Mensaje de BlockBeats, 22 de octubre: varios proyectos de software básico de internet lanzaron actualizaciones de seguridad en un solo día, que abordan la ejecución remota de código, la evasión de la verificación de certificados TLS y riesgos de confianza de certificados. Entre ellos:
PHP soluciona dos vulnerabilidades graves, CVE-2026-109618 y CVE-2026-109619, que permiten la ejecución remota de código sin autenticación en entornos PHP que procesan solicitudes web. Las versiones corregidas incluyen 8.5.12, 8.4.27, 8.3.36 y 8.2.35.
Node.js publica un aviso que enumera diez vulnerabilidades, cuatro de las cuales son críticas, incluyendo la ejecución remota de código causada por una escritura fuera de límites en el decodificador Brotli, el truncamiento de nombres DNS y dos problemas de contorno en la validación del nombre de host del certificado TLS. Las versiones corregidas son 26.12.1, 24.22.1 y 22.23.4.
Además, el número de riesgo relacionado con crypto/x509 de Go es CVE-2026-111943, y Red Hat lo clasifica como «importante» con una puntuación CVSS 3.1 de 6.8. Bajo condiciones específicas de ubicación de red y certificados relacionados, los atacantes podrían suplantar servidores legítimos e interceptar o modificar comunicaciones. Go 1.26.10 y 1.27.3 han sido añadidos a una lista de rechazo para bloquear la confianza en los certificados intermedios comprometidos relacionados.