PHP가 CVE-2026-109618과 CVE-2026-109619를 수정한 8.5.12, 8.4.27, 8.3.36, 8.2.35를 배포했다. 웹 요청을 처리하는 FPM과 mod_php, CGI 등에서 인증 없는 원격 코드 실행 위험이 있으며 mod_php는 앱 코드 실행 전 공격이 시연됐다. 앞선 게시물의 10.0 주장과 달리 공식 점수는 각각 CVSS 9.2다. 메모리 부족 처리와 해제된 요청 상태 재사용이 원인으로, 일부 설정 완화만으로는 안전을 보장하지 않는다. 배포판 백포트 여부를 확인해 즉시 갱신하고, 바로 수정할 수 없다면 CERT-EU 권고처럼 공개 네트워크에서 격리하는 방안을 검토해야 한다.