Le projet PHP2Shell décrit une famille de vulnérabilités critiques affectant le cœur de PHP. Selon sa présentation, ces failles peuvent permettre à un attaquant sans authentification d'exécuter du code ou d'exposer des informations sensibles présentes dans la mémoire du processus.

Le projet affirme avoir obtenu une exécution de code à distance contre WordPress, Drupal et Joomla lors de ses tests. Ceux-ci utilisaient les images de conteneur les plus récentes disponibles au moment de l'évaluation. Le contenu fourni ne précise aucun identifiant CVE, aucune version de PHP touchée, aucune mesure corrective ni preuve d'exploitation dans la nature.