PHP, web sitelerinin yaklaşık %7'sinde kullanılan programlama dili olan PHP'de bulunan iki 'acil' seviyesindeki güvenlik açığı, saldırganların yetkisiz olarak uzaktan kod çalıştırmasına izin veriyor. Bu açıklar CVE-2026-109618 ve CVE-2026-109619 olarak belirtiliyor ve derinlik değerlendirmesi (CVSS v4.0) her ikisi için de 9.2 puan alıyor. Önlem olarak, Ördek hatıralıklı olarak 10 Ekim'den itibaren hükümet ve kurum siteleri engellendi.
Hollanda, Overheid.nl, MijnOverheid.nl ve DigiD sitelerini engelledi; Finlandiya, Fransa, Kanada, Avusturya ve Almanya'da da benzer önlemler uygulandı. ABD'nin NSA, düzeltme uygulanamıyorsa sistemleri çevrimdışı yapmayı önerdi; Beyaz Ev, federal kurumların yamayı hızlandırması için AI şirketleriyle işbirliği yapıyor.
Wikimedia, PHP'nin yaygın kullanımından kaynaklanan sorunun kendi özelliği olmadığını belirterek Wikipedia sitelerini koruyor; Automattic ise WordPress.com sitelerinin zaten korunduğunu söyleyerek kullanıcı eylemini gereksiz buluyor. Bulut güvenliği şirketi Cloudflare, yamalar yayınlandığı öncesinde WAF kuralı dağıtarak saldırıları engelliyor fakat bunu 'geçici bir önlem' olarak niteliyor.