# PHP et Node.js corrigent des failles critiques le 21 octobre 2026

> Les deux environnements corrigent des failles d’exécution de code à distance. Un nouveau plugin Devin peut automatiser l’application des correctifs dans les dépôts concernés.

Oossa · 2026-10-22 · https://oossa.com/fr/php-and-node-js-release-critical-security-patches-on-oct-21-2026

Le 21 octobre 2026, les projets PHP et Node.js ont publié des mises à jour qui corrigent des failles critiques permettant l’exécution de code à distance. Les failles PHP2Shell de PHP (CVE‑2026‑109618, CVE‑2026‑109619) touchent toutes les configurations hébergeant un site web. Elles sont corrigées dans les versions 8.2.35, 8.3.36, 8.4.27 et 8.5.12. Node.js a corrigé dix CVE, dont une faille exploitable dans le décodeur Brotli (CVE‑2026‑111497), dans les versions 22.23.4, 24.22.1 et 26.12.1. Pour aider les équipes à appliquer ces correctifs, l’article annonce un plugin open source « Vulnerability Fixes » pour l’agent de programmation Devin. Celui-ci répertorie les dépôts, demande une approbation, les met à jour vers des versions vérifiées, exécute les tests et ouvre une pull request pour chaque dépôt.

## Les faits

- Versions corrigées de PHP : 8.2.35, 8.3.36, 8.4.27, 8.5.12
- Versions corrigées de Node.js : 22.23.4, 24.22.1, 26.12.1

## Pourquoi c'est important

Les équipes d’exploitation peuvent rapidement sécuriser les services PHP et Node visés par des attaques actives, réduisant ainsi les risques d’interruption et de fuite de données.

## Sources et références

1. [Fixing Critical Node & PHP Flaws](https://windsurf.com/blog/vulnerability-fixes-plugin) – Windsurf, 2026-10-21

Dernière mise à jour: 2026-10-22