Am 21. Oktober 2026 veröffentlichten die PHP- und Node.js-Projekte Updates, die kritische Sicherheitslücken für Remote Code Execution schließen. Die PHP2Shell-Schwachstellen in PHP (CVE‑2026‑109618, CVE‑2026‑109619) betreffen alle Setups, die Webinhalte ausliefern, und sind in den Versionen 8.2.35, 8.3.36, 8.4.27 und 8.5.12 behoben. Node.js schloss zehn CVEs, darunter eine ausnutzbare Schwachstelle im Brotli-Decoder (CVE‑2026‑111497), in den Versionen 22.23.4, 24.22.1 und 26.12.1. Damit Teams diese Patches leichter einspielen können, kündigt der Blog ein quelloffenes „Vulnerability Fixes“-Plugin für den Devin-Coding-Agenten an. Es erfasst Repositories, holt die Freigabe ein, aktualisiert auf geprüfte Versionen, führt Tests aus und eröffnet für jedes Repository einen Pull Request.
Warum es wichtig ist
Ops-Teams können PHP- und Node-Dienste, die aktiv angegriffen werden, schnell absichern und so Ausfallzeiten und das Risiko von Sicherheitsverletzungen verringern.
