SlowMist advirtió que PHP reveló dos vulnerabilidades graves que podrían permitir la ejecución remota de código en un aviso de seguridad publicado el 20 de octubre. Según Odaily, las vulnerabilidades son CVE-2026-109618 y CVE-2026-109619, y cada una tiene una puntuación CVSS v4.0 de 9,2. PHP aún no ha publicado parches, y las versiones afectadas y las condiciones de explotación siguen sin confirmarse.

PHP tiene previsto publicar una actualización de seguridad el 21 de octubre a las 14:00 UTC, o a las 22:00 (UTC+8) del 21 de octubre. SlowMist recomendó a las organizaciones comprobar las versiones de PHP en sus servidores y sistemas empresariales, prestando especial atención a los servicios expuestos a la internet pública, e instalar la actualización cuanto antes tras su publicación. Los sistemas que no puedan actualizarse de inmediato deberían restringir las fuentes de acceso y, si es necesario, aislarse.