Кажется, у системных администраторов и разработчиков сегодня много работы.

За последние несколько дней практически одновременно вышли серьёзные обновления безопасности для PHP, Node.js, NGINX и GitLab. А вдобавок обнаружилась масштабная проблема с доверенными HTTPS-сертификатами.

🔴 PHP — две критические уязвимости с возможностью удалённого выполнения кода (RCE) без авторизации. CVE-2026-109618 и CVE-2026-109619 позволяют при определённых условиях выполнить произвольный код на сервере. Под угрозой не только конкретные CMS, а сама среда выполнения PHP, включая PHP-FPM и Apache mod_php. Выпущены исправления: PHP 8.2.35, 8.3.36, 8.4.27 и 8.5.12. Старые неподдерживаемые версии также затронуты. Разработчики PHP настоятельно рекомендуют срочное обновление: полноценного способа защиты без установки патчей нет. После обновления желательно проверить работоспособность приложений. 🔗 https://www.php.net/archive/2026.php

🟠 Node.js — сразу 10 уязвимостей, включая RCE. Среди проблем — переполнение буфера в декодере Brotli, позволяющее удалённое выполнение кода, ошибки проверки TLS-сертификатов, проблемы с DNS и механизмами безопасности. Исправления доступны в Node.js 22.23.4, 24.22.1 и 26.12.1. В обновления также включены исправления зависимостей и проблемы с сертификатами eMudhra. 🔗 https://nodejs.org/en/blog/vulnerability/october-2026-security-releases

🔴 NGINX — пять уязвимостей, три из которых получили оценку CVSS 9.2. Проблемы связаны с переполнением буфера, ошибками управления памятью, HTTP/3 и обработкой TLS-сессий. В определённых конфигурациях возможны отказ в обслуживании и даже удалённое выполнение кода. Степень риска зависит от используемых модулей и настроек сервера. Исправленные версии: NGINX 1.30.6 и 1.31.7. 🔗 https://nginx.org/en/security_advisories.html

🔴 GitLab — критическая уязвимость CVE-2026-110264 с максимальной оценкой CVSS 10.0. Ошибка переполнения целого числа при обработке регулярных выражений потенциально позволяет выполнить произвольный код на сервере без авторизации. Кроме неё, в обновлении исправлено ещё 11 уязвимостей, затрагивающих в том числе аутентификацию, разграничение доступа и раскрытие служебных данных. GitLab выпустил экстренные патчи для нескольких веток, включая 18.11.13, 19.3.6, 19.4.3 и 19.5.1. Владельцам собственных GitLab-инсталляций рекомендуется обновиться немедленно. Облачный GitLab.com уже исправлен. 🔗 https://docs.gitlab.com/releases/patches/patch-release-gitlab-19-5-1-released/

🔐 И вишенка на торте — компрометация сертификатов eMudhra. У индийского центра сертификации обнаружили восемь промежуточных сертификатов, приватные ключи которых были сгенерированы с недостаточной криптографической случайностью. Фактически это создало возможность подделывать доверенные HTTPS-сертификаты и выдавать себя за произвольные сайты перед клиентами, которые ещё доверяют скомпрометированным центрам. Google и Mozilla уже приняли меры по блокировке сертификатов. Обновления также затронули Node.js, Go, Python-библиотеки и системные хранилища сертификатов. Особенно неприятно, что проблема возникла в самой инфраструктуре доверия, на которой держится безопасность HTTPS. 🔗 https://blog.google/security/protecting-chrome-and-android-users-from-compromised-emudhra-intermediate-ca-certificates/

Что делать? Проверить версии ПО на серверах, в Docker-образах и CI/CD, обновить уязвимые компоненты, пересобрать контейнеры и проверить системные хранилища сертификатов. В первую очередь — публично доступные сервисы. Всё это ещё раз напоминает: безопасность инфраструктуры зависит не только от качества собственного кода, но и от огромного количества сторонних компонентов, библиотек и поставщиков, которым приходится доверять. И иногда все они решают напомнить о себе практически одновременно.

🔗 Полная статья: https://msk.onl/blog/critical-security-updates-october-2026