Zespół bezpieczeństwa PHP wydał ostrzeżenie dla administratorów i zapowiedział publikację awaryjnych aktualizacji. Decyzja o przyspieszeniu prac wynika z przedwczesnego wycieku informacji na temat dwóch krytycznych błędów. Oficjalny komunikat wskazuje, że każda z luk otrzymała ocenę 9,2 w skali CVSS v4.0. Zespół zastrzegł możliwość jeszcze szybszego opublikowania poprawek, jeśli w sieci pojawią się dowody na aktywne wykorzystywanie opisywanych wektorów ataku.
Przedstawiciele firmy watchTowr potwierdzili, że luki o identyfikatorach CVE-2026-109618 oraz CVE-2026-109619 dotyczą zdalnego wykonania kodu i obejmują wersje PHP od 5 do 8. Badacze bezpieczeństwa wskazują, że udało im się pomyślnie odtworzyć problem dla pierwszego z błędów, jednak powstrzymują się od publikacji szczegółów technicznych do momentu udostępnienia oficjalnych łatek. Według dotychczasowych obserwacji nie odnotowano jeszcze prób wykorzystania tych dziur w realnych atakach.
Przed oficjalnym komunikatem informacje o problemie pojawiły się w usuniętym wpisie na forum Hacker News oraz w serwisie X. Doniesienia te różniły się od oficjalnego stanowiska pod kątem szacowanego stopnia zagrożenia. Źródła nieoficjalne przypisywały obu lukom maksymalny wynik 10,0 w skali CVSS, podczas gdy oficjalne komunikaty wskazują na wartość 9,2. Pełna lista dotkniętych wersji oraz szczegóły techniczne zostaną opublikowane przez twórców wraz z nowymi wersjami oprogramowania.