4 個高風險漏洞 IT 人今晚不用睡了
【漏洞連環爆 ⚠️】IT 人今晚不用睡了 !! 繼 PHP 爆出兩個重大 RCE 漏洞，無須認證即可遠端攻擊，目前官方已釋出更新。沒想到同一時間 Node.js 與 Go 亦緊急釋出安全更新，修補可能導致無憑證遠端執行程式碼（RCE）的重大漏洞、TLS 憑證驗證繞過以及私鑰外洩的中間 CA 信任鏈風險，所以今晚大家一齊打「丁*」吧 !! (編者按︰補丁)
由於此波更新直接涉及伺服器後端邏輯、傳輸層安全性協定與底層執行環境安全，各官方強烈呼籲系統管理員及開發團隊儘速排查並完成版本升級，如果你還沒打完「丁」，今晚根本不用睡。
PHP 官方團隊正式發布版本更新，主要修正兩項嚴重等級的遠端執行程式碼漏洞，編號分別為 CVE-2026-109618 與 CVE-2026-109619。
相關漏洞允許未經身分驗證的遠端攻擊者利用特定請求發動攻擊，進而直接取得伺服器控制權，威脅程度極高。官方已針對仍在支援維護的分支釋出安全修復版本 PHP 8.5.12、8.4.27、8.3.36、8.2.35。
與此同時，Node.js 官方亦公布了 10 月安全性更新，本次共修補多達 10 個安全漏洞，其中包含 4 個高風險（High）漏洞。
本次修補焦點在於 Brotli 解碼器中的邊界外寫入漏洞（Out-of-bounds Write，編號 CVE-2026-111497），攻擊者可藉此觸發記憶體損壞並可能達成遠端執行程式碼。此外，本次更新亦同步修復了 TLS 憑證驗證繞過、DNS 解析異常行為以及權限模型（Permission Model）繞過等多項核心問題，管理員務必要將 Node.js 版本更新至 22.23.4、24.22.1、26.12.1。
Go 官方則將印度 CA 那 8 個已知私鑰外洩的中間憑證授權中心（Intermediate CA）加入憑證攔截清單，防止受影響的憑證鏈繼續通過驗證，杜絕中間人攻擊風險。
官方特別提醒，與直譯或動態執行環境不同，開發者在更新本機或伺服器的 Go 工具鏈（Toolchain）後，必須針對現有 Go 應用程式進行重新編譯並重新部署，方能讓安全攔截機制正式生效。管理員務必要將 Go 更新至 Go 1.27.3、Go 1.26.10。
資安專家提醒，管理員應立即清查內部各主機與容器化映像檔的軟體版本，並依照官方最佳化指引完成部署驗證，以防範潛在的資安威脅。
資料來源:
