网络安全机构呼吁更新 PHP、Node.js 和 Go——Taipei Times

网络安全管理局呼吁政府机构和企业立即安装 PHP、Node.js 和 Go 的更新。开发人员报告称，相关漏洞可能让攻击者远程执行代码或截获数字证书，据《台北时报》报道。

PHP 中的漏洞

PHP、Node.js 和 Go 都是开源软件。PHP 被用作服务器端脚本语言，Node.js 是 JavaScript 运行环境，而 Go 是一种编程语言。PHP 和 Node.js 的紧急更新于周三发布，Go 的新版本则于周一发布。

PHP 安全团队发现了两个漏洞，按 CVSS v4.0 评分系统计算，均获得 10 分中的 9.2 分。管理局表示，这些漏洞可能允许未经身份验证的远程任意代码执行。PHP 被广泛用于网站、内容管理系统和管理界面；WordPress、Drupal、Joomla 和 Magento 也依赖于它。

更多最新消息请关注 UA.News Telegram 频道 Telegram.

建议各组织检查所有 PHP 系统及相关软件包，确认其版本，并按照开发人员的建议安装修复程序。更新后，应检查系统日志和异常访问尝试；如发现可疑活动，则应检查相关凭证的安全性。

Node.js 和 Go 的修复程序

Node.js 在修复 10 个漏洞后发布了三个更新版本，其中四个被列为高风险漏洞。主要问题涉及 Brotli 解码器：写入超出已分配内存范围的数据可能造成内存损坏，并可能导致远程代码执行。更新还修复了绕过 TLS 证书验证和权限模型的方式，以及 DNS 解析错误。

Go 在印度一家中间证书颁发机构发生事件后发布了两个更新版本，该事件导致八个已知私钥泄露。管理局表示，攻击者可能利用这些密钥发动“中间人”攻击。新版本 Go 将受影响的中间证书加入阻止列表。为使该机制生效，开发人员需要在更新 Go 工具链后重新编译并重新部署应用程序。