Dwie krytyczne luki bezpieczeństwa w języku PHP sprawiają, że blisko 70 procent stron internetowych wymaga pilnej aktualizacji oprogramowania. Błędy te pozwalają na zdalne wykonanie kodu i dają napastnikom możliwość przejęcia pełnej kontroli nad podatnymi serwerami. Eksperti potwierdzają, że w sieci krążą już działające exploity, a ataki są aktywne.
Problem dotyczy wszystkich wersji PHP wydanych w ciągu ostatniej dekady, a skanowanie wykazało około 2,58 miliona hostów oraz 54,9 miliona serwisów korzystających z tego języka programowania. Awaria dotknęła między innymi strony rządowe w Europie. Firma Cloudflare wdrożyła reguły zapory aplikacji webowej w celu ochrony przed ruchem generującym odmowę usługi i wyciek danych.
Badacze bezpieczeństwa wskazują, że fundamenty tych błędów istniały od dziesięcioleci, a modele sztucznej inteligencji pomogły w opracowaniu skutecznych exploitów. Zagrożenie jest śledzone pod numerami CVE-2026-109618 oraz CVE-2026-109619 i dotyczy wersji PHP 5.4 oraz nowszych. Twórcy języka opublikowali awaryjne poprawki bezpieczeństwa w wersjach 8.5.12, 8.4.27, 8.3.36 oraz 8.2.35, które eliminują zagrożenie.