PHP CVE-2026-109618 / CVE-2026-109619
NodeJS CVE-2026-106069 / CVE-2026-106072 / CVE-2026-105482 / CVE-2026-105483 / CVE-2026-111497
印度阿三干的傻事, 私钥选择了 0 到 255 的随机数.

修复情报:

https://www.php.net/archive/2026.php#2026-10-21-5
Node.js — Wednesday, October 21, 2026 Security Releases
eMudhra Intermediate CA Compromise 自查; 此外 Go 需要升级到 1.27.3 / 1.26.10, ca-certificates 包需要更新, Chrome 用户需要连接代理等待 CRL 列表刷新, 等等等等, 欢迎补充.

评: 全方位多角度的打击, 赶紧自查吧.

补充: Backport upstream eMudhra intermediate blocklist - Pull Request #4012 - ungoogled-software/ungoogled-chromium - GitHub, 由于 ungoogle-chromium 移除了 CRL 相关机制, 不能获知证书吊销信息, 需要特别注意.

补充:

图片
陈寒彤:

目前有消息称, 部分 RCE exploit script 在升级 PHP 版本后仍然可用, 似乎在分析 109618 109619 期间还发现了同等危害等级的问题, 这几天需要密切留意了 /(ㄒoㄒ)/~~