Do sieci wyciekły informacje o dwóch krytycznych podatnościach w środowisku PHP, określanych mianem PHP2Shell. Błędy te, oznaczone jako CVE-2026-109618 oraz CVE-2026-109619, posiadają wysoki wskaźnik CVSS wynoszący 9.2 i mogą umożliwiać nieautoryzowane zdalne wykonanie kodu (RCE).
Według wstępnych doniesień, problem może dotyczyć wszystkich wersji PHP, począwszy od wersji 5. Jedna z luk może mieć charakter błędu typu use-after-free. Choć obecnie nie odnotowano aktywnych ataków w terenie, eksperci ostrzegają, że masowa eksploatacja może nastąpić niemal natychmiast po opublikowaniu oficjalnych łatek.
Zespół PHP zapowiedział wydanie poprawek na 21 października 2026 roku, jednak zaznaczył, że mogą one pojawić się wcześniej, jeśli szczegóły techniczne zostaną upublicznione. Administratorzy są proszeni o gotowość do natychmiastowej aktualizacji systemów zaraz po udostępnieniu nowych wersji oprogramowania.
