تیم توسعه‌ی PHP آماده می‌شود تا به‌روزرسانی‌های امنیتی را برای برطرف‌کردن دو آسیب‌پذیری اجرای کد از راه دور (RCE) یک روز زودتر از موعد مقرر منتشر کند. این دو حفره‌ی امنیتی با امتیاز شدت ۹٫۲ بر اساس معیار CVSS ارزیابی شده‌اند و انتشار وصله‌ها برای همین امروز برنامه‌ریزی شده است.
صحت اطلاعات فاش‌شده درباره‌ی این دو رخنه تایید شده است. جزئیات مربوط به شناسه‌های CVE-2026-109618 و CVE-2026-109619 ابتدا در انجمن آنلاین هکر نیوز پدیدار شد؛ جایی که نویسنده‌ی پست ادعا کرده بود منبع موثقی به‌جز خودش ندارد.
کوین بومونت، پژوهشگر امنیتی، نخستین فردی بود که توجه جامعه‌ی فناوری را به این افشاگری جلب کرد و کارشناسان watchTowr نیز دو ساعت بعد صحت آسیب‌پذیری‌ها را تصدیق کردند. تیم هدایت‌کننده‌ی PHP هشدار داده است در صورت عمومی‌شدن جزئیات فنی یا مشاهده‌ی حملات فعال، وصله‌ها را حتی پیش از زمان اعلام‌شده در دسترس قرار می‌دهد.
مسئولان پروژه هنوز شناسه‌های اختصاصی این آسیب‌پذیری‌ها و نسخه‌های درگیر را به‌صورت رسمی اعلام نکرده‌اند.
