PHP Foundation mengakui bahwa keragu-raguan dan kekurangan sumber daya menunda perbaikan celah keamanan kritis yang pertama kali teridentifikasi pada 2024. Menurut Cointelegraph, yayasan tersebut menyebut respons yang tertunda itu sebagai “kegagalan struktural”. Pada Rabu, lembaga pemerintah dan organisasi lain di seluruh dunia menonaktifkan situs web mereka sebagai langkah pencegahan, sementara PHP merilis patch darurat untuk dua kerentanan kritis terkait yang dapat memungkinkan penyerang tanpa autentikasi menjalankan kode di server yang terdampak tanpa harus masuk.

PHP adalah bahasa pemrograman yang banyak digunakan untuk menjalankan situs web, aplikasi web, dan sistem manajemen konten. Dalam sebuah tulisan blog setelah merilis patch, yayasan tersebut mengatakan bahwa para pengembangnya pertama kali menemukan tanda-tanda kerentanan itu pada 2024, tetapi kesulitan menyusun perbaikan tanpa mengganggu ekosistem besar yang dibangun di atas PHP. "Ditambah tidak adanya jalur yang diketahui untuk menjalankan kode dari jarak jauh dan kecilnya tim pengembang inti yang memiliki pengetahuan mendalam tentang mesin PHP yang diperlukan, sementara mereka juga disibukkan dengan banyak tanggung jawab, proses pengambilan keputusan ini menyebabkan pengerjaan perbaikan terhenti dan dimulai kembali berulang kali selama berbulan-bulan," kata yayasan tersebut. "Kami tidak akan berpura-pura sebaliknya: keterlambatan ini merupakan kegagalan struktural, yang disebabkan oleh proses pengambilan keputusan tim keamanan sekaligus kurangnya sumber daya." Cacat tersebut kembali dilaporkan pada 11 Agustus setelah perusahaan keamanan Calif dan OpenAI secara independen melaporkan masalah mendasar yang sama — Calif menunjukkan bahwa kode dapat dijalankan dari jarak jauh tanpa syarat, sehingga masalah ini menjadi prioritas keamanan utama.

Gangguan tersebut meluas ke seluruh dunia: Belanda menutup layanan identitas digitalnya dan Pusat Keamanan Siber Nasionalnya menonaktifkan situs webnya; penyedia TI pemerintah Finlandia, Valtori, memutus layanan web publik; Kementerian Dalam Negeri Prancis untuk sementara menonaktifkan situs-situs prefektur; penyedia TI federal Jerman, ITZBund, menonaktifkan beberapa situs, menurut Reuters; dan Direktorat Sinyal Australia mengonfirmasi bahwa cyber.gov.au terdampak. Perdana Menteri Jepang Sanae Takaichi mendesak operator di X agar memasang patch secepat mungkin. Ia mengatakan bahwa penangguhan sementara fungsi situs web dapat mengurangi risiko jika patch tidak dapat segera diterapkan. Wikimedia Foundation menonaktifkan Toolforge dan Cloud VPS sebagai langkah pencegahan, sehingga beberapa bagian Wikipedia tidak dapat diakses pada Rabu.

Di ranah kripto, survei MistEye dari SlowMist mengidentifikasi 793 domain dengan sidik jari PHP langsung dari 1.488 domain yang dinilai. SlowMist mendesak bursa, platform DeFi, dan penyedia dompet untuk meninjau paparan mereka dan melakukan pemutakhiran. Intersect, organisasi tata kelola Cardano, untuk sementara menonaktifkan Area Anggotanya. Kepala petugas keamanan Coinbase, Jeff Lunglhofer, mengatakan perusahaan tidak menemukan bukti adanya instans PHP yang terekspos: "Setiap kali mendengar tentang kerentanan seperti ini, kami otomatis melakukan pemeriksaan menyeluruh untuk memastikan semuanya seaman mungkin. Kami juga bekerja sama dengan pemasok pihak ketiga untuk mendapatkan jaminan tambahan." BitGo mengatakan platformnya tidak terdampak.

Pendiri sekaligus mantan CEO Binance, Changpeng Zhao (CZ), pada Rabu memperingatkan pengguna internet agar "lebih berhati-hati" saat mengunjungi situs web mana pun dalam beberapa hari ke depan, karena sebagian administrator web mungkin belum memasang pembaruan keamanan terbaru. OpenAI merilis sebuah skill Codex di GitHub untuk membantu operator memeriksa versi PHP yang rentan dan mengidentifikasi pembaruan yang berlaku. Tim keamanan PHP mengatakan bahwa hingga pengungkapan publik tersebut, mereka belum mengidentifikasi eksploit yang berfungsi.