Node.js 与 PHP 项目同日发布安全更新，修复多个高危漏洞，并敦促用户尽快升级。

Node.js 修复了 Brotli 解码器越界写入等多个高危漏洞，其中 Brotli 缺陷可导致远程代码执行；TLS 证书验证绕过问题也影响多个发布线。修复版本为 Node.js 22.23.4、24.22.1 和 26.12.1。

PHP 修复两个 CVSS 9.2 的未认证远程代码执行漏洞（CVE-2026-109618、CVE-2026-109619），影响 PHP-FPM、Apache mod_php、php-cgi 等运行模式。修复版本为 PHP 8.5.12、8.4.27、8.3.36 和 8.2.35。PHP 官方表示，更新是唯一安全的选择。

两起事件均涉及运行时层缺陷，建议相关用户尽快核对版本并完成升级。

---

本篇 OMI 使用了 AI 完成信息总结。