Le 21 octobre 2026, les projets PHP et Node.js ont publié des mises à jour qui corrigent des failles critiques permettant l’exécution de code à distance. Les failles PHP2Shell de PHP (CVE‑2026‑109618, CVE‑2026‑109619) touchent toutes les configurations hébergeant un site web. Elles sont corrigées dans les versions 8.2.35, 8.3.36, 8.4.27 et 8.5.12. Node.js a corrigé dix CVE, dont une faille exploitable dans le décodeur Brotli (CVE‑2026‑111497), dans les versions 22.23.4, 24.22.1 et 26.12.1. Pour aider les équipes à appliquer ces correctifs, l’article annonce un plugin open source « Vulnerability Fixes » pour l’agent de programmation Devin. Celui-ci répertorie les dépôts, demande une approbation, les met à jour vers des versions vérifiées, exécute les tests et ouvre une pull request pour chaque dépôt.
Pourquoi c'est important
Les équipes d’exploitation peuvent rapidement sécuriser les services PHP et Node visés par des attaques actives, réduisant ainsi les risques d’interruption et de fuite de données.
