PHP hooldajad teatasid, et kahe 9,2 palliga (10st) hinnatud turvanõrkuse parandused peaksid ilmuma veidi enam kui 12 tunni pärast. Kõiki PHP kasutajaid kutsutakse üles valmistuma, et uuendada kohe pärast avaldamist. Varem võidakse paigad välja lasta, kui üksikasjad lekivad või ilmneb aktiivne rünne.
Nõrkused on CVE-2026-109618 ja CVE-2026-109619. Turvafirma watchTowr kinnitas, et need on tegelikud ja väidetavalt puudutavad kõiki PHP versioone alates 2004. aastal ilmunud PHP 5st. Lekkinud, kinnitamata teates näidati ründetööriista PHP2Shell, mis käivitas koodi WordPressi, MediaWiki, phpBB, Magento, Joomla, Laravel, Symfony, Drupali ja WHMCS veebiserverites.
Sansec ootab massründeid 15 minuti jooksul pärast paiga avaldamist. Webfence ja Huntress soovitasid administraatoritel kohe valmistuda.