Die Warnung nennt CVE-2026-109618 und CVE-2026-109619 als reservierte Kennungen für zwei PHP-Schwachstellen. Eine Ankündigung soll am 22. Oktober 2026 um 18:00 CEST erscheinen. Beide Fehler werden als Lücken für Remote Code Execution mit einem CVSS-Wert von 10.0 beschrieben.

Der ursprüngliche Beitrag beruft sich auf eine verlässliche Quelle, legt dafür aber keinen weiteren Nachweis vor. Dem Beitrag zufolge reicht der betroffene Versionsbereich bis PHP 5 zurück. Ein späterer Kommentar verortet die Fehler im PHP-Kern und erklärt, dass nur PHP 8 einen Patch erhalten soll. Diese technischen Angaben stammen aus der Diskussion, nicht aus dem ursprünglichen Hinweis.

Ein anderer Kommentator hatte die Kennungen zunächst mit CVE-2026-9618 und CVE-2026-9619 verwechselt. Diese Einträge betreffen WordPress-Plugins und keine RCE-Schwachstellen. Ein weiterer Kommentar verweist auf eine PHP-Archivmeldung vom 20. Oktober 2026 sowie auf eine CERT-EU-Warnung. Organisationen ohne Möglichkeit zur sofortigen Aktualisierung sollen demnach internetseitig erreichbare Anwendungen bis zum verfügbaren Fix vom öffentlichen Netz isolieren. Weitere Details wurden für 14:00 UTC am folgenden Tag angekündigt, wobei sich der Zeitplan noch ändern kann.