10月21日，PHP官方发布8.5.12、8.4.27、8.3.36和8.2.35紧急更新，修复被安全社区称为PHP2Shell的两个漏洞CVE-2026-109618和CVE-2026-109619，并确认两者CVSS评分均为9.2，无需账号密码即可远程利用。
在Apache这一PHP最常见的部署方式下，攻击在网站自身代码开始运行之前就已触发。网站被攻破后，数据、密码和令牌都可能受到影响。PHP已发布修复版本，但大量老版本仍无官方补丁。
漏洞公开后，欧洲多国政府网站陆续下线：芬兰交通与通信局关闭部分在线服务，荷兰电子身份系统DigiD、MijnOverheid及政务门户暂停服务，荷兰国家网络安全中心网站也一度关闭。日本pixiv、Niconico、BOOTH等平台宣布紧急维护，寿司郎小程序亦暂停运行。
按原计划，漏洞细节应于10月22日协调披露，但10月20日下午，Hacker News上出现帖子宣称PHP存在两个评分10.0的远程代码执行漏洞。