Ngày 26/10/2026, CISA đưa CVE-2026-109618 và CVE-2026-109619 — gọi chung là PHP2Shell — vào danh mục Known Exploited Vulnerabilities (KEV). Các cơ quan dân sự liên bang Mỹ phải khắc phục hoặc ngắt kết nối hệ thống bị ảnh hưởng trước 29/10.
Cả hai lỗi nằm ngay trong engine PHP và cho phép thực thi mã từ xa không cần xác thực, nên mọi ứng dụng chạy trên đó — WordPress, Laravel, EC-CUBE, code tự viết — đều bị phơi nhiễm cho tới khi PHP được cập nhật. PHP đã phát hành bản vá ngày 21/10: 8.5.12, 8.4.27, 8.3.36 và 8.2.35; từ 8.1 trở xuống không có bản chính thức.
Tại Nhật Bản, JPCERT/CC cập nhật cảnh báo ngày 26/10: nhiều mã PoC tự nhận khai thác được đã được công bố, và nhiều tổ chức báo cáo ghi nhận lưu lượng cố khai thác lỗ hổng. Một nhà nghiên cứu cũng đã trình diễn khai thác thành công trên honeypot ngày 24/10 với cấu hình Apache mod_php một worker — nhắc nhở rằng máy chủ mod_php là đối tượng rủi ro cao nhất.