据The Verge报道，2026年10月21日，PHP编程语言中被发现的两个严重漏洞导致4chan、DeviantArt、Wikipedia以及大量WordPress站点出现服务中断，部分荷兰和芬兰政府机构为预防起见将网站下线。
PHP Group称，这两个漏洞可被用于“未认证远程代码执行”，攻击者无需管理员登录或密码，就能在服务器上运行自己的代码、修改网站内容并访问站点存储的数据。其中一个漏洞编号为CVE-2026-109618，涉及内存耗尽处理打断PHP请求初始化，清理阶段可能把无效数据当作有效数据；另一个编号为CVE-2026-109619，涉及请求结束后残留的内部状态被同一工作进程处理后续请求时使用。
The Verge称，相关漏洞所涉及的问题并非全新，其中一类问题已在PHP中存在约20年。安全公司Wiz表示，过去利用这类漏洞需要“异常复杂的步骤链”，接近人类研究人员实际能完成的极限；但强大的AI模型让把这类隐蔽缺陷转化为危险漏洞变得容易得多。OpenAI称，一个名为Calif的AI安全团队使用GPT-5.6 Sol识别出PHP中的严重漏洞，谷歌旗下的Wiz则用AI独立发现并报告了这些漏洞。
PHP基金会表示，其中一个漏洞的利用方式在2024年“被理论化”，但“没有发现具体攻击路径，其他有明确影响的具体问题盖过了这些担忧”。The Verge称，漏洞可能让攻击者完全控制服务器，获取密码、API密钥、加密证书和敏感数据库，还可把这些服务器变成攻击其他易受攻击服务器的跳板。OpenAI称这是“近年来影响最大的安全问题之一”，Wiz称其“属于软件史上发现的最严重漏洞之列”。
W3Techs称，在已知服务器端编程语言的网站中，69.3%使用PHP，包括Wikipedia和WordPress。VirusTotal称，其扫描器目前记录约380万个运行PHP且至少一个端口开放的站点。美国国家安全局网络安全账号在X上建议，若“无法立即更新”，组织应将系统下线；英国国家网络安全中心也发出类似建议。据Kotaku报道，Pokémon Home和Pokémon Champions也被下线。
对于网站运营者，GoDaddy表示，任何使用PHP的站点都应假定自己受影响，并尽快更新到修复版本；运行PHP 8.1或更早版本的站点应升级到更新版本，因为这些版本已不再支持，不会有官方修复。使用托管服务的用户应向服务商确认修复部署时间；使用Squarespace或Wix等不支持PHP的服务则不受影响。对普通用户而言，漏洞主要影响运行PHP的服务器，不直接针对用户，但被攻破的站点可能被用来传播恶意软件和窃取数据，谨慎起见可在访问常用网站前查看其社交账号是否发布更新说明。