2026年10月26日、CISA は CVE-2026-109618 と CVE-2026-109619（通称 PHP2Shell）を KEV カタログに追加しました。米国の連邦文民行政機関は 10月29日までに対応または該当システムの切り離しが求められます。
いずれも PHP エンジン本体の脆弱性で、認証なしでリモートからコードを実行される恐れがあります。そのため WordPress、Laravel、EC-CUBE、独自開発のコードなど、PHP 上で動くすべてのアプリケーションが、PHP を更新するまで影響を受けます。PHP は10月21日に 8.5.12、8.4.27、8.3.36、8.2.35 で修正を公開しました。8.1 以前には公式リリースはありません。
国内では JPCERT/CC が10月26日に注意喚起を更新し、悪用可能とする実証コードが多数公開されていること、悪用を試みる通信の観測報告が相次いでいることを伝えています。10月24日には、ワーカー1つの Apache mod_php 構成のハニーポットに対する攻撃の成功も報告されており、mod_php のサーバーが最も危険であることを示しています。