Doszło do przedwczesnego ujawnienia szczegółów dotyczących dwóch poważnych podatności w PHP, oznaczonych jako CVE-2026-109618 oraz CVE-2026-109619. Informacje te, określane zbiorczo jako PHP2Shell, pojawiły się na forum Hacker News dzień przed planowanym ogłoszeniem i wydaniem poprawek bezpieczeństwa.
Luki te umożliwiają zdalne wykonanie kodu (RCE) i przejęcie kontroli nad serwerem. Dotyczą one szerokiego spektrum wersji PHP, w tym starszych wersji z serii 5. Ponieważ PHP napędza blisko 70% stron internetowych, w tym popularne systemy CMS takie jak WordPress, Drupal czy Joomla, skala potencjalnego zagrożenia jest ogromna.
Zespół bezpieczeństwa PHP potwierdził prace nad poprawkami, nadając im ocenę CVSS na poziomie 9.2. Organy takie jak CERT-EU oraz brytyjskie NCSC wydały pilne komunikaty, zalecając organizacjom natychmiastowe przygotowanie się do aktualizacji systemów. W sytuacjach, gdy szybkie załatanie nie jest możliwe, zaleca się izolację aplikacji wystawionych na świat od publicznych sieci.
