PHP dilinde 2012'den beri mevcut iki uzaktan kod yürütme açığı, AI destekli araştırmacılar tarafından keşfedildi ve CISA'ya 'bilinen sızma' listesine eklendi. Bu açıklar, PHP'nin %69'unu kullanan web'in arkasındaki dili hedef alıyor. Sızma, yama tarihinden önce başlayarak, bulgular Ekim'de ortak olarak açıklanmadan önce Amazon'da sızma denemesiyle başlayıp ardından PHP ve Cloudflare tarafından doğrulandı.
Sızma hızı, düzeltme hızından hızlı; Verizon 2026 DBIR raporu bilinen sızma açıklar için medyan 43 gün yama süresi gösterirken, Qualys verisi 21.2 gün ortalama ve 63% kritik açığın hafta sonu hâlâ açık olduğunu gösteriyor. PHP 8.1 ve eski sürümleri için resmi yamalar yoktur ve cihazlarda kontrol panelleri içinde gömülü PHP, kullanıcıların kendi sitelerini yamalarını engelliyor.
Ekim 27'de Censys, 32.5 milyon internet-facing PHP hizmetinin hâlâ potansiyel olarak savunmasız sürümlerde çalıştığını ve 60 milyonun sürüm bilgisini raporlamadığını saydı. Bu durum, yamalama hızı sızma hızından daha yavaş kalacağını gösteriyor.