近两日有多个严重安全漏洞被披露，我们也已收到用户朋友们的关切，故发布该公告说明修补进展。

PHP 8.5.12：CVE-2026-109618 及 CVE-2026-109619

2026 年 10 月 21 日，PHP 公布了两个严重级别的远程任意代码执行漏洞 CVE-2026-109618 和 CVE-2026-109619，评分均为 9.2。鉴于漏洞的严重性及且该漏洞可能已经被利用，我们推荐任何使用 PHP 对外提供服务的用户立即升级 PHP 版本至 8.5.12。

Node.js 22.23.4/24.22.1/26.12.1

今日随 Node.js 2026 年 10 月 21 日安全更新公告发布的 Node.js 长期支持 (LTS) 分支更新 (22.23.4/24.22.1/26.12.1) 包含远程代码执行 (RCE) 漏洞在内的多个高危漏洞修复，我们正在着手推送相关更新，预计在未来数小时内完成，请注意及时更新。

关于 eMudhra 相关证书吊销进展的说明

2026 年 10 月 20 日，多方报道称 eMudhra emSign Root CA - C1/G3 及 emSign ECC Root CA - C3 证书私钥被破解，产生中间人攻击 (Man-in-the-Middle) 等安全风险，我们决定吊销这些证书。此外，由于 Comodo AAA Services 根证书先前为 eMudhra 交叉签名过部分中间证书，以及该根证书使用 SHA-1 签名算法，实际上已过时，因此也将被一并吊销。

安同 OS 维护者已在 Dennis Jackson 及社区贡献者们一同维护的 eMudhra Intermediate CA Compromise 站点的帮助下辨认了第一批含 NSS、oma 及 Node.js 等在内共 26 个常用且须修复的软件包。我们目前正在对这些软件包进行构建和使用测试，预计在周末前可以推送这些更新。

此外，考虑到大量 Rust 程序可能仍在使用受影响的 rustls-webpki < 0.103.16 库 (RUSTSEC-2026-0382)，我们计划在未来一周内着手预防性地重构所有基于 Rust 的软件包，并利用 Autobuild 中基于 cargo-audit 实现的自动依赖修补流程完成证书吊销工作。