# PHP e Node.js corrigem falhas críticas em 21 de outubro de 2026

> As duas plataformas corrigiram falhas de execução remota de código; um novo plugin do Devin pode automatizar a aplicação das correções nos repositórios afetados.

Oossa · 2026-10-22 · https://oossa.com/pt/php-and-node-js-release-critical-security-patches-on-oct-21-2026

Em 21 de outubro de 2026, os projetos PHP e Node.js publicaram atualizações que corrigem falhas críticas de execução remota de código. As vulnerabilidades PHP2Shell do PHP (CVE‑2026‑109618, CVE‑2026‑109619) afetam todas as configurações que servem conteúdo web e foram corrigidas nas versões 8.2.35, 8.3.36, 8.4.27 e 8.5.12. O Node.js corrigiu dez CVEs, incluindo uma vulnerabilidade explorável no decodificador Brotli (CVE‑2026‑111497), nas versões 22.23.4, 24.22.1 e 26.12.1. Para ajudar as equipes a aplicar essas correções, o blog anuncia um plugin de código aberto chamado “Vulnerability Fixes” para o agente de programação Devin. O plugin inventaria os repositórios, solicita aprovação, atualiza para versões verificadas, executa testes e abre uma pull request para cada repositório.

## Os fatos

- Versões corrigidas do PHP: 8.2.35, 8.3.36, 8.4.27, 8.5.12
- Versões corrigidas do Node.js: 22.23.4, 24.22.1, 26.12.1

## Por que importa

As equipes de operações podem proteger rapidamente serviços PHP e Node que estão sendo explorados ativamente, reduzindo o risco de indisponibilidade e de violação de segurança.

## Fontes e referências

1. [Fixing Critical Node & PHP Flaws](https://windsurf.com/blog/vulnerability-fixes-plugin) – Windsurf, 2026-10-21

Última atualização: 2026-10-22