PHP 修复了两个可能允许攻击者远程执行代码的严重漏洞，并于 10 月 23 日披露了第三项影响范围较窄的风险，建议受影响的应用关闭会话上传进度功能，直至常规修复发布。
这两个已修复的漏洞编号为 CVE-2026-109618 和 CVE-2026-109619，可能允许攻击者在处理 Web 请求的 PHP 系统上执行代码，且无需登录。该项目将这两个漏洞均评为严重。10 月 21 日，PHP 8.5.12、8.4.27、8.3.36 和 8.2.35 发布了修复。
PHP 敦促用户更新，并建议使用旧版本的用户查看软件供应商是否提供了修复。新披露的问题编号为 CVE-2026-115560，涉及会话上传进度。该问题不太可能发生，因为它需要应用设置和程序运行行为出现一种罕见组合。具体来说，应用必须使用非默认的会话数据格式，并在启动会话前于运行期间切换为另一种格式。
此外，应用还必须保持启用上传进度跟踪功能。PHP 建议设置 `session.upload_progress.enabled=0`。已经应用此设置以降低此前漏洞风险的用户无需采取进一步措施。
该项目表示，将按照常规发布计划处理第三个问题，而不会发布紧急修复。项目计划在下一次发布时公布完整的安全公告。