PHP altyapısında on yıldır var olan ve uzaktan kod çalıştırmaya izin veren kritik bir güvenlik açığı (CVE-2026-109618 ve CVE-2026-109619, yaygın adıyla PHP2Shell) keşfedildi.
Açık, CVSS 9.2 puanı alarak 'çok ciddi' seviyesinde değerlendirildi ve PHP'nin çalıştığı internetin neredeyse %70'ını tehdit etti.
PHP Vakfı, sorunun 2024'te bir denetimde fark edildiğini ancak yapısal gecikmeler nedeniyle düzeltmenin aylarca takıldığını kabul etti. 21 Ekim'de yama duyurulmadan önce Amazon, 17 Ekim'de honeypot sunucularında bir saldırı denemesi tespit etmiş, bilginin nasıl sızdığı belirsiz kalmıştı.