Hai lỗ hổng, được gọi chung là php2shell, mang mã CVE-2026-109618 và CVE-2026-109619, đạt mức rủi ro 9,2/10 theo thang điểm CVSS v4.0. Chúng có thể cho phép kẻ tấn công thực thi mã từ xa hoặc truy cập dữ liệu nhạy cảm do lỗi xử lý bộ nhớ.
Sự cố còn thu hút sự chú ý bởi vai trò của trí tuệ nhân tạo (AI) trong việc phát hiện lỗ hổng. Công ty an ninh mạng Calif phát hiện lỗ hổng đầu tiên hồi tháng 8 với sự hỗ trợ của mô hình GPT-5.6 Sol của OpenAI, trong khuôn khổ dự án Patch the Planet. Đến tháng 9, công ty bảo mật Wiz độc lập phát hiện cả hai lỗ hổng với sự trợ giúp của Gemini 4 Argon của Google và GPT-5.6 Sol.
Các lỗ hổng này đã tồn tại trong mã nguồn PHP suốt 14 năm, từ phiên bản 5.4 phát hành năm 2012. PHP hiện được sử dụng trên khoảng 70% website toàn cầu, khiến sự cố có khả năng ảnh hưởng trên diện rộng.
Trước nguy cơ bị xâm nhập, Cơ quan An ninh Quốc gia Mỹ (NSA) khuyến cáo các tổ chức nhanh chóng cài đặt bản vá hoặc ngắt kết nối những hệ thống bị ảnh hưởng khỏi internet. Tại Hà Lan, chính quyền tạm ngừng hoạt động của nhiều cổng dịch vụ công, gồm Overheid.nl, MijnOverheid.nl, hệ thống định danh DigiD và website của Trung tâm An ninh Mạng Quốc gia Hà Lan (NCSC-NL).
Một số website của cảnh sát Paris và chính quyền địa phương tại Pháp cũng không thể truy cập. Các biện pháp tương tự được áp dụng tại Phần Lan, Bỉ, Đức và Úc. Cục Tín hiệu Úc xác nhận website cyber.gov.au nằm trong số những hệ thống phải tạm ngắt kết nối.
Dù các bên cam kết giữ kín thông tin để chuẩn bị bản vá, tin đồn và dữ liệu rò rỉ xuất hiện trên diễn đàn Hacker News ngày 20/10, buộc Nhóm Phát triển PHP đẩy lịch phát hành bản vá từ ngày 22/10 lên ngày 21/10.
Nhóm phát triển PHP đã phát hành bốn phiên bản khắc phục lỗi, gồm PHP 8.5.12, 8.4.27, 8.3.36 và 8.2.35, đồng thời khuyến cáo người dùng nâng cấp để xử lý triệt để nguy cơ. Với các phiên bản đã hết thời hạn hỗ trợ, từ PHP 8.1 trở xuống, một số nhà cung cấp bên thứ ba như TuxCare đã phát hành bản vá mở rộng để hỗ trợ những hệ thống chưa thể nâng cấp ngay.
Ông Volker Dusch, kỹ sư an ninh tại Tổ chức PHP Foundation, đánh giá đây là sự cố nghiêm trọng nhất mà PHP phải đối mặt trong hơn một thập kỷ, đồng thời so sánh mức độ ảnh hưởng với sự cố Heartbleed năm 2014.
