。