# PHP и Node.js выпустили критические патчи безопасности 21 октября 2026 года

> В обоих средах устранены уязвимости, позволяющие удалённо выполнить код; новый плагин Devin может автоматизировать установку патчей в затронутых репозиториях.

Oossa · 2026-10-22 · https://oossa.com/ru/php-and-node-js-release-critical-security-patches-on-oct-21-2026

21 октября 2026 года проекты PHP и Node.js выпустили обновления, устраняющие критические уязвимости, позволяющие удалённо выполнить код. Уязвимости PHP2Shell (CVE‑2026‑109618, CVE‑2026‑109619) затрагивают все конфигурации, обслуживающие веб-запросы. Они исправлены в версиях 8.2.35, 8.3.36, 8.4.27 и 8.5.12. В Node.js исправили десять уязвимостей CVE, включая уязвимость в декодере Brotli (CVE‑2026‑111497), — в версиях 22.23.4, 24.22.1 и 26.12.1. Чтобы помочь командам установить патчи, в блоге анонсировали плагин с открытым исходным кодом «Vulnerability Fixes» для агента Devin: он составляет список репозиториев, запрашивает подтверждение, обновляет их до проверенных версий, запускает тесты и открывает отдельный запрос на слияние для каждого репозитория.

## Факты

- Исправленные версии PHP: 8.2.35, 8.3.36, 8.4.27, 8.5.12
- Исправленные версии Node.js: 22.23.4, 24.22.1, 26.12.1

## Почему это важно

Команды эксплуатации могут быстро защитить PHP- и Node-сервисы, которые уже подвергаются активным атакам, снизив риск простоев и утечки данных.

## Источники и ссылки

1. [Fixing Critical Node & PHP Flaws](https://windsurf.com/blog/vulnerability-fixes-plugin) – Windsurf, 2026-10-21

Обновлено: 2026-10-22