인터넷 기반 소프트웨어가 하루 사이 PHP, Node.js, Go 등 여러 핵심 플랫폼에서 잇달아 보안 위험을 드러냈다.

10월 22일, PHP, Node.js, Go 등 세 가지 주요 프로그래밍 언어의 기반 소프트웨어 프로젝트가 동일한 날에 집중적으로 보안 업데이트를 발표하였으며, 이는 원격 코드 실행, TLS 인증서 호스트 이름 검증 우회, 중간 인증서 신뢰 체인 위험 등 여러 가지 고위험 문제를 포괄한다. PHP 측면에서는 심각한 취약점 CVE-2026-109618과 CVE-2026-109619가 긴급히 수정되었는데, 이 두 취약점 모두 공격자가 인증 없이도 원격 코드 실행을 수행할 수 있도록 허용하며, 모든 웹 요청을 처리하는 PHP 실행 환경에 영향을 미친다. 해당 수정 버전은 8.2.35, 8.3.36, 8.4.27 및 8.5.12이다. Node.js는 같은 날 10건의 보안 결함을 공개하였으며, 이 중 4건이 고위험으로 분류되었다. 여기에는 브로틀리(Brotli) 디코더의 범위 초과 쓰기로 인한 원격 코드 실행, DNS 이름 절단 취약점, 그리고 두 건의 TLS 인증서 호스트 이름 검증 로직 우회 문제가 포함된다. 관련 패치는 버전 22.23.4, 24.22.1 및 26.12.1에 통합되었다. Go 언어 측면에서는 crypto/x509 모듈에서 발견된 인증서 신뢰 위험이 CVE-2026-111943으로 번호 매겨졌으며, 레드햇(Red Hat)은 이를 ‘중요’ 등급으로 평가하고 CVSS 3.1 기본 점수는 6.8이다. 이 취약점은 특정 네트워크 위치를 확보하고 악의적으로 구성된 인증서를 소지한 공격자가 합법적인 서버를 사칭하여 통신을 가로채거나 조작할 수 있게 한다. Go 1.26.10 및 1.27.3 버전에서는 관련 중간 인증서를 거부 목록에 추가하여 해당 신뢰 체인 검증을 강제로 종료하였다.