Bir geliştirici, yama hazırlığında olan iki ciddi PHP çalışma zamanı açığını embargo bitmeden duyurduğu için özür diledi; PHP Foundation açıklamasını bir gün öne çekmek zorunda kaldı.
Amazon Threat Intelligence, iki kritik PHP açığının yamalardan önce, 17 Ekim'de saldırıya uğradığını bildirdi; saldırganların açık bilgisine embargo sürerken nasıl eriştiği belirsiz.
Milyonlarca web sitesini çalıştıran PHP dilindeki açıklar, henüz başarılı bir saldırı bildirilmeden yamalanmaya çalışılıyor; yama yalnızca en yeni sürümde çalışıyor.
OpenAI'nin Patch the Planet programındaki araştırmacılar, dünya web sitelerinin yaklaşık yüzde 70'ini çalıştırdığı tahmin edilen PHP'de 9,2 puanlık iki kritik bellek hatası buldu; düzeltilmiş sürümler 21 Ekim'de çıktı.
PHP'yi kullanan sunucular için acil güncelleme çağrısı yapıldı; NSA ve İngiltere'deki NCSC da yönetici durumundaki kuruluşlara güncellemeyi ya da yapamıyorlarsa sistemlerini çevrimdışı almalarını önerdi.
Aynı anda ortaya çıkan iki ciddi web güvenlik açığı, PHP tabanlı siteleri çalıştıran yöneticileri yamaları hızla uygulamaya itiyor.
CVE-2026-109618 ve CVE-2026-109619 numaralı iki uzaktan kod çalıştırma açığı CVSS v4.0'a göre 9,2 puanla derecelendirildi; yamaların açıklanmasından önce ayrıntılar sızdı.