# PHP 和 Node.js 于 2026 年 10 月 21 日发布关键安全补丁

> 两个运行时均修复了远程代码执行漏洞；一款新的 Devin 插件可自动为受影响的代码库应用补丁。

Oossa · 2026-10-22 · https://oossa.com/zh/php-and-node-js-release-critical-security-patches-on-oct-21-2026

2026年10月21日，PHP 和 Node.js 项目发布更新，修复了严重的远程代码执行漏洞。PHP 的 PHP2Shell 漏洞（CVE‑2026‑109618、CVE‑2026‑109619）影响所有提供 Web 服务的配置，已在 8.2.35、8.3.36、8.4.27 和 8.5.12 版本中修复。Node.js 修复了十个 CVE，其中包括一个 Brotli 解码器漏洞利用问题（CVE‑2026‑111497），修复版本为 22.23.4、24.22.1 和 26.12.1。为帮助团队应用这些补丁，博客宣布推出一款面向 Devin 编码代理的开源“Vulnerability Fixes”插件。该插件会盘点代码库、征求批准、更新到经验证的版本、运行测试，并为每个代码库创建一个拉取请求。

## 事实

- PHP 修复版本：8.2.35、8.3.36、8.4.27、8.5.12
- Node.js 修复版本：22.23.4、24.22.1、26.12.1

## 为什么重要

运维团队可以迅速保护正遭受积极攻击的 PHP 和 Node 服务，降低停机和数据泄露风险。

## 来源与参考

1. [Fixing Critical Node & PHP Flaws](https://windsurf.com/blog/vulnerability-fixes-plugin) – Windsurf, 2026-10-21

最后更新: 2026-10-22