10月21日PHP開發團隊發布及修補統稱為PHP2Shell的重大漏洞CVE-2026-109618、CVE-2026-109619，這些漏洞由資安公司Wiz、Calif，以及AI龍頭OpenAI獨立調查並向PHP通報，其中Wiz指出，這兩個漏洞最早可追溯到2012年推出的PHP 5.4版，然而Calif透露，PHP2Shell存在的時間恐怕不僅於此，可能源自二十多年前第一個被發現的PHP記憶體限制漏洞。

Calif表示，他們在7月底參與OpenAI發起的Patch the Planet計畫，借助AI的力量成功找出PHP2Shell，但在此之前，已有研究人員多次找出相關問題，只是因為無法被證實能用於攻擊，而沒有被視為資安漏洞。Calif指出，這些弱點可追溯到2004年，現已加入該公司的PHP資安專家Stefan Esser當時發現的全球第一個PHP記憶體限制漏洞，該弱點可被用於遠端程式碼執行（RCE）攻擊，由於過於危險，Stefan一度不願將其公開。

後續在2020年，使用電子郵件信箱[email protected]的研究員也發現相同問題，他向PHP專案通報看似無害的問題#78876，提及特定的長變數可造成記憶體耗盡（OOM），並導致暫存檔案清理失敗，不過，當時並未引起太多注意。4年後OSTIF與Quarkslab對PHP進行稽核，也發現相同的OOM問題，然而，由於研究人員無法證明能被用於攻擊，此弱點未被修復。