# PHP en Node.js brengen kritieke beveiligingsupdates uit op 21 okt 2026

> Beide runtimes verhelpen kwetsbaarheden voor uitvoering van code op afstand; een nieuwe Devin-plugin kan het patchen van getroffen repositories automatiseren.

Oossa · 2026-10-22 · https://oossa.com/nl/php-and-node-js-release-critical-security-patches-on-oct-21-2026

Op 21 oktober 2026 brachten de PHP- en Node.js-projecten updates uit om kritieke kwetsbaarheden voor uitvoering van code op afstand te verhelpen. De PHP2Shell-kwetsbaarheden in PHP (CVE‑2026‑109618, CVE‑2026‑109619) treffen alle configuraties waarin webverkeer wordt afgehandeld en zijn verholpen in versies 8.2.35, 8.3.36, 8.4.27 en 8.5.12. Node.js verholp tien CVE’s, waaronder een exploit in de Brotli-decoder (CVE‑2026‑111497), in versies 22.23.4, 24.22.1 en 26.12.1. Om teams te helpen deze patches toe te passen, kondigt de blog een opensourceplugin ‘Vulnerability Fixes’ aan voor de Devin-codeeragent. Die brengt repositories in kaart, vraagt om goedkeuring, werkt ze bij naar geverifieerde versies, voert tests uit en opent voor elke repository een pull request.

## De feiten

- PHP fixed versions: 8.2.35, 8.3.36, 8.4.27, 8.5.12
- Node.js fixed versions: 22.23.4, 24.22.1, 26.12.1

## Waarom het ertoe doet

Ops-teams kunnen PHP- en Node-services die actief worden misbruikt snel beveiligen, waardoor het risico op downtime en datalekken afneemt.

## Bronnen en referenties

1. [Fixing Critical Node & PHP Flaws](https://windsurf.com/blog/vulnerability-fixes-plugin) – Windsurf, 2026-10-21

Laatst bijgewerkt: 2026-10-22