韩联社10月22日报道，韩国科学技术信息通信部当天中午将网络危机预警级别上调至“关注”，为四级预警中的第二低级别，并要求企业和政府机构更新系统、修补PHP程序漏洞。该部门表示，PHP漏洞可能影响大量网站，利用代码已经公开，需要紧急应对。
据韩联社报道，韩国上调警报前一天，全球已有多国政府机构和企业因这两个漏洞关闭网站。据爱范儿报道，荷兰电子身份系统DigiD、政府个人服务平台MijnOverheid和政务门户暂停服务，荷兰国家网络安全中心网站也一度关闭；芬兰交通与通信局关闭部分在线服务；日本pixiv、Niconico、BOOTH等平台宣布紧急维护，寿司郎小程序也暂停运行。
漏洞编号为CVE-2026-109618和CVE-2026-109619。10月21日，PHP官方紧急发布8.5.12、8.4.27、8.3.36和8.2.35版本，确认两个漏洞严重程度均为CVSS 9.2分，攻击者无需账号密码即可远程利用。在Apache常见部署方式下，攻击可在网站自身代码运行前触发，安全社区将其称为PHP2Shell。
PHP是Hypertext Preprocessor的缩写，维基百科、WordPress以及大量电商平台运行在PHP上。据W3Techs数据，在可识别服务端技术的网站中，69.3%使用PHP；全部PHP网站中仍有27.0%运行PHP 7.x、7.7%运行PHP 5.x，这些已停止维护的版本无法获得官方补丁。爱范儿称，其中一个漏洞涉及内存耗尽处理，另一个属于释放后使用，均可被用于代码执行，并可能泄露其他用户的密码、令牌和API密钥。
围绕漏洞如何被发现，相关企业给出了不同侧重的说法。OpenAI称，Calif研究人员使用GPT-5.6 Sol找到关键缺陷，OpenAI团队8月11日独立报告相同根因；Wiz称其团队8月19日用Wiz Atlas配合Gemini 4 Argon和GPT-5.6 Sol独立发现漏洞，并在Drupal和WordPress官方镜像上验证无需登录的远程代码执行。Calif随后公开表示，Ryan Austin是第一个发现并做出可用攻击代码的人，并强调初次发现没有依赖特殊工具框架或公众拿不到的模型。
漏洞原计划10月22日协调披露，但10月20日Hacker News出现声称两个漏洞评分10.0的帖子，安全公司watchTowr数小时内确认内容属实并复现其中一个，PHP安全团队随后提前24小时发版。爱范儿报道，Calif误发演示视频，Chainguard提前发布含修复的镜像，PHP基金会在复盘中对漏洞公开方式表示愤怒。
PHP维护者主导修复期间，Google Cloud、Cloudflare、AWS、微软、Automattic、Fastly、Akamai、Vercel等厂商提前准备缓解方案。Cloudflare称其WAF防护规则对包括免费版在内的全部客户默认生效，但当天已观测到针对客户的攻击流量，以及攻击者变形载荷绕过规则的尝试。对国内大量运行在宝塔面板、ThinkPHP和Discuz上的老版本站点而言，无法获得官方补丁，只能通过迁移或隔离应对。