Axios meldde op 22 oktober dat op 21 oktober een mogelijke aanval met twee PHP-kwetsbaarheden was opgedoken en dat tientallen websites tijdelijk offline gingen. The PHP Foundation zei dat het PHP-beveiligingsteam op het moment van de release geen functionele exploits had gevonden.
De twee PHP-kwetsbaarheden hebben verschillende oorzaken
Beide fouten kunnen onder specifieke omstandigheden een aanvaller zonder voorafgaande authenticatie code op een server laten uitvoeren. Dat heet uitvoering van code op afstand, oftewel remote code execution (RCE). PHP gaf beide kwetsbaarheden een score van 9,2 volgens CVSS v4.0.
| CVE | Oorzaak | Mogelijk effect |
| CVE-2026-109618 | Corruptie bij geheugenuitputting kan gedeeltelijk geïnitialiseerde interne verzoekgegevens achterlaten, die PHP bij het opruimen als geldig behandelt. | RCE onder voorwaarden. Wiz demonstreerde ook het uitlezen van procesgeheugen. |
| CVE-2026-109619 | Na een fatale fout kan interne status achterblijven terwijl het geheugen al is vrijgegeven. Een volgend verzoek op dezelfde worker kan die status gebruiken. | RCE onder voorwaarden. |
PHP waarschuwde dat alle installaties die webverzoeken verwerken risico lopen. Het project noemde Apache met mod_php de risicovolste configuratie: daar kan een niet-geauthenticeerd verzoek het kwetsbare pad bereiken voordat applicatiecode draait.
AI hielp onderzoekers; PHP-onderhouders leidden de fixes
OpenAI schreef dat beveiligingsbedrijf Calif een kritieke fout vond met hulp van GPT-5.6 Sol. Wiz ontdekte en meldde beide kwetsbaarheden onafhankelijk. PHP-onderhouders leidden de correcties. The PHP Foundation zei dat AI helpt bij het beoordelen en groeperen van meldingen, terwijl mensen elke beslissing nemen en iedere patch maken.
The PHP Foundation meldde dat een PHP-kernontwikkelaar in 2024 de eerste aanwijzingen voor het probleem met geheugenuitputting vond. Op 11 augustus 2026 rapporteerde Calif-onderzoeker Ryan A volgens de Foundation een onvoorwaardelijke RCE met dezelfde grondoorzaak.
De Foundation zei dat de CVE-nummers op 20 oktober online begonnen rond te gaan. Daarop vervroegde het PHP-project de aankondiging en de release, van 22 naar 21 oktober. Calif publiceerde per ongeluk een proof-of-conceptvideo; Chainguard bracht op 21 oktober al gefixte build-images uit, vóór de gecoördineerde publicatie.
PHP bracht vier fixes uit
Op 21 oktober 2026 verschenen de fixes in PHP 8.5.12, 8.4.27, 8.3.36 en 8.2.35. PHP noemt bijwerken de enige volledige oplossing in de officiële beveiligingsmelding. De versienummers staan ook in NeoTeo's eerdere bericht over de PHP-fixes.
PHP 8.1 en oudere versies krijgen geen updates meer van het PHP-project. Sommige distributies en LTS-leveranciers brengen backports uit; PHP adviseert gebruikers bij hun leverancier te informeren of naar een ondersteunde versie over te stappen.
