Pada 21 Agustus, metode serupa berhasil dibuktikan pada WordPress. Temuan kemudian dilaporkan kepada tim keamanan PHP pada 24 Agustus sebelum akhirnya diumumkan kepada publik pada 21 Oktober 2026.
Keberhasilan ini menunjukkan bagaimana AI dapat mempercepat identifikasi kerentanan yang sebelumnya sulit ditemukan melalui penelitian keamanan konvensional.
Dua kerentanan PHP2Shell diidentifikasi sebagai CVE-2026-109618 dan CVE-2026-109619. Keduanya memiliki tingkat keparahan 9,2 dari skala 10 berdasarkan CVSS 4.0.
Dilansir dari Google Cloud Blog, Kamis (22/10/2026), kedua celah berada pada inti mesin PHP dan berpotensi memungkinkan penyerang menjalankan kode dari jarak jauh tanpa autentikasi maupun mengakses informasi sensitif dalam memori server.
Kerentanan pertama berkaitan dengan kesalahan penanganan memori ketika PHP kehabisan kapasitas. Sementara itu, celah kedua memungkinkan sistem mengakses kembali data internal yang memorinya telah dibebaskan.
Ancaman ini menjadi perhatian karena PHP digunakan oleh sekitar 70% website di internet, termasuk yang berbasis WordPress, Drupal, dan Joomla. Namun, bukan berarti seluruh website tersebut otomatis rentan karena risiko bergantung pada versi PHP dan konfigurasi server.
