Die Lücken CVE-2026-109618 und CVE-2026-109619 beruhen auf einer Speicherbeschädigung, wenn PHP der Arbeitsspeicher ausgeht, und auf einem veralteten globalen Zustand im PHP-Kern. Betroffen sind PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP und LiteSpeed. Für die Versionen 7.4 bis 8.1 gibt es nur minimale Rückportierungen im Quellcode. Laut Wiz und Calif reicht der Fehler bis PHP 5.4 zurück, also mehr als zehn Jahre.
Nach Darstellung der PHP Foundation prüfte Calif PHP seit dem 30. Juli im Rahmen von OpenAIs Initiative Patch the Planet und meldete den Fehler am 11. August; OpenAI meldete dieselbe Ursache am selben Tag. Wiz lieferte am 24. August, OpenAI am 18. September weitere Angriffswege. OpenAI schreibt, Calif habe die Lücke mit GPT-5.6 Sol gefunden; Wiz gibt an, mit dem eigenen Werkzeug Wiz Atlas sowie Gemini 4 Argon und GPT-5.6 Sol gearbeitet zu haben. PHP, Calif und die Sicherheitshinweise nennen kein Modell.
Die geordnete Offenlegung misslang teilweise. Am 20. Oktober sickerten die CVE-Nummern mit einem falschen Schweregrad von 10,0 durch, Calif veröffentlichte versehentlich ein Video, das die Entwicklung von Angriffscode beschleunigte, und Chainguard brach am 21. Oktober die Sperrfrist. Funktionierende Exploits kannte die PHP Foundation zum Zeitpunkt der Veröffentlichung nicht; Simon Willison schrieb dagegen, seit der Nacht kursierten Exploits.
Die Foundation hat seit Mai ein Sicherheitsteam für das PHP-Ökosystem aufgebaut, Personal eingestellt und einen eigenen Sicherheitsingenieur für KI benannt. Sicherheitsentscheidungen sollen künftig per Mehrheit statt per Konsens fallen. Seit dem 1. Juli veröffentlichte das Team 15 CVEs und arbeitete mehr als 100 Meldungen ab, die sich als ungültig, doppelt oder nicht reproduzierbar erwiesen.