ซอฟต์แวร์พื้นฐานอินเทอร์เน็ตเผยความเสี่ยงด้านความปลอดภัยต่อเนื่องภายในหนึ่งวัน เกี่ยวข้องกับ PHP, Node.js และ Go

ข่าว BlockBeats วันที่ 22 ตุลาคม โครงการซอฟต์แวร์พื้นฐานอินเทอร์เน็ตหลายรายการได้ออกอัปเดตความปลอดภัยติดต่อกันภายในหนึ่งวัน ครอบคลุมถึงการรันโค้ดจากระยะไกล การข้ามการตรวจสอบใบรับรอง TLS และความเสี่ยงด้านความเชื่อถือของใบรับรอง โดยมีรายละเอียดดังนี้:

PHP แก้ไขช่องโหว่ร้ายแรงสองรายการคือ CVE-2026-109618 และ CVE-2026-109619 ซึ่งทั้งสองรายการสามารถทำให้เกิดการรันโค้ดจากระยะไกลโดยไม่ต้องยืนยันตัวตน ส่งผลกระทบต่อสภาพแวดล้อม PHP ที่จัดการคำขอเว็บ เวอร์ชันที่แก้ไขแล้วได้แก่ 8.5.12, 8.4.27, 8.3.36 และ 8.2.35

ประกาศของ Node.js ระบุช่องโหว่สิบรายการ โดยสี่รายการเป็นระดับสูง ได้แก่ การรันโค้ดจากระยะไกลที่เกิดจากการเขียนเกินขอบเขตของตัวถอดรหัส Brotli การตัดทอนชื่อ DNS และปัญหาการข้ามการตรวจสอบชื่อโฮสต์ในใบรับรอง TLS อีกสองรายการ เวอร์ชันที่แก้ไขแล้วได้แก่ 26.12.1, 24.22.1 และ 22.23.4

นอกจากนี้ ความเสี่ยงที่เกี่ยวข้องกับ crypto/x509 ของ Go มีหมายเลข CVE-2026-111943 ซึ่ง Red Hat จัดระดับเป็น "สำคัญ" โดยมีคะแนน CVSS 3.1 อยู่ที่ 6.8 ผู้โจมตีอาจปลอมแปลงเป็นเซิร์ฟเวอร์ที่ถูกต้องตามกฎหมายเพื่อดักจับหรือแก้ไขการสื่อสารได้ หากอยู่ในตำแหน่งเครือข่ายที่เฉพาะเจาะจงและมีใบรับรองที่เกี่ยวข้อง เป็นต้น Go 1.26.10 และ 1.27.3 ได้เพิ่มรายการปฏิเสธเพื่อบล็อกความเชื่อถือต่อใบรับรองระดับกลางที่ถูกบุกรุกที่เกี่ยวข้อง