ウェブサイトの約7%で使われるPHPにおいて、CVE-2026-109618とCVE-2026-109619の2件の「緊急」レベルの脆弱性が発見された。いずれもCVSS v4.0で9.2を獲得し、攻撃者が認証なしでリモートから任意のコードを実行できる。対策として、10月10日から政府・機関サイトが相次いで遮断された。

オランダはOverheid.nl、MijnOverheid.nl、DigiDを遮断。フィンランド、フランス、カナダ、オーストリア、ドイツでも同様の措置が取られた。米NSAはパッチが適用できない場合はシステムをオフラインにするよう勧告。ホワイトハウスは連邦機関のパッチ適用を加速するためAI企業と連携している。

Wikimedia財団はPHPの広範な利用に起因する問題であり自前の欠陥ではないとしてWikipediaを保護。AutomatticはWordPress.comサイトはすでに保護済みでユーザーの対応は不要としている。クラウドセキュリティ企業Cloudflareはパッチ公開前にWAFルールを配布して攻撃を遮断したが、これを「一時的な対策」と位置づけている。