Две критични уязвимости в PHP — CVE-2026-109618 и CVE-2026-109619 — поставиха под риск сайтове, онлайн магазини и правителствени приложения по света. По CVSS v4.0 те са оценени с 9,2 от 10. Според екипа на PHP проблемите засягат всички инсталации, които обслужват уеб заявки, включително PHP-FPM, Apache с mod_php, php-cgi, FrankenPHP и LiteSpeed. Най-висок е рискът при Apache и mod_php, където неавтентифицирана заявка може да задейства атака преди изпълнението на кода на конкретното приложение.

Агенцията за национална сигурност на САЩ предупреди организациите, използващи PHP, да се подготвят за актуализация, която отстранява двете слабости. Системите, които не могат да бъдат обновени веднага, се съветват да бъдат изключени от мрежата, докато рискът бъде отстранен.

Коригираните версии са PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Според екипа на PHP инсталирането на актуализацията е единственото сигурно решение; временните настройки могат да ограничат някои пътища за атака, но не правят системите напълно безопасни. Потребителите на PHP 8.1 и по-стари версии са в по-трудно положение, защото тези издания вече не получават официални актуализации. За част от тях дистрибуции и доставчици с дългосрочна поддръжка може да предоставят обратно пренесени поправки. PHP 8.2 ще получава корекции до 31 декември 2026 г.

Заради риска редица организации временно свалиха публично достъпни PHP системи. Сред тях са правителствени структури във Финландия, нидерландската агенция за киберсигурност и долната камара на парламента на Нидерландия. Временно недостъпни са били и сайтът на общинския съвет на Единбург, както и страници на няколко предавания на Би Би Си. Фондация Wikimedia съобщи, че работи по отстраняването на уязвимостите и е изключила част от системите си като предпазна мярка. Потенциално засегнати са и платформи, които използват PHP чрез хостинг услуги, системи за управление на съдържание или външни софтуерни продукти.

Уязвимостите са установени от изследователи на Calif и Wiz, които са работили с PHP Foundation в рамките на инициативата Patch the Planet. Според OpenAI Calif е открила едната слабост с помощта на модела GPT-5.6 Sol, докато Wiz независимо е установила и докладвала двете уязвимости. OpenAI определя случая като един от най-сериозните проблеми със сигурността през последните години. Компанията посочва, че изкуственият интелект е позволил слабостите да бъдат открити преди нападатели да започнат да ги използват, но предупреждава, че същите възможности могат да ускорят разработването на експлойти.

PHP се използва в голяма част от световните сайтове и е в основата на популярни платформи като WordPress, Drupal, Joomla и Magento. Широкото му разпространение прави своевременното обновяване на сървърите и проверката на всички външни компоненти основна задача за администраторите.