Projekt PHP vydal 21. října verze 8.5.12, 8.4.27, 8.3.36 a 8.2.35, které opravují dvě kritické zranitelnosti CVE-2026-109618 a CVE-2026-109619, obě umožňují vzdálené spuštění kódu. První vzniká poškozením paměti, když požadavek narazí na memory_limit ve špatný okamžik; druhá zastaralým globálním stavem po fatální chybě, což umožňuje use-after-free. Skóre CVSS je 9,2, nikoli 10,0 uváděných v uniklých informacích.
Na Apache s mod_php může neautentizovaný požadavek spustit první chybu dřív, než se vykoná kód aplikace, a RCE bylo předvedeno s výchozím nastavením. Potvrzeno bylo i u PHP-FPM přes cesty v aplikačním kódu. ID zranitelností unikla o dva dny dříve, proto byla oprava vydána o den dřív. OpenAI uvedlo, že chyby pomohl najít jeho model GPT-5.6 Sol; podle WSJ může být ohroženo až 70 % webů.
Reuters uvádí, že evropské vládní, školní a nemocniční weby byly při záplatování staženy offline. Opravy pokrývají jen PHP 8.2 a novější, starší nasazení závisí na dodavatelích; Cloudflare nasadil ochranná pravidla WAF pro všechny zákazníky.