Les responsables de PHP ont publié des correctifs d'urgence pour CVE-2026-109618 et CVE-2026-109619. Chaque faille a reçu une note de gravité de 9,2 sur 10. Les installations PHP exposées au Web peuvent être concernées, y compris d'anciennes versions encore présentes sur certains serveurs. Selon les chercheurs, une exploitation peut permettre l'exécution de code à distance ou la lecture de la mémoire d'un processus. Cette mémoire peut contenir mots de passe, jetons d'accès et autres secrets. Des tentatives d'attaque ont été signalées avant la divulgation complète.
Pour un propriétaire de site, la priorité est d'identifier la version de PHP réellement utilisée, de consulter l'avis de sécurité et de demander au fournisseur d'hébergement qui appliquera le correctif. Mettre à jour WordPress ou une autre application ne met pas automatiquement à jour PHP. Les branches officiellement prises en charge commencent à PHP 8.2; pour les anciennes versions, il faut chercher un correctif chez le fournisseur ou préparer une migration. Si la mise à jour immédiate est impossible, l'isolement temporaire du service peut réduire l'exposition. Le danger est réel, mais la présence d'une version vulnérable ne prouve pas qu'un site précis a déjà été piraté.