PHP korjasi kaksi kriittistä haavoittuvuutta, joiden avulla hyökkääjät olisivat voineet suorittaa koodia etänä, ja ilmoitti 23. lokakuuta kolmannesta, rajatummasta riskistä sekä kehotti vaikutuksen alaisia sovelluksia poistamaan istunnon latauksen edistymisen seurannan käytöstä, kunnes tavanomainen korjaus julkaistaan.
Korjatut haavoittuvuudet CVE-2026-109618 ja CVE-2026-109619 olisivat voineet antaa hyökkääjille mahdollisuuden suorittaa koodia PHP-järjestelmissä, jotka käsittelevät verkkopyyntöjä, ilman kirjautumista. Projekti luokitteli molemmat haavoittuvuudet kriittisiksi. Korjaukset julkaistiin 21. lokakuuta PHP-versioille 8.5.12, 8.4.27, 8.3.36 ja 8.2.35.
PHP kehotti käyttäjiä päivittämään ohjelmistonsa ja vanhempia versioita käyttävien tarkistamaan, onko heidän ohjelmistotoimittajansa julkaissut korjauksia. Äskettäin ilmoitettu ongelma CVE-2026-115560 liittyy istunnon latauksen edistymiseen, ja sen hyödyntämistä pidetään epätodennäköisenä, koska se edellyttää sovellusasetusten ja ohjelman suorituksen aikaisen toiminnan poikkeuksellista yhdistelmää. Sovelluksen on käytettävä istuntotiedoille muuta kuin oletusmuotoa ja vaihdettava suorituksen aikana toiseen muotoon ennen istunnon aloittamista.
Lisäksi sen on jätettävä latauksen edistymisen seuranta käyttöön. PHP suosittelee asetuksen `session.upload_progress.enabled=0` käyttämistä. Käyttäjien, jotka ovat jo ottaneet tämän asetuksen käyttöön vähentääkseen aiempien haavoittuvuuksien aiheuttamaa riskiä, ei tarvitse tehdä mitään muuta.
Projektin mukaan kolmas ongelma korjataan normaalin julkaisuaikataulun mukaisesti hätäkorjauksen sijaan. Täydellinen tietoturvatiedote on tarkoitus julkaista seuraavan version yhteydessä.