4 个高风险漏洞 IT 人今晚不用睡了
【漏洞连环爆 ⚠️】IT 人今晚不用睡了 !! 继 PHP 爆出两个重大 RCE 漏洞，无须认证即可远端攻击，目前官方已释出更新。没想到同一时间 Node.js 与 Go 亦紧急释出安全更新，修补可能导致无凭证远端执行程式码（RCE）的重大漏洞、TLS 凭证验证绕过以及私钥外洩的中间 CA 信任链风险，所以今晚大家一齐打「丁*」吧 !! (编者按︰补丁)
由于此波更新直接涉及伺服器后端逻辑、传输层安全性协定与底层执行环境安全，各官方强烈唿吁系统管理员及开发团队尽速排查并完成版本升级，如果你还没打完「丁」，今晚根本不用睡。
PHP 官方团队正式发布版本更新，主要修正两项严重等级的远端执行程式码漏洞，编号分别为 CVE-2026-109618 与 CVE-2026-109619。
相关漏洞允许未经身分验证的远端攻击者利用特定请求发动攻击，进而直接取得伺服器控制权，威胁程度极高。官方已针对仍在支援维护的分支释出安全修復版本 PHP 8.5.12、8.4.27、8.3.36、8.2.35。
与此同时，Node.js 官方亦公布了 10 月安全性更新，本次共修补多达 10 个安全漏洞，其中包含 4 个高风险（High）漏洞。
本次修补焦点在于 Brotli 解码器中的边界外写入漏洞（Out-of-bounds Write，编号 CVE-2026-111497），攻击者可藉此触发记忆体损坏并可能达成远端执行程式码。此外，本次更新亦同步修復了 TLS 凭证验证绕过、DNS 解析异常行为以及权限模型（Permission Model）绕过等多项核心问题，管理员务必要将 Node.js 版本更新至 22.23.4、24.22.1、26.12.1。
Go 官方则将印度 CA 那 8 个已知私钥外洩的中间凭证授权中心（Intermediate CA）加入凭证拦截清单，防止受影响的凭证链继续通过验证，杜绝中间人攻击风险。
官方特别提醒，与直译或动态执行环境不同，开发者在更新本机或伺服器的 Go 工具链（Toolchain）后，必须针对现有 Go 应用程式进行重新编译并重新部署，方能让安全拦截机制正式生效。管理员务必要将 Go 更新至 Go 1.27.3、Go 1.26.10。
资安专家提醒，管理员应立即清查内部各主机与容器化映像档的软体版本，并依照官方最佳化指引完成部署验证，以防范潜在的资安威胁。
资料来源:
