A PHP Foundation szerdai közleményében részletesen ismertette annak a két kritikus PHP-sérülékenységnek a hátterét, amelyek világszerte jelentős aggodalmat váltottak ki a kiberbiztonsági szakemberek körében, és amelyekről az NBSZ NKI is biztonsági riasztást adott ki. A szervezet tájékoztatása szerint a CVE-2026-109618 azonosítójú sérülékenységre már 2024-ben felfigyeltek, azonban akkor még nem történt érdemi intézkedés.
A sérülékenység javítása komoly szakmai vitákat eredményezett a fejlesztők között. A lehetséges megoldások ugyanis visszamenőleges kompatibilitási problémákat, új szolgáltatásmegtagadásos (DoS) támadási lehetőségeket, illetve számos harmadik féltől származó PHP-kiegészítő módosításának szükségességét jelentették volna. A konszenzusos döntéshozatalra épülő PHP biztonsági csapat nehezen jutott közös álláspontra, miközben a fejlesztői erőforrások korlátozottsága és a távoli kódfuttatás (RCE) ismert kihasználási lehetőségének hiánya tovább hátráltatta a javítást.
A CVE-2026-109618 és a hozzá kapcsolódó CVE-2026-109619 sérülékenységeket egyes szakemberek együttesen PHP2Shell néven emlegetik. A hibák súlyosságát jól szemlélteti, hogy a PHP-t becslések szerint a weboldalak több mint 70 százaléka használja. A sérülékenységek a PHP olyan alapvető komponenseit érintik, amelyeket szinte minden kérés feldolgozása során igénybe vesz a rendszer. A Cloudflare már kihasználási kísérletekről is beszámolt, miközben több vállalat és állami szervezet elővigyázatosságból weboldalak százait tette átmenetileg elérhetetlenné.
A VirusTotal elemzése alapján mintegy 5,1 millió interneten elérhető IP-címen azonosítottak PHP-t használó rendszereket. Ezek közül legalább 758 ezer már nem támogatott PHP-verziót futtatott, további 85 ezer pedig a rendkívüli biztonsági frissítések kiadása előtti legújabb verziókat használta. Fontos azonban hangsúlyozni, hogy ezek az adatok nem a bizonyítottan sérülékeny rendszerek számát mutatják. A javítások kizárólag a PHP 8.2-es és újabb verzióihoz érhetők el, míg a Cisco Talos becslése szerint az érintett rendszerek mintegy fele már nem támogatott verzió, (EOL) így javítás nélkül marad.
A sérülékenységek 2026-ban, mesterséges intelligencián alapuló kódelemző eszközök alkalmazásával kerültek ismét előtérbe. Az Anthropic és az OpenAI megoldásait is felhasználták a PHP vizsgálatához, majd augusztus 11-én a Calif kiberbiztonsági vállalat egyik kutatója hivatalosan is bejelentette a hibákat. A Calif egy másik kutató közreműködését is elismerte, aki korábban felfedezte a sérülékenységet és kihasználási módszert dolgozott ki hozzá. Az OpenAI, a Wiz és a Trail of Bits egymástól független vizsgálatai szintén azonosították a problémákat. A PHP Foundation szerint ezek a jelentések tették egyértelművé a sérülékenységek súlyosságát, ezért augusztus 11-től a javításuk elsődleges prioritássá vált.
Az összehangolt sérülékenység-közzétételi folyamatot ugyanakkor több incidens is megzavarta. A hibákról idő előtt információk kezdtek terjedni a közösségi médiában, majd a Calif tévedésből olyan videót tett közzé, amely működő demonstrációt és további technikai részleteket tartalmazott. Bár a felvételt később eltávolították, addigra már terjedni kezdett, elősegítve a sérülékenységek kihasználását demonstráló PoC-kódok fejlesztését. A PHP Foundation a kedden megjelent megoldások között ekkor még nem azonosított valós környezetben kihasznált, működő exploitot.
Az eset nyomán a PHP Foundation átfogó belső szervezeti és működési változtatásokat jelentett be. A céljuk annak biztosítása, hogy a jövőben a nehezen javítható, súlyos sérülékenységek hamarabb kerüljenek a szervezet vezetősége elé, és a technikai megoldásokról folytatott viták ne késleltessék a biztonsági javítások kiadását.