据TechRadar 10月22日报道，PHP编程语言中被合称为PHP2Shell的两个内存漏洞已出现利用尝试，严重程度评分为9.2（满分10），PHP团队已为多个版本发布紧急安全更新。
PHP2Shell实际包含两个分别编号为CVE-2026-109618和CVE-2026-109619的内存相关漏洞。TechRadar援引维基百科的估计称，PHP被全球近70%的网站使用，WordPress、Drupal、Joomla等常见建站系统均依赖PHP，因此潜在影响范围很广。报道描述，未经认证的攻击者可向PHP Web服务器发送特制载荷，利用核心运行时缺陷劫持后端进程并执行远程命令。卡巴斯基GReAT亚太、中东和非洲研究负责人Sergey Lozhkin对TechRadar表示，若漏洞被成功利用，可能实现远程代码执行，这是最严重的网络入侵形式之一；攻击者可能执行恶意代码、部署网页后门，进而控制存在漏洞的服务器。报道称，攻击者还可能篡改网站内容以窃取数据，或将访问者重定向至用于钓鱼、甚至直接安装恶意软件的站点。
报道指出，这些漏洞在官方发布安全公告前已遭泄露，有人在Hacker News论坛提前披露细节，安全专家因此加快防御部署。亚马逊威胁情报称，最早的一次利用尝试发生在10月17日，尚不清楚攻击者如何在披露前获得利用信息。Malwarebytes指出，Cloudflare首席技术官Dane Knecht也报告称，在PHP团队推出补丁前已出现早期攻击。亚马逊威胁情报警告，PHP2Shell目前正被广泛利用。
PHP团队已发布紧急更新，涉及PHP 8.5、8.4、8.3和8.2，对应修复版本为8.5.12、8.4.27、8.3.36和8.2.35。TechRadar称，补丁就绪只是第一步，受影响网站的运营者仍需自行安装更新，或联系托管服务商确认已完成修补。报道同时提示，理论上访问已修补的网站是安全的，但并不能作出绝对保证。