La publication cite CVE-2026-109618 et CVE-2026-109619 comme identifiants réservés pour deux vulnérabilités PHP. Une annonce serait prévue le 22 octobre 2026 à 18 h CEST. Le message leur attribue un score CVSS de 10.0 et les décrit comme des failles permettant une exécution de code à distance.

L'auteur affirme tenir l'information d'une source fiable, sans fournir d'élément permettant de la vérifier. Selon son message, la version concernée remonterait jusqu'à PHP 5. Un commentaire ultérieur situe les problèmes dans le cœur de PHP et affirme que seule la branche PHP 8 devrait être corrigée. Ces précisions viennent de la discussion Hacker News, pas du message initial.

Un participant a d'abord confondu ces références avec CVE-2026-9618 et CVE-2026-9619. Ces deux entrées concernent des extensions WordPress et ne décrivent pas des failles RCE. Un autre commentaire renvoie vers une annonce de PHP datée du 20 octobre 2026 et vers un avis de CERT-EU. Cet avis recommande d'envisager l'isolement des applications accessibles depuis Internet lorsque l'application immédiate d'un correctif est impossible. Des informations techniques supplémentaires étaient annoncées pour 14 h UTC le lendemain, avec un calendrier encore susceptible d'évoluer.