PHP 是许多网站运行服务器端程序所依赖的语言环境。10 月 21 日，项目为四个受支持分支发布安全更新，处理两类可能导致远程代码执行的内存问题。一类来自内存耗尽时未完成初始化的数据，另一类来自异常退出后残留的跨请求状态。实际影响取决于运行方式与应用，不能把 PHP 的装机规模当成已受攻击的网站数。
基金会复盘显示，第一类风险的迹象在 2024 年已出现，但当时缺少明确利用路径。修复候选分别牵涉兼容性、新的拒绝服务风险和扩展生态；熟悉引擎的人少，共识决策又难以在取舍中收敛。2026 年 8 月起，更具体的研究报告使问题获得最高优先级。AI 辅助验证和同根因报告归并有帮助，专职投入及决策方式的调整同样推动了修复。
下游成本也已发生。Weird Gloop 的维护者 cookmeplox 自述，团队预防性关闭动态服务 13 小时，靠缓存仍服务约 94% 的页面访问；这说明缓存能减轻中断，不能说明动态功能正常，也不能代表所有网站。
周报补查发现，PHP 10 月 23 日又公告了 CVE-2026-115560：它需要先配置特定的会话序列化方式、再在运行中改为另一种方式等条件，且涉及启用的上传进度功能。官方称将按正常流程发布修复。这是新增的特定条件问题，不能据此说 21 日的全部修复失效。后续应沿具体版本与配置跟踪，而非把一次安全更新当成维护工作已经结束。