21 октября 2026 года разработчики php экстренно выпустили внеплановый патч, закрывающий две критические уязвимости в ядре интерпретатора. Угроза получила общее кодовое имя PHP2Shell. Обе дыры оценены в 9.2 балла по шкале cvss v4.0 и позволяют удаленно выполнять произвольный код (rce) на сервере без авторизации.