据TechRadar报道，PHP于10月22日发布安全补丁，修复两个可导致远程代码执行的关键漏洞CVE-2026-109618和CVE-2026-109619，并“强烈建议”所有用户尽快升级。两个漏洞的严重性评分均为9.2分（满分10分），其中一个涉及内存耗尽处理错误，另一个为释放后使用（use-after-free）内存错误。
PHP称，漏洞已在8.5.12、8.4.27、8.3.36和8.2.35版本中修复，用户可从其下载页面获取Windows源码和二进制文件；Linux发行版和长期支持（LTS）供应商已提前收到补丁，用户应向供应商确认更新包。PHP原本计划在未公开的情况下准备修复，但漏洞信息提前两天在互联网上泄露，引发恐慌。据路透社报道，欧洲多个政府、医疗和教育网站决定临时关闭，以防止遭到攻击。
Cloudflare首席技术官Dane Knecht表示，在PHP发布修复前数小时，公司已“看到早期攻击出现”，并随着新攻击向量出现更新缓解措施。BleepingComputer援引VirusTotal数据称，目前有超过510万个PHP主机暴露在互联网上，其中约380万个至少有一个端口开放。PHP表示，所有处理Web请求的PHP安装均面临风险，包括PHP-FPM、Apache配mod_php、php-cgi、FrankenPHP和LiteSpeed；“我们认为mod_php风险最高，已有演示显示未经认证的请求可在任何应用代码运行前触发攻击。”
PHP 8.1及更早版本不会获得常规修复。PHP称，鉴于漏洞严重性，安全团队为PHP 7.4、8.0和8.1提供了最小源码回移，帮助从源码构建或无法获得LTS供应商支持的用户。关于漏洞评级和修复范围，早期说法存在差异：Nextron Systems研究负责人Florian Roth称两个漏洞均可评为10分且仅PHP 8会修复，最终公告给出的评分为9.2分，常规修复覆盖PHP 8.2至8.5；另有来源曾称PHP 5也会修复。
对于无法立即升级的用户，PHP建议采取临时缓解措施，但强调这些并非完整解决方案。针对内存耗尽漏洞，管理员应合理设置内存限制，限制传入请求（包括文件上传）的大小，并可用容器限制防止受影响的工作进程波及整个系统。针对释放后使用漏洞，管理员可禁用session上传进度跟踪，并在PHP 8.5上启用致命错误回溯；同时应修复可能触发崩溃或超时的应用错误，避免在应用完全初始化前生成错误信息的过时设置。