Các rủi ro bảo mật liên tiếp được phát hiện trong một ngày đối với các phần mềm nền tảng của internet, bao gồm PHP, Node.js và Go

Vào ngày 22 tháng 10, ba dự án phần mềm nền tảng phổ biến nhất cho các ngôn ngữ lập trình PHP, Node.js và Go đã cùng phát hành các bản cập nhật bảo mật trong cùng một ngày, bao quát nhiều vấn đề nghiêm trọng như thực thi mã từ xa, bỏ qua kiểm tra tên máy chủ trong chứng chỉ TLS và rủi ro liên quan đến chuỗi tin cậy của chứng chỉ trung gian. Về phía PHP, hai lỗ hổng nghiêm trọng CVE-2026-109618 và CVE-2026-109619 đã được khắc phục khẩn cấp; cả hai đều cho phép kẻ tấn công thực thi mã từ xa mà không cần xác thực, ảnh hưởng đến mọi môi trường chạy PHP xử lý yêu cầu web; các phiên bản đã sửa lỗi tương ứng là 8.2.35, 8.3.36, 8.4.27 và 8.5.12. Cùng ngày, Node.js tiết lộ mười lỗ hổng bảo mật, trong đó bốn lỗ hổng được xếp vào mức độ cao: bao gồm thực thi mã từ xa do ghi ngoài vùng nhớ trong bộ giải mã Brotli, lỗ hổng cắt ngắn tên DNS và hai lỗ hổng bỏ qua logic kiểm tra tên máy chủ trong chứng chỉ TLS; các bản vá liên quan đã được tích hợp vào các phiên bản 22.23.4, 24.22.1 và 26.12.1. Đối với ngôn ngữ Go, rủi ro tin cậy chứng chỉ trong mô-đun crypto/x509 được gán mã CVE-2026-111943, Red Hat đánh giá mức độ nghiêm trọng của lỗ hổng này là “quan trọng”, điểm cơ bản CVSS 3.1 là 6.8; lỗ hổng này cho phép kẻ tấn công có vị trí mạng cụ thể và sở hữu chứng chỉ được tạo độc hại giả mạo máy chủ hợp pháp, từ đó thực hiện việc chiếm đoạt hoặc thay đổi thông tin liên lạc; các phiên bản Go 1.26.10 và 1.27.3 đã đưa chứng chỉ trung gian liên quan vào danh sách từ chối, buộc chấm dứt việc xác minh chuỗi tin cậy đối với chứng chỉ này.