Melalui celah ini, peretas dapat mengirimkan permintaan khusus ke server tanpa perlu masuk atau melakukan autentikasi terlebih dahulu.

Jika serangan berhasil, peretas berpotensi menjalankan perintah atau kode berbahaya dari jarak jauh pada server yang terdampak.

Sementara itu, celah CVE-2026-109619 ditemukan pada mekanisme pengelolaan memori PHP. Kerentanan ini terjadi ketika PHP masih mencoba mengakses bagian memori yang sebenarnya sudah tidak digunakan dan telah dilepaskan.

Kesalahan ini dapat menggangu kerja server dan membuka peluang bagi peretas untuk menjalankan kode berbahaya dan membuka peluang bagi peretas untuk menjalankan kode berbahaya dari jarak jauh tanpa perlu melakukan autentikasi.

Meski demikian, BSSN menyebut keberhasilan eksploitasi bergantung pada kondisi pemrosesan permintaan dan konfigurasi lingkungan PHP.

BSSN turut mengungkap versi PHP yang terdampak seperti berikut: