W PHP odkryto dwie krytyczne podatności (CVE-2026-109618 oraz CVE-2026-109619), które umożliwiają zdalne wykonanie kodu (RCE), wyciek danych oraz ataki typu Denial of Service. Problem jest niezwykle poważny, ponieważ dotyczy niemal wszystkich wersji PHP wydanych w ciągu ostatniej dekady, od wersji 5.4 wzwyż. Luka jest wykorzystywana przez systemy CMS takie jak WordPress, Drupal, Magento czy Joomla.
Eksperci z firmy Wiz wskazują, że odkrycie tych błędów było możliwe dzięki wykorzystaniu zaawansowanych modeli AI, które pomogły przełamać barierę złożoności niezbędną do stworzenia exploita. Skutki mogą być katastrofalne, w tym masowe instalowanie web shelli dających pełną kontrolę nad zainfekowanymi witrynami. Cloudflare potwierdził już wykrycie prób eksploatacji i wdrożył odpowiednie reguły ochrony w swoich systemach WAF.
Sytuacja jest porównywana do głośnego incydentu z Log4Shell ze względu na skalę oddziaływania. Ze względu na głębokie osadzenie PHP w infrastrukturze chmurowej i hostingowej, proces łatania systemów może potrwać wiele tygodni. Wiele instytucji rządowych w Europie i innych regionach już odnotowało przestoje spowodowane tymi podatnościami.
