인터넷 기반 소프트웨어에서 하루 만에 PHP, Node.js, Go 관련 보안 위험이 연이어 드러났다

BlockBeats 소식, 10월 22일 여러 인터넷 기반 소프트웨어 프로젝트가 하루 만에 연달아 보안 업데이트를 발표했으며, 원격 코드 실행, TLS 인증서 검증 우회 및 인증서 신뢰 위험과 관련된 내용을 포함했습니다. 그중:

PHP는 CVE-2026-109618, CVE-2026-109619 두 가지 심각한 취약점을 수정했으며, 두 취약점 모두 인증되지 않은 원격 코드 실행을 유발할 수 있어 웹 요청을 처리하는 PHP 환경에 영향을 미칩니다. 수정 버전은 8.5.12, 8.4.27, 8.3.36 및 8.2.35입니다.

Node.js 공지에서는 10개의 취약점을 나열했으며, 그중 4개가 고위험으로 Brotli 디코더 범위 초과 쓰기로 인한 원격 코드 실행, DNS 이름 잘림, 그리고 두 가지 TLS 인증서 호스트 이름 검증 우회 문제를 포함합니다. 수정 버전은 26.12.1, 24.22.1 및 22.23.4입니다.

또한 Go의 crypto/x509 관련 위험은 CVE-2026-111943으로 번호가 부여되었으며, Red Hat은 이를 '중요'로 평가하고 CVSS 3.1 점수를 6.8로 책정했습니다. 공격자는 특정 네트워크 위치와 관련 인증서 등의 조건을 갖춘 경우 합법적인 서버를 사칭하여 통신을 가로채거나 변조할 수 있습니다. Go 1.26.10 및 1.27.3은 거부 목록에 추가되어 관련 침해된 중간 인증서에 대한 신뢰를 차단합니다.