Сводка патчей: критические RCE в PHP, Node.js, GitLab и атака на LiteLLM

За неделю 12–22 октября 2026 года вышли критические исправления для PHP (CVE-2026-109618 и CVE-2026-109619, RCE без аутентификации), Node.js (RCE в декодере Brotli), GitLab (вторая RCE за десять дней) и разобрана компрометация релиза LiteLLM 1.107.0 с кражей учётных данных.

• PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35 закрывают RCE с CVSS 9.2; для 8.1 и старше патча нет
• Node.js 22.23.4, 24.22.1 и 26.12.1 исправляют RCE в декодере Brotli и ещё девять уязвимостей
• GitLab 19.5.1, 19.4.3 и 19.3.6 закрывают вторую RCE с CVSS 10.0 за десять дней
• Вредоносный litellm 1.107.0 на PyPI и Docker Hub крал ключи и данные браузеров