21 октября 2026 года проекты PHP и Node.js выпустили обновления, устраняющие критические уязвимости, позволяющие удалённо выполнить код. Уязвимости PHP2Shell (CVE‑2026‑109618, CVE‑2026‑109619) затрагивают все конфигурации, обслуживающие веб-запросы. Они исправлены в версиях 8.2.35, 8.3.36, 8.4.27 и 8.5.12. В Node.js исправили десять уязвимостей CVE, включая уязвимость в декодере Brotli (CVE‑2026‑111497), — в версиях 22.23.4, 24.22.1 и 26.12.1. Чтобы помочь командам установить патчи, в блоге анонсировали плагин с открытым исходным кодом «Vulnerability Fixes» для агента Devin: он составляет список репозиториев, запрашивает подтверждение, обновляет их до проверенных версий, запускает тесты и открывает отдельный запрос на слияние для каждого репозитория.
Почему это важно
Команды эксплуатации могут быстро защитить PHP- и Node-сервисы, которые уже подвергаются активным атакам, снизив риск простоев и утечки данных.
