Zespół odpowiedzialny za bezpieczeństwo PHP zapowiedział wydanie pilnej aktualizacji zaplanowanej na 21 października 2026 roku o godzinie 14:00 UTC. Wydanie ma na celu wyeliminowanie dwóch luk, z których każda otrzymała krytyczną ocenę 9.2 w standardzie CVSS v4.0. Na ten moment twórcy nie ujawnili jeszcze szczegółów technicznych ani konkretnych wersji, których dotyczą błędy.
Administratorzy powinni założyć, że każda instalacja PHP może być narażona na te zagrożenia. Istnieje możliwość, że aktualizacja zostanie wydana wcześniej, jeśli szczegóły o lukach wyciekną do sieci lub zostaną wykryte próby ich aktywnego wykorzystywania przez hakerów. Zaleca się natychmiastowe przygotowanie do wdrożenia poprawek.
Kluczowe jest zidentyfikowanie wszystkich środowisk uruchomieniowych, takich jak serwery WWW, kontenery, obrazy CI oraz maszyny deweloperskie. W przypadku hostingu współdzielonego odpowiedzialność za aktualizację spoczywa na dostawcy, natomiast w przypadku własnych serwerów należy zaplanować okno serwisowe tuż po godzinie wydania łatek. Należy również pamiętać, że poprawki trafią prawdopodobnie tylko do wspieranych wersji, czyli od PHP 8.2 do 8.5.
