PHP Foundation teatas reedel, et kolmandale kaugkoodi käivitamise turvanõrkusele CVE-2026-115560 ei anta erakorralist parandust. Täielik nõuanne ja parandatud tarkvara tulevad järgmise tavalise PHP väljalaskega. Tegevjuht Elizabeth Barron ütles, et viga eeldab väga ebatõenäolist konfiguratsiooni ja rakenduse koodi kombinatsiooni, mida päris kasutuses peaaegu ei esine. Riski saab vähendada seades session.upload_progress.enabled=0 kuni järgmise veaparanduseni.
Rünne eeldab, et rakendus seab session.serialize_handler väärtuseks php_binary või php_serialize, lülitab selle siis ini_set() abil php-le enne session_start() kutset ning et seansi üleslaadimise edenemise funktsioon on sisse lülitatud. Seetõttu ei peeta ohtu võrreldavaks kahe varasema PHP2Shelli veaga CVE-2026-109618 ja CVE-2026-109619, mis parandati kolmapäeval.
PHP töötab umbes 70 protsendil teadaoleva serveripoolse keelega saitidest. Massilisi ründekatseid on dokumenteeritud, kuid reedese seisuga pole kinnitatud edukaid kompromisse ei enne avalikustamist ega parandatud versioonidel. Mandianti tehnoloogiajuht Charles Carmakal hoiatas, et oht on siiski tõsine.