21 жовтня команда PHP випустила екстрені релізи для двох критичних вразливостей у ядрі інтерпретатора: CVE-2026-109618 і CVE-2026-109619. Ланцюжок експлойтів назвали PHP2Shell. Обидві отримали 9,2 бала за CVSS v4.0 і дозволяють віддалене виконання коду без автентифікації. Для команди, яка підтримує один сайт, це один вечір роботи. Для компанії, що веде десятки проєктів на різних гілках PHP, у різних середовищах і з різною історією, це повноцінний інцидент. Розповім, як ми в WEZOM організовуємо реагування і чому «оновити PHP» тут лише один з п’яти кроків.