Un fallo de seguridad crítico en la plataforma PHP que existía durante diez años y que permitía la ejecución remota de código (conocido como PHP2Shell, CVE-2026-109618 y CVE-2026-109619) fue descubierto.
El fallo, evaluado con una puntuación CVSS de 9.2, fue clasificado como 'muy grave' y amenazaba a casi el 70% de la red mundial de internet.
El PHP Foundation reconoció que el problema fue detectado en 2024 durante una revisión, pero debido a retrasos estructurales, la corrección se retrasó durante varios meses. Antes de que se publicara la corrección el 21 de octubre, Amazon detectó un intento de ataque en sus servidores de honeypot el 17 de octubre, aunque permaneció incierta la forma en que la información se filtró.