PHP publie ce mercredi 21 octobre à 16 heures, heure de Paris, des correctifs d'urgence pour deux failles critiques, CVE-2026-109618 et CVE-2026-109619. Des informations sur ces failles avaient fuité la veille sur Hacker News, et la publication arrive un jour plus tôt que la date fixée par l'embargo.