Risiko keselamatan pada perisian asas internet didedahkan dalam masa sehari, melibatkan PHP, Node.js dan Go

Pada 22 Oktober, tiga projek perisian asas bagi bahasa pengaturcaraan utama—PHP, Node.js dan Go—mengeluarkan kemas kini keselamatan secara padat dalam satu hari yang sama, meliputi pelbagai isu berisiko tinggi seperti pelaksanaan kod jarak jauh, pengelakan pengesahan nama hos sijil TLS, dan risiko rantaian kepercayaan sijil perantaraan. Dalam hal PHP, dua kelemahan serius—CVE-2026-109618 dan CVE-2026-109619—telah dibaiki secara cemas; kedua-duanya membenarkan penyerang melaksanakan kod jarak jauh tanpa perlukan pengesahan identiti, serta memberi kesan kepada semua persekitaran pelaksanaan PHP yang menguruskan permintaan web; versi yang telah dibaiki ialah 8.2.35, 8.3.36, 8.4.27 dan 8.5.12. Pada hari yang sama, Node.js mendedahkan sepuluh kecacatan keselamatan, empat daripadanya diklasifikasikan sebagai berisiko tinggi: pelaksanaan kod jarak jauh akibat penulisan luar sempadan oleh penyahkod Brotli, kecacatan pemotongan nama DNS, dan dua insiden pengelakan logik pengesahan nama hos sijil TLS; tambalan berkaitan telah diintegrasikan ke dalam versi 22.23.4, 24.22.1 dan 26.12.1. Bagi bahasa Go, risiko kepercayaan sijil dalam modul crypto/x509 diberi nombor CVE-2026-111943, dengan Red Hat menilai tahap keparahannya sebagai “penting” dan skor asas CVSS 3.1 sebanyak 6.8; kelemahan ini membolehkan penyerang yang berada di lokasi rangkaian tertentu dan memiliki sijil yang direka secara jahat untuk menyamar sebagai pelayan sah, seterusnya melaksanakan perampasan komunikasi atau pengubahsuaian; versi Go 1.26.10 dan 1.27.3 telah memasukkan sijil perantaraan terbabit ke dalam senarai larangan, serta memaksa penghentian pengesahan rantaian kepercayaan terhadapnya.