Die Schwachstellen CVE-2026-109618 und CVE-2026-109619 ermöglichen ohne Anmeldung die Ausführung fremden Codes aus der Ferne. Betroffen sind alle PHP-Versionen der vergangenen 20 Jahre. Wirksamen Schutz bieten nur Updates für Server, NAS und andere Geräte mit PHP-Weboberfläche.