PHP发布了两项紧急修复程序，以修补可能让攻击者无需登录即可在网络服务器上运行代码的严重漏洞；此前，美国网络安全和基础设施安全局（CISA）敦促立即更新，而亚马逊报告称，在漏洞公开前四天曾发生一次利用尝试。
这两项漏洞的编号为CVE-2026-109618和CVE-2026-109619，统称为“PHP2Shell”，影响处理 Web 请求的 PHP 安装环境。它们的严重性评分为 10 分中的 9.2 分。CISA敦促各组织优先处理可从互联网访问的系统，并安装 PHP 8.5.12、8.4.27、8.3.36 或 8.2.35 版本。
CISA还建议，如果无法及时更新，应将系统下线。亚马逊表示，其由诱饵系统组成的 MadPot 网络于 10 月 17 日记录到一次攻击尝试。这些漏洞于 10 月 21 日公开。
亚马逊不知道攻击者是如何获得相关信息的。该公司也不清楚这次尝试是否能成功攻击真实系统。漏洞细节遭到泄露后，PHP因此比原计划提前一天发布了修复程序。
Cloudflare报告称，攻击尝试数量在漏洞披露前为数千次，披露后则增至数百万次。该公司表示，攻击者不断更改攻击中发送的数据，试图绕过防御措施。攻击数量的激增表明，一旦严重漏洞的信息传播开来，攻击者就能迅速采取行动。
目前尚不清楚漏洞公开前的活动是否导致了任何已确认的系统入侵。