PHP Foundation đã chính thức triển khai các bản vá cho hai lỗ hổng bảo mật nghiêm trọng được định danh là PHP2Shell, có khả năng cho phép tin tặc thực thi mã từ xa (RCE) mà không cần quyền xác thực. Hai lỗ hổng này, bao gồm CVE-2026-109618 (lỗi hỏng bộ nhớ do tràn bộ nhớ - OOM) và CVE-2026-109619 (trạng thái toàn cục cũ - stale global state), đều đạt mức điểm CVSS 9.2. Khả năng thực thi mã từ xa đã được xác nhận trên máy chủ Apache sử dụng mod_php.
Theo PHP Foundation, cả hai vấn đề đều nằm trong các thành phần cốt lõi mà hầu hết mọi yêu cầu PHP đều chạm tới: quản lý bộ nhớ và xử lý lỗi. Chính vị trí trung tâm này khiến các lỗ hổng trở nên đặc biệt nghiêm trọng và khó khắc phục. Các bản vá đã được tích hợp trong các phiên bản PHP 8.5.12, 8.4.27, 8.3.36 và 8.2.35. Ngoài ra, các bản hỗ trợ ngược (backport) tối thiểu cũng được phát hành cho PHP 7.4, 8.0 và 8.1.
Trước khi bản vá được công bố, các mã khai thác thử nghiệm (PoC) đã bắt đầu lan truyền. WatchTowr cho biết các cảm biến của họ đã ghi nhận những nỗ lực khai thác đầu tiên ngay khi bản vá vừa ra mắt. Hadrian báo cáo rằng PHP2Shell đang bị khai thác trên diện rộng, chủ yếu lạm dụng đường dẫn tiến trình tải lên phiên (session upload-progress). Các đơn vị khác như Patchstack, Cloudflare và Vega cũng quan sát thấy các hành vi tấn công tương tự dựa trên PoC công khai.
Các chuyên gia cảnh báo rằng mọi cài đặt PHP xử lý yêu cầu web đều có nguy cơ bị tấn công, bao gồm PHP-FPM, Apache với mod_php, php-cgi, FrankenPHP và LiteSpeed. PHP2Shell ảnh hưởng đến hầu hết các phiên bản PHP từ 5.4 trở về sau. Ngoài RCE, tin tặc còn có thể khai thác để đọc bộ nhớ tiến trình nhạy cảm chứa thông tin đăng nhập, khóa API và các bí mật khác. Wiz lưu ý rằng các lỗi này đã tồn tại hàng thập kỷ nhưng việc chứng minh khả năng khai thác đòi hỏi một chuỗi các bước cực kỳ phức tạp.
Lỗ hổng này được phát hiện vào tháng 8 bởi Wiz, OpenAI và Calif thông qua việc sử dụng các mô hình AI tiên tiến (frontier AI). Mặc dù kế hoạch công bố ban đầu là ngày 22 tháng 10, nhưng do thông tin bị rò rỉ vào ngày 20 tháng 10, PHP Foundation đã quyết định đẩy sớm thời gian phát hành bản vá một ngày. Việc rò rỉ PoC và các hình ảnh xây dựng sớm từ Chainguard đã tạo điều kiện cho tin tặc nghiên cứu bản vá trước khi người dùng kịp cập nhật. Cloudflare đã triển khai các biện pháp bảo vệ cho khách hàng từ 9 giờ trước khi công bố chính thức để giảm thiểu rủi ro.
