Сводка 21 октября: PHP2Shell, Java, HTTP/3, Node.js, Railway и OVHcloud

21 октября 2026 года вышли патчи для двух критических RCE в PHP (CVE-2026-109618 и CVE-2026-109619, CVSS 9.2), внеплановое обновление Java (CVE-2026-91403, CVSS 9.1) и десять исправлений в Node.js. Railway раскрыла доступ к секретам клиентов, а CLI OVHcloud версий 0.11.0–0.15.0 поставлялся с вредоносным кодом.

• PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35 закрывают две RCE с CVSS 9.2
• Java JSSE получила внеплановый патч CVE-2026-91403 с рейтингом 9.1
• Node.js закрыла 10 уязвимостей, худшая — RCE в Brotli (CVE-2026-111497)
• CLI OVHcloud 0.11.0–0.15.0 содержал вредоносный код; нужна версия 0.16.0