# PHP ve Node.js’ten kritik güvenlik yamaları

> Her iki çalışma ortamındaki uzaktan kod çalıştırma açıkları giderildi. Yeni Devin eklentisi, etkilenen depolarda yamalama sürecini otomatikleştirebiliyor.

Oossa · 2026-10-22 · https://oossa.com/tr/php-and-node-js-release-critical-security-patches-on-oct-21-2026

21 Ekim 2026’da PHP ve Node.js projeleri, kritik uzaktan kod çalıştırma açıklarını kapatan güncellemeleri yayımladı. PHP’nin PHP2Shell açıkları (CVE‑2026‑109618, CVE‑2026‑109619) web sunucusu olarak kullanılan tüm kurulumları etkiliyor; açıklar 8.2.35, 8.3.36, 8.4.27 ve 8.5.12 sürümlerinde giderildi. Node.js ise Brotli kod çözücüsündeki bir istismar (CVE‑2026‑111497) dahil on CVE’yi 22.23.4, 24.22.1 ve 26.12.1 sürümlerinde giderdi. Ekiplerin bu yamaları uygulamasına yardımcı olmak için blogda, Devin kodlama ajanına yönelik açık kaynaklı “Vulnerability Fixes” eklentisi tanıtılıyor. Eklenti depoları envanterliyor, onay istiyor, doğrulanmış sürümlere güncelleme yapıyor, testleri çalıştırıyor ve her depo için bir pull request açıyor.

## Gerçekler

- PHP’de açıkların giderildiği sürümler: 8.2.35, 8.3.36, 8.4.27, 8.5.12
- Node.js’te açıkların giderildiği sürümler: 22.23.4, 24.22.1, 26.12.1

## Neden önemli

Operasyon ekipleri, aktif olarak istismar edilen PHP ve Node hizmetlerini hızla güvenceye alarak kesinti ve veri ihlali riskini azaltabilir.

## Kaynaklar ve referanslar

1. [Fixing Critical Node & PHP Flaws](https://windsurf.com/blog/vulnerability-fixes-plugin) – Windsurf, 2026-10-21

Son güncelleme: 2026-10-22