# PHPとNode.js、2026年10月21日に重大なセキュリティ修正を公開

> 両ランタイムでリモートコード実行の脆弱性を修正。影響を受けるリポジトリへのパッチ適用を自動化するDevinプラグインも登場した。

Oossa · 2026-10-22 · https://oossa.com/ja/php-and-node-js-release-critical-security-patches-on-oct-21-2026

2026年10月21日、PHPとNode.jsの各プロジェクトは、重大なリモートコード実行の脆弱性を修正するアップデートを公開した。PHPのPHP2Shell脆弱性（CVE-2026-109618、CVE-2026-109619）は、すべてのWebサーバー環境に影響し、バージョン8.2.35、8.3.36、8.4.27、8.5.12で修正された。Node.jsは、Brotliデコーダーを悪用する脆弱性（CVE-2026-111497）を含む10件のCVEに対処し、バージョン22.23.4、24.22.1、26.12.1で修正した。チームがこれらのパッチを適用しやすくするため、ブログではDevinコーディングエージェント向けのオープンソースプラグイン「Vulnerability Fixes」を発表した。このプラグインはリポジトリを調査し、承認を求めたうえで、検証済みバージョンに更新し、テストを実行し、リポジトリごとにプルリクエストを作成する。

## 事実

- PHPの修正版：8.2.35、8.3.36、8.4.27、8.5.12
- Node.jsの修正版：22.23.4、24.22.1、26.12.1

## なぜ重要か

運用チームは、実際に悪用されているPHPおよびNode.jsサービスの脆弱性を迅速に修正し、サービス停止や情報漏えいのリスクを抑えられる。

## 出典と参考資料

1. [Fixing Critical Node & PHP Flaws](https://windsurf.com/blog/vulnerability-fixes-plugin) – Windsurf, 2026-10-21

最終更新: 2026-10-22