# PHP·Node.js, 2026년 10월 21일 치명적 보안 패치 배포

> 두 런타임에서 원격 코드 실행 취약점을 수정했다. 영향을 받는 저장소의 패치를 자동화하는 Devin 플러그인도 공개됐다.

Oossa · 2026-10-22 · https://oossa.com/ko/php-and-node-js-release-critical-security-patches-on-oct-21-2026

2026년 10월 21일, PHP와 Node.js 프로젝트가 치명적인 원격 코드 실행 취약점을 해결하는 업데이트를 공개했다. PHP의 PHP2Shell 취약점(CVE‑2026‑109618, CVE‑2026‑109619)은 모든 웹 서비스 환경에 영향을 미치며, 8.2.35, 8.3.36, 8.4.27, 8.5.12 버전에서 수정됐다. Node.js는 Brotli 디코더 악용 취약점(CVE‑2026‑111497)을 포함해 10개의 CVE를 수정했으며, 수정 버전은 22.23.4, 24.22.1, 26.12.1이다. 팀의 패치 적용을 돕기 위해 블로그는 Devin 코딩 에이전트용 오픈소스 ‘Vulnerability Fixes’ 플러그인을 발표했다. 이 플러그인은 저장소 목록을 만들고 승인을 요청한 뒤, 검증된 버전으로 업데이트하고 테스트를 실행한 다음 저장소별로 풀 리퀘스트를 연다.

## 팩트

- PHP 수정 버전: 8.2.35, 8.3.36, 8.4.27, 8.5.12
- Node.js 수정 버전: 22.23.4, 24.22.1, 26.12.1

## 왜 중요한가

운영팀은 실제 공격에 악용되고 있는 PHP 및 Node 서비스의 보안을 신속히 강화해 서비스 중단과 침해 위험을 줄일 수 있다.

## 출처 및 참고 자료

1. [Fixing Critical Node & PHP Flaws](https://windsurf.com/blog/vulnerability-fixes-plugin) – Windsurf, 2026-10-21

최종 업데이트: 2026-10-22