Angekündigt wurde die Veröffentlichung in einem am Dienstag publizierten Hinweis des PHP-Entwicklerteams. Zusätzlich ging eine Mitteilung an die ANNOUNCE-Mailingliste, in der Administratoren aufgerufen werden, die Updates unmittelbar nach deren Bereitstellung einzuspielen.
“Wir behalten uns das Recht vor, früher zu veröffentlichen, sollten Details zu einer der beiden Schwachstellen öffentlich werden oder Hinweise auf aktive Ausnutzung in freier Wildbahn auftauchen”, warnte das PHP-Sicherheitsteam.
Technische Einzelheiten nannten die Entwickler bislang nicht – weder betroffene PHP-Versionen noch mögliche Angriffswege oder die Releases, die die Korrekturen enthalten werden. Diese Angaben sollen erst mit dem Erscheinen der Updates veröffentlicht werden.
Nach Angaben der Sicherheitsforscher von watchTowr handelt es sich bei den beiden Schwachstellen, die unter CVE-2026-109618 und CVE-2026-109619 geführt werden, um Lücken zur Codeausführung aus der Ferne (Remote Code Execution). Betroffen sein sollen demnach die PHP-Versionen 5, 6, 7 und 8.
“In der vergangenen Stunde sind zwei Schwachstellen zur Codeausführung aus der Ferne in PHP durchgesickert. Diese Schwachstellen standen zuvor unter Embargo und sollten am Donnerstag um 11 Uhr Ostküstenzeit veröffentlicht werden”, sagte watchTowr-Chef Benjamin Harris. “Auch wenn wir zum jetzigen Zeitpunkt aus naheliegenden Gründen keine technischen Informationen weitergeben können, können wir angesichts der Sensibilität bestätigen, dass diese Schwachstellen tatsächlich real sind. Beide sind CVSS 10 und betreffen nach unserem Verständnis die PHP-Versionen 5, 6, 7 und 8.”
watchTowr erklärte außerdem, CVE-2026-109618 nach eigener Einschätzung erfolgreich reproduziert zu haben; technische Informationen will das Unternehmen erst nach Verfügbarkeit der Patches veröffentlichen. Eine Ausnutzung der Lücken in freier Wildbahn haben die Forscher nach eigenen Angaben trotz des vorzeitigen Durchsickerns bislang nicht beobachtet.
In einem Beitrag auf X wies watchTowr darauf hin, dass Informationen vor dem ursprünglich geplanten Offenlegungstermin bekannt geworden seien: “Wir sollten alle bis Donnerstag, 11 Uhr Ostküstenzeit, warten. Informationen zu unter Embargo stehenden Zero-Day-RCE-Schwachstellen in PHP sind durchgesickert. Wir können bestätigen, dass sie real sind.”
Vorausgegangen war ein inzwischen gelöschter Beitrag im Hacker-News-Forum von Y Combinator. Ein Nutzer mit dem Namen “petecooper” hatte dort behauptet, zwei kritische PHP-Schwachstellen zur Codeausführung aus der Ferne würden am 22. Oktober offengelegt. Dem Beitrag zufolge sollten beide Lücken einen CVSS-Wert von 10,0 aufweisen und PHP-Versionen bis zurück zu PHP 5 betreffen. Genannt wurden dort bereits die Kennungen CVE-2026-109618 und CVE-2026-109619 – dieselben, die watchTowr später nannte.
Die Darstellungen von watchTowr und dem Hacker-News-Beitrag weichen allerdings von der offiziellen PHP-Ankündigung ab: Beide sprachen von CVSS 10.0, während das PHP-Sicherheitsteam jeweils 9,2 nach CVSS v4.0 vergeben hat. Zudem nannte watchTowr einen ursprünglich für Donnerstag geplanten Offenlegungstermin, während PHP das Sicherheitsrelease offiziell für Mittwochvormittag (Ortszeit USA) angesetzt hat.