В течение одного дня в базовом программном обеспечении интернета были выявлены угрозы безопасности, затронувшие PHP, Node.js и Go.

22 октября базовые программные проекты трёх ведущих языков программирования — PHP, Node.js и Go — одновременно выпустили серию обновлений безопасности, охватывающих такие критические уязвимости, как удалённое выполнение кода, обход проверки имени хоста в TLS-сертификатах и риски, связанные с цепочкой доверия промежуточных сертификатов. В случае PHP были срочно исправлены две критические уязвимости — CVE-2026-109618 и CVE-2026-109619, позволяющие злоумышленникам выполнять произвольный код на удалённых системах без необходимости аутентификации; уязвимости затрагивают все среды выполнения PHP, обрабатывающие веб-запросы. Исправления включены в версии 8.2.35, 8.3.36, 8.4.27 и 8.5.12. В тот же день Node.js объявил о десяти выявленных уязвимостях безопасности, четыре из которых классифицированы как высокой степени опасности: удалённое выполнение кода, вызванное выходом за границы буфера при декодировании Brotli, уязвимость, связанная с усечением DNS-имён, а также две уязвимости, позволяющие обойти логику проверки имени хоста в TLS-сертификатах. Соответствующие исправления интегрированы в версии 22.23.4, 24.22.1 и 26.12.1. Что касается языка Go, уязвимость, связанная с рисками доверия к сертификатам в модуле crypto/x509, получила идентификатор CVE-2026-111943; Red Hat оценил её степень серьёзности как «важную», базовая оценка по шкале CVSS 3.1 составляет 6.8. Эта уязвимость позволяет злоумышленнику, находящемуся в определённой сетевой позиции и владеющему специально сконструированным сертификатом, выдавать себя за легитимный сервер и тем самым перехватывать или изменять сетевой трафик. Версии Go 1.26.10 и 1.27.3 добавили соответствующий промежуточный сертификат в список отклонённых, что приводит к принудительному прекращению проверки цепочки доверия для него.