继 PHP、Node.js 发布安全更新，Go 也紧急推出了安全版本。

继 PHP、Node.js 发布安全更新，Go 也紧急推出了安全版本。

PHP：两个严重 RCE 漏洞
CVE-2026-109618、CVE-2026-109619，均可能允许攻击者无需认证远程执行代码。
修复版本：8.5.12、8.4.27、8.3.36、8.2.35。

官方公告：https://php.net/archive/2026.php#2026-10-21-5

Node.js：10 个漏洞，4 个高危
最值得关注的是 Brotli 解码器越界写入漏洞 CVE-2026-111497，可能导致远程代码执行。此外还有 TLS 证书验证绕过、DNS 解析异常、权限模型绕过等问题。

修复版本：22.23.4、24.22.1、26.12.1。

官方公告：https://nodejs.org/en/blog/vulnerability/october-2026-security-releases

Go：证书信任问题
Go 1.27.3 和 1.26.10 加入了针对 8 个受影响中间 CA 证书的拦截机制，防范被泄露私钥的证书链继续通过验证。

注意：Go 应用升级工具链后，还需要重新编译并部署。

官方公告：https://go.dev/issue/82345

这几波更新涉及网站后端、TLS 证书验证和底层运行时安全。还在维护 PHP、Node.js、Go 服务的，赶紧检查版本，该升级的尽快升级。