PHP will binnen gut zwölf Stunden Patches für CVE-2026-109618 und CVE-2026-109619 veröffentlichen, beide mit einem Schweregrad von 9,2 von 10. Ein unbestätigter Bericht behauptet, das Werkzeug PHP2Shell könne seit PHP 5 aus der Ferne Code auf zahlreichen verbreiteten Webplattformen ausführen.