Dvě kritické zranitelnosti v PHP, označené CVE-2026–109618 a CVE-2026–109619, se dostaly na veřejnost ještě před plánovaným koordinovaným zveřejněním. Mohou umožnit vzdálené spuštění kódu na zranitelném serveru.