10 月 21 日晚，腾讯云发布 PHP "php2shell" 远程代码执行漏洞风险通告。

通告称，腾讯云安全中心监测到，PHP 被披露其存在远程代码执行漏洞，漏洞编号分别为 CVE-2026-109618, CVE-2026-109619，代号 "php2shell"。可导致未经身份验证的远程攻击者通过发送特制的 multipart POST 请求，触发内存破坏并最终实现远程代码执行，从而完全控制服务器等危害。为避免业务受影响，腾讯云安全建议及时开展安全自查，如在受影响范围，请及时进行更新修复，避免被外部攻击者入侵。

稍早前，PHP 官方发布声明称，在 10 月 20 日（星期二） 约 UTC 时间 15:00，涉及本次漏洞的两个 CVE 编号开始在在线论坛和社交媒体上流传。

OpenAI 就 PHP 软件中发现的严重漏洞发表声明，指出鉴于漏洞的严重性和 PHP 的广泛使用，这是近期影响最大的漏洞之一。OpenAI 承诺通过其 "Daybreak for Frontline Defenders" 计划，提供价值 10 亿美元的补贴访问额度，以支持防御者。

谷歌就 PHP 核心漏洞 CVE-2026-109618 和 CVE-2026-109619 作出回应。谷歌表示，Google Cloud 云平台本身不受这两个漏洞影响，但在该平台上运行 PHP 的用户仍可能面临风险。谷歌还表示，Gemini 4 Argon 参与了漏洞发现、漏洞利用程序开发、攻击检测和补丁验证工作。