RecodeX 重构消息，Cloudflare（$NET）表示，已观测到数百万次针对PHP引擎两处远程代码执行漏洞的攻击尝试。不过PHP基金会称，尚未发现任何成功利用远程代码执行漏洞的案例。PHP开发团队于21日（当地时间）发布安全更新，修复了这两个漏洞。
PHP开发团队在官方安全公告中将CVE-2026-109618和CVE-2026-109619的严重程度评为CVSS 9.2，并建议处理Web请求的PHP安装环境立即更新。补丁发布后，欧洲和英国的安全机构针对无法立即应用补丁的服务器发布了相关指引。