PHP és el llenguatge amb què funciona una part enorme del web: Wiz calcula que s'hi basa al voltant del 70% dels llocs, i és el motor de gestors de continguts com WordPress, Drupal o Joomla. Per això una falla a l'arrel de PHP no afecta una sola aplicació, sinó milers de servidors alhora.
Aquest dimecres 21 d'octubre, el projecte PHP ha publicat els pegats de dues vulnerabilitats, identificades com a CVE-2026-109618 i CVE-2026-109619, amb una gravetat de 9,2 sobre 10. Són errors de memòria que apareixen quan PHP gestiona errors fatals, sobretot quan es queda sense memòria: l'estat intern queda malmès i una petició posterior pot aprofitar-ho per llegir o alterar la memòria del servidor. Segons Wiz, l'atac permet executar codi sense autenticació i filtrar contrasenyes, claus d'API o certificats, i l'equip el va demostrar contra les imatges de contenidor més recents de WordPress, Drupal i Joomla. Wiz va fer servir el seu agent Wiz Atlas, Gemini 4 Argon i GPT-5.6 Sol; l'empresa de seguretat Calif, dins la iniciativa «Patch the Planet» d'OpenAI, va trobar una de les falles amb GPT-5.6 Sol. Wiz data el descobriment el 19 d'agost i l'avís al projecte PHP el 24 d'agost.
Segons TechCrunch, l'Agència de Seguretat Nacional dels Estats Units (NSA) ha avisat que, si un servidor no es pot actualitzar de seguida, s'ha de desconnectar fins que ho estigui. L'errada afecta versions des de PHP 5.4, i la recomanació és actualitzar a versions amb el pegat, com la 8.5.12. Wiz adverteix que la IA fa baixar la dificultat d'aquest tipus de troballes, també per a qui vulgui atacar, mentre que Google DeepMind hi veu una prova que la IA de frontera pot ser decisiva per a la defensa.
Hi ha límits clars. Ni Wiz ni OpenAI no han informat de cap explotació en circumstàncies reals: les proves d'atac són les que han fet els mateixos investigadors. Les versions de PHP 8.1 i anteriors ja no reben suport del projecte, de manera que molts servidors antics depenen de còpies d'adaptació mantingudes per tercers o d'una migració que costa temps. I algunes webs secundàries atribueixen l'avís també a l'FBI o a altres governs, un detall que TechCrunch no confirma.