Das Projekt PHP2Shell beschreibt eine Gruppe kritischer Schwachstellen im PHP-Kern. Nach seiner Darstellung können Angreifer ohne Authentifizierung darüber Code ausführen oder sensible Speicherinhalte des Prozesses offenlegen.

Das Projekt gibt an, bei Tests eine Remote-Code-Ausführung gegen WordPress, Drupal und Joomla erreicht zu haben. Dafür kamen die zum Testzeitpunkt aktuellen Container-Images zum Einsatz. Das vorliegende Material nennt keine CVE-Nummern, betroffenen PHP-Versionen, Hinweise zur Behebung oder Belege für eine Ausnutzung in freier Wildbahn.