Volgens het relaas van de PHP Foundation betrof het vroege signaal uit 2024 de geheugentekortfout achter CVE-2026-109618, een van de twee kwetsbaarheden die samen PHP2Shell heten. Een PHP-ontwikkelaar merkte de eerste aanwijzingen op tijdens het oplossen van een bevinding uit een externe beveiligingsaudit van Quarkslab. Een concrete exploit was toen nog niet aangetoond.
Het signaal uit 2024 betrof één hoofdoorzaak
De melding ging over een probleem met geheugenbeheer bij een out-of-memoryfout, kortweg OOM: PHP raakt dan door het beschikbare geheugen heen. Het vroege signaal betrof de oorzaak achter CVE-2026-109618. Het was geen aangetoonde exploit van PHP2Shell.
Waarom de reparatie vertraging opliep
De PHP Foundation beschreef verschillende nadelen van mogelijke oplossingen. Een wijziging kon de achterwaartse compatibiliteit aantasten, een denial-of-service-risico opleveren of problemen veroorzaken voor extensies. De Foundation koppelde de maandenlange vertraging ook aan de besluitvorming en beperkte middelen.
De latere meldingen kwamen van meerdere partijen
De meldingen in 2026 volgden op verschillende momenten en kwamen van meerdere onderzoekers en organisaties:
| Datum | Gebeurtenis |
| 11 augustus 2026 | Calif-onderzoeker Ryan Austin meldde een bevinding rond uitvoering van code op afstand (RCE). OpenAI meldde die dag onafhankelijk dezelfde hoofdoorzaak. |
| 24 augustus 2026 | Wiz Research meldde onderzoek aan het PHP-beveiligingsteam. |
| 18 september 2026 | OpenAI meldde aanvullende aanvalsroutes, volgens het relaas van de PHP Foundation. |
Voor de latere CISA-vermelding en de maatregelen voor beheerders is er ook NeoTeo’s eerdere bericht over PHP2Shell en KEV.
