PHP bakımcıları Pazartesi günü, CVE-2026-109618 ve CVE-2026-109619 numaralı iki kritik güvenlik açığı için acil yamalar yayınlayacaklarını açıkladı.
Her iki açığın da şiddet derecesi 10 üzerinden 9.2 olarak belirlendi ve güvenlik firması watchTowr bu açıkların gerçek olduğunu onayladı.
Sızan ve henüz resmi olarak doğrulanmamış bir rapor, PHP2Shell adı verilen bir istismar aracının WordPress, MediaWiki, Laravel ve Drupal gibi yaygın PHP tabanlı platformlarda kod çalıştırdığını gösteriyordu.