インターネット基盤ソフトウェアで1日のうちに相次いでセキュリティリスクが発覚し、PHP、Node.js、Goが関与している。

BlockBeatsのニュース、10月22日、複数のインターネット基盤ソフトウェアプロジェクトが1日のうちに相次いでセキュリティアップデートを発表した。リモートコード実行、TLS証明書検証バイパス、証明書信頼リスクに関わる。うち：

PHPはCVE-2026-109618、CVE-2026-109619の2つの重大な脆弱性を修正した。いずれも認証なしのリモートコード実行を引き起こす可能性があり、Webリクエストを処理するPHP環境に影響する。修正バージョンは8.5.12、8.4.27、8.3.36、8.2.35。

Node.jsの公告では10件の脆弱性がリストアップされ、うち4件が高危険度。Brotliデコーダの境界外書き込みによるリモートコード実行、DNS名の切り詰め、および2件のTLS証明書ホスト名検証バイパス問題が含まれる。修正バージョンは26.12.1、24.22.1、22.23.4。

さらに、Goのcrypto/x509関連リスクはCVE-2026-111943に番号付けされ、Red Hatは「重要」と評価し、CVSS 3.1スコアは6.8。攻撃者は特定のネットワーク位置および関連証明書などの条件を備える場合、正規サーバーを偽装し、通信を傍受または改ざんする可能性がある。Go 1.26.10および1.27.3では拒否リストが追加され、関連する失効中間証明書への信頼をブロックしている。