别睡觉了，今天把所有底层依赖更新一遍

内容转自QQ，涵盖PHP Node Nginx Apache Go litellm CA证书

当然也不用太惊慌，大部分只是常规安全更新

PHP

CVE-2026-109618 通过内存耗尽（OOM） 导致的代码执行

CVE-2026-109619 通过全局状态残留（Stale Global State） 导致的代码执行

Node.js：8 个 CVE，4 个 high，含一个 RCE

修复版：v22.23.4 / v24.22.1 / v26.12.1（今天发的）

CVE-2026-111497 high Brotli 解码器越界写 → 远程代码执行（26/24/22 全中）。发个恶意 brotli 压缩 body 给 Node HTTP 服务就可能打穿

CVE-2026-105482 high dns.resolve 截断含 NUL 的主机名 → 解析到错误主机（SSRF 绕过的经典套路）

CVE-2026-105483 high TLS 证书校验绕过：IP 写成全角数字时 hostname 校验失效（26/24）

CVE-2026-106069 high TLS 证书校验绕过：host 能"松散解析"成 IP 时，DNS SAN 可以冒充 IP 端点（26/24/22）

CVE-2026-105481 medium keep-alive socket 会把请求发出前写好的响应发出去 → 跨请求响应混淆

CVE-2026-106072 medium 非规范 IPv4 hostname 校验证书不当

CVE-2026-106074 medium crypto.randomUUID()/randomInt() 的熵缓存被写进 SEA 快照 → 每个进程重复同一批值（要命的可预测性）

26.x 专属 low low Permission Model 通配 radix 过授权、fs.realpathSync 绕过

顺带更新了 c-ares、OpenSSL、SQLite、undici，还有 ca-cert（eMudhra 中间 CA 被攻破）——这个值得留意，根证书信任链动了。

nginx

CVE-2026-15176 缓冲区溢出 alias 指令配合 rewrite 指令，且请求 URI 被改写后映射到文件路径 工作进程崩溃，特定条件下可能远程代码执行

CVE-2026-93479 缓冲区溢出 在 http 和 stream 模块中求值包含变量的字符串表达式时 文档根计算与请求日志记录受影响，可导致崩溃或潜在代码执行

CVE-2026-97205 释放后使用（Use-after-free） 同时使用异步文件 I/O（AIO）与 SSI 的 include virtual 指令 内存破坏、进程崩溃，理论上可导致代码执行

CVE-2026-95101 请求体注入 使用 HTTP/3 时，未知帧的一部分可能被当作请求体 可绕过 client_max_body_size 限制，或向代理请求中注入数据

CVE-2026-97629 会话伪造 使用 TLS 会话票据密钥轮换时，其中一个密钥未被初始化 攻击者可能伪造 TLS 会话

Apache Tomcat 认证绕过漏洞

CVE-2026-101296：当Tomcat的JNDI Realm配置使用非GSSAPI的SASL认证机制时，存在认证步骤缺失的漏洞，允许攻击者在不提供正确密码的情况下通过认证。

Go中间证书信任漏洞

CVE-2026-111943 Go 是开源编程语言，标准库 crypto/x509 提供 X.509 证书解析与信任链校验，TLS 客户端默认通过 Certificate.Verify 判断对端证书是否可信。

受影响版本中，Certificate.Verify 使用 opts.Intermediates 构建到信任锚的证书链后，不会过滤含有已被撤销中间证书的路径。这些中间证书私钥已泄露且证书已撤销，但 Linux 系统根存储无法把撤销状态传播到应用；攻击者使用对应中间证书签发任意域名的 TLS 证书并提交校验时，Verify 仍会把该链返回给调用方，使目标应用把攻击者控制的证书视为可信。

修复版本中通过在 Verify 过滤候选链时调用 containsDistrustedSPKIHash，按 SHA-256 SPKI 哈希拒绝一组不受信任中间证书；命中时从返回结果中删除该链，Darwin 与 Windows 的 systemVerify 同步执行相同过滤，使这些中间证书无法再作为有效信任路径返回。

解决建议

将组件 go 升级至 1.27.3 及以上版本

将组件 go 升级至 1.26.10 及以上版本

LiteLLM 又被投毒

受影响版本是 1.107.0。 PyPI 已经撤包。

CA证书

证书颁发机构 eMudhra (emSign) 的 8 个中间 CA 证书近日被主流浏览器紧急吊销（CVE-2026-111943）。 原因是其 EC-384 私钥全部使用了 0~255 之间的极简数字

Linux 服务器（如 Debian/Ubuntu 的 ca-certificates）、Go 及 python-certifi 用户需尽快更新证书包，或通过 sudo dpkg-reconfigure ca-certificates 手动取消勾选所有 emSign 相关的根证书。

🌐 检测你的环境是否受影响：https://emudhra.we-have-a-problem.com/