PHP åtgärdade två kritiska sårbarheter som kunde låta angripare köra kod på distans och avslöjade den 23 oktober en tredje, mer begränsad risk, samtidigt som berörda appar rekommenderades att stänga av förloppsspårning för sessioners filuppladdningar tills en ordinarie korrigering blir tillgänglig.
De två åtgärdade sårbarheterna, CVE-2026-109618 och CVE-2026-109619, kunde låta angripare köra kod på PHP-system som hanterar webbförfrågningar utan att logga in. Projektet klassade båda sårbarheterna som kritiska. Den 21 oktober släpptes korrigeringar i PHP 8.5.12, 8.4.27, 8.3.36 och 8.2.35.
PHP uppmanade användare att uppdatera och rekommenderade dem som använder äldre versioner att kontrollera om deras programvaruleverantörer har tillhandahållit korrigeringar. Det nyupptäckta problemet, CVE-2026-115560, gäller förloppsspårning för sessioners filuppladdningar och bedöms vara osannolikt, eftersom det kräver en ovanlig kombination av programinställningar och beteenden medan programmet körs. Närmare bestämt måste ett program använda ett format för sessionsdata som inte är standard och byta till ett annat format medan det körs, innan en session startas.
Det måste också lämna spårningen av uppladdningsförlopp aktiverad. PHP rekommenderar att man ställer in `session.upload_progress.enabled=0`. Användare som redan har tillämpat den inställningen för att minska risken från de tidigare sårbarheterna behöver inte vidta några ytterligare åtgärder.
Projektet uppger att det kommer att åtgärda det tredje problemet enligt sitt ordinarie utgivningsschema i stället för att släppa en akutkorrigering. En fullständig säkerhetsnotis ska publiceras i samband med nästa utgåva.