# PHP und Node.js veröffentlichen kritische Sicherheitsupdates

> Beide Laufzeitumgebungen schließen Lücken für Remote Code Execution; ein neues Devin-Plugin kann den Patch-Prozess für betroffene Repositories automatisieren.

Oossa · 2026-10-22 · https://oossa.com/de/php-and-node-js-release-critical-security-patches-on-oct-21-2026

Am 21. Oktober 2026 veröffentlichten die PHP- und Node.js-Projekte Updates, die kritische Sicherheitslücken für Remote Code Execution schließen. Die PHP2Shell-Schwachstellen in PHP (CVE‑2026‑109618, CVE‑2026‑109619) betreffen alle Setups, die Webinhalte ausliefern, und sind in den Versionen 8.2.35, 8.3.36, 8.4.27 und 8.5.12 behoben. Node.js schloss zehn CVEs, darunter eine ausnutzbare Schwachstelle im Brotli-Decoder (CVE‑2026‑111497), in den Versionen 22.23.4, 24.22.1 und 26.12.1. Damit Teams diese Patches leichter einspielen können, kündigt der Blog ein quelloffenes „Vulnerability Fixes“-Plugin für den Devin-Coding-Agenten an. Es erfasst Repositories, holt die Freigabe ein, aktualisiert auf geprüfte Versionen, führt Tests aus und eröffnet für jedes Repository einen Pull Request.

## Die Fakten

- Behobene PHP-Versionen: 8.2.35, 8.3.36, 8.4.27, 8.5.12
- Behobene Node.js-Versionen: 22.23.4, 24.22.1, 26.12.1

## Warum es wichtig ist

Ops-Teams können PHP- und Node-Dienste, die aktiv angegriffen werden, schnell absichern und so Ausfallzeiten und das Risiko von Sicherheitsverletzungen verringern.

## Quellen und Referenzen

1. [Fixing Critical Node & PHP Flaws](https://windsurf.com/blog/vulnerability-fixes-plugin) – Windsurf, 2026-10-21

Zuletzt aktualisiert: 2026-10-22