مدیران وب‌سایت‌ها باید خود را برای دریافت به‌روزرسانی‌های امنیتی آماده کنند. قرار است کمی بیش از ۱۲ ساعت دیگر، اصلاحیه‌هایی برای آسیب‌پذیری‌هایی منتشر شود که گمان می‌رود شدت غیرمعمولی داشته باشند. این آسیب‌پذیری‌ها مربوط به PHP هستند؛ زبان برنامه‌نویسی‌ای که در سراسر جهان برای راه‌اندازی وب‌سایت‌ها و اپلیکیشن‌های تحت وب استفاده می‌شود.
توسعه‌دهندگان PHP روز دوشنبه اعلام کردند که قصد دارند برای دو آسیب‌پذیری امنیتی وصله منتشر کنند. شدت هر دو آسیب‌پذیری ۹.۲ از ۱۰ ارزیابی شده است.
توسعه‌دهندگان در اطلاعیه خود اعلام کردند: «به تمام کاربران PHP توصیه می‌کنیم از همین حالا آماده شوند تا به‌محض انتشار نسخه جدید، سیستم‌های خود را به‌روزرسانی کنند.» آن‌ها همچنین هشدار دادند که اگر جزئیات هر یک از آسیب‌پذیری‌ها پیش از موعد منتشر شود یا شواهدی از سوءاستفاده فعال از آن‌ها به دست آید، ممکن است وصله‌ها زودتر منتشر شوند.
این اطلاعیه پس از افشای اطلاعاتی منتشر شد که گفته می‌شود جزئیات این آسیب‌پذیری‌ها را نشان می‌دهند، هرچند هنوز صحت آن‌ها به‌طور مستقل تأیید نشده است. در گزارش منتشرشده، ویدئویی از اجرای یک ابزار سوءاستفاده با نام PHP2Shell نمایش داده می‌شود که قادر است روی وب‌سرورهای مجهز به نرم‌افزارهای مختلف کد اجرا کند. این نرم‌افزارها شامل WordPress 7.1.3، MediaWiki 1.46.2، phpBB 3.3.17، Magento 2.4.9، Joomla 6.2.0، نسخه‌های 13.36.0 و 8.83.29 از Laravel، نسخه 8.1.9 از Symfony، نسخه 11.4.10 از Drupal و نسخه 9.0.9 از WHMCS هستند. تمام این محصولات از PHP استفاده می‌کنند. ویدئوی مربوط به این ابزار از طریق این لینک نیز بازنشر شده است.
تلاش‌ها برای یافتن گزارش تأییدنشده اولیه بی‌نتیجه ماند، اما شرکت امنیتی watchTowr اعلام کرد که این آسیب‌پذیری ظاهراً تمام نسخه‌های PHP از نسخه ۵ به بعد را تحت تأثیر قرار می‌دهد؛ نسخه ۵ این زبان در سال ۲۰۰۴ منتشر شده بود.
این شرکت امنیتی همچنین اعلام کرد که واقعی بودن دو آسیب‌پذیری با شناسه‌های CVE-2026-109618 و CVE-2026-109619 را تأیید کرده است.
