据TechRadar报道，PHP安全团队于2026年10月21日发布安全公告，提前通知用户即将发布补丁，以修复两个可导致远程代码执行（RCE）的严重漏洞，CVSS v4.0评分均为9.2。公告称补丁定于当日14:00 UTC发布，建议所有PHP用户准备升级；若漏洞细节公开或出现实际利用迹象，团队保留提前发布的权利。漏洞可能被用于接管网站、窃取数据、恶意重定向等。
公告未公布受影响版本和修复版本，称将与补丁一同发布。此次预警与信息提前泄露有关。据BleepingComputer报道，Hacker News论坛用户“petecooper”本周发帖称PHP将于10月22日披露两个RCE漏洞，评分10.0，影响可追溯至PHP 5，并列出CVE-2026-109618和CVE-2026-109619。该帖已被删除，TechRadar称无法独立核实，但两个CVE编号随后得到确认。
安全公司watchTowr确认漏洞真实，称社区将两者称为“php2shell”。watchTowr CEO Benjamin Harris对BleepingComputer表示，两个漏洞均为CVSS 10，影响PHP 5、6、7、8，但出于敏感性未披露技术细节。研究人员还称已成功复现CVE-2026-109618；目前尚无确认的在野零日利用报告。
在补丁发布前，Nextron Systems研究负责人Florian Roth在X发文称PHP核心存在CVSS 10.0的RCE漏洞，细节原定10月20日发布，并称只有PHP 8会获得补丁。这一说法与PHP公告中的9.2评分以及watchTowr对影响版本的描述存在差异。PHP公告表示，完整细节、受影响版本和修复版本将随补丁发布。网站管理员被建议在补丁发布后尽快升级。