Mensagem do BlockBeats, 22 de outubro: diversos projetos de software básico da internet lançaram atualizações de segurança em um único dia, abordando execução remota de código, contornos na verificação de certificados TLS e riscos de confiança de certificados. Entre eles:
PHP corrige duas vulnerabilidades graves, CVE-2026-109618 e CVE-2026-109619, ambas capazes de permitir execução remota de código sem autenticação, afetando ambientes PHP que processam solicitações da Web. As versões corrigidas incluem 8.5.12, 8.4.27, 8.3.36 e 8.2.35.
O anúncio do Node.js lista dez vulnerabilidades, das quais quatro são críticas, incluindo execução remota de código causada por escrita fora dos limites no decodificador Brotli, truncamento de nome DNS e duas falhas de contorno na validação do nome do host do certificado TLS. As versões corrigidas são 26.12.1, 24.22.1 e 22.23.4.
Além disso, o número de risco relacionado ao crypto/x509 do Go é CVE-2026-111943, classificado pela Red Hat como "Importante" com uma pontuação CVSS 3.1 de 6,8. Sob condições específicas de localização de rede e certificados relevantes, atacantes podem se passar por servidores legítimos, interceptando ou alterando comunicações. As versões Go 1.26.10 e 1.27.3 incluíram uma lista de bloqueio para impedir a confiança nos certificados intermediários comprometidos relacionados.