Las fallas fueron identificadas en el motor del lenguaje y recibieron los códigos CVE-2026-109618 y CVE-2026-109619. PHP publicó las correcciones el 21 de octubre de 2026.
Investigadores detectaron dos vulnerabilidades críticas en PHP, un lenguaje utilizado para desarrollar y ejecutar páginas y aplicaciones web. Según Wiz, alrededor del 70% de los sitios de internet emplean PHP de alguna manera, incluidos los que funcionan con WordPress, Drupal, Joomla y MediaWiki, la tecnología utilizada por Wikipedia.
Los errores se encontraban en el propio motor de PHP y no en esas plataformas. En determinadas condiciones, podían permitir la ejecución remota de código, el acceso a información almacenada en memoria, la obtención de contraseñas o tokens, el compromiso de servidores y la interrupción de servicios. El problema estaba relacionado con el manejo de errores graves, especialmente cuando un servidor agotaba su memoria y dejaba datos internos sin limpiar correctamente.
Calif identificó una de las fallas mediante GPT-5.6 Sol, dentro de la iniciativa Patch the Planet de OpenAI. Wiz detectó problemas vinculados, colaboró en la validación de los ataques y de las soluciones, y comprobó que era posible lograr ejecución remota de código sin autenticación en instalaciones de WordPress, Drupal y Joomla.
La información se mantuvo bajo reserva mientras se preparaban los parches. PHP publicó las actualizaciones el 21 de octubre de 2026 y recomendó migrar a PHP 8.5.12, 8.4.27, 8.3.36 o 8.2.35. La indicación alcanza a instalaciones que reciben solicitudes web mediante PHP-FPM, Apache, php-cgi y otras configuraciones. Los sistemas que todavía utilizan versiones antiguas deben ser identificados, ya que actualizar aplicaciones construidas sobre PHP puede requerir pruebas y modificaciones adicionales.
Wiz explicó que durante la investigación también utilizó Gemini 4 Argon, GPT-5.6 Sol y Wiz Atlas para descubrir los problemas y desarrollar y validar métodos de explotación. OpenAI señaló que las fallas fueron halladas antes de que existieran evidencias de uso por parte de atacantes, lo que permitió coordinar las correcciones antes de divulgar los detalles técnicos. El caso instaló una discusión sobre el doble efecto de la inteligencia artificial: puede acelerar la detección de errores, pero también reducir el esfuerzo necesario para convertirlos en ataques.