ผู้ใช้เว็บบอร์ด Hacker News ที่ใช้ชื่อบัญชี cloudlandsdev เปิดตัวเว็บ stealmybitcoin.com เป็นเว็บ PHP ง่ายๆ ที่วางกุญแจลับของบิตคอยน์เอาไว้ภายใน เพื่อทดสอบว่าการติดตั้ง PHP แบบปกติมีความเสี่ยงจริงหรือไม่ และสุดท้ายนักวิจัยก็ขโมยเอาบิตคอยน์ออกไปได้ภายในเวลา 19.28 ชั่วโมงเท่านั้น

แนวทางการทดสอบของ cloudlandsdev คือการติดตั้ง PHP ผ่านทาง nginx FPM ที่ได้รับความนิยมสูงกว่า mod_php อย่างมากในช่วงหลัง เนื่องจากต้องการพิสูจน์ว่าช่องโหว่ PHP2Shell ไม่ได้น่ากลัวอย่างที่เป็นข่าวหากพิจารณาว่าคนส่วนใหญ่ติดตั้ง PHP ผ่าน FPM

PHP ปล่อยแพตช์เวอร์ชั่น 8.5.12, 8.4.27, 8.3.36, และ 8.2.35 ตามที่ประกาศไว้ก่อนหน้านี้ แก้ไขช่องโหว่รันโค้ดระยะไกลโดยไม่ต้องล็อกอิน ช่องโหว่นี้กระทบการใช้งานแทบทุกรูปแบบ แต่ความเสี่ยงในแบบ Apache + mod_php มีความเสี่ยงสูงสุด

ช่องโหว่นี้ถูกเรียกชื่อสั้นๆ ว่า PHP2Shell โดยจริงๆ มีสองรายการ ได้แก่

โครงการ PHP ประกาศเตรียมปล่อยแพตช์ความปลอดภัย แก้ไขช่องโหว่ระดับวิกฤตสองรายการ ในเวลา 14.00 UTC หรือสามทุ่มตรงตามเวลาประเทศไทย

ตอนนี้ยังไม่มีการเปิดเผยรายละเอียดช่องโหว่ แต่ทาง PHP ระบุเพียงว่าช่องโหว่มีคะแนนความร้ายแรงตาม CVSS v4.0 อยู่ที่ 9.2 คะแนน โดยก่อนหน้านี้มีข่าวลือว่าเป็นช่องโหว่รันโค้ดระยะไกลที่กระทบเป็นวงกว้าง มีผลตั้งแต่ PHP 5 ขึ้นมาจนถึงเวอร์ชันล่าสุด

แม้ว่าจะประกาศล่วงหน้าไว้หนึ่งวัน แต่ทาง PHP สงวนสิทธิ์ที่จะปล่อยแพตช์ออกมาก่อนหากพบว่ามีการโจมตีหรือมีข่าวรั่ว

PHP ออกเวอร์ชั่น 8.5 นับเป็นการอัพเดตใหญ่ตามรอบประจำปี โดยมีฟีเจอร์ปรับปรุงหลายประการ

Jordy Zomer นักวิจัยความปลอดภัย รายงานถึงช่องโหว่ในฟังก์ชั่น filter_var ของภาษา PHP ที่มีช่องโหว่ทำให้การกรองข้อมูลตอบว่ากรองสำเร็จแม้ที่จริงไม่ได้กรองก็ตาม

Zomer ระบุว่าแจ้งทีมงาน PHP ไปแล้วหลายครั้งแต่ไม่ได้รับการตอบรับ แม้จะให้แพตช์แก้ช่องโหว่ไปด้วย จึงตัดสินใจเปิดเผยช่องโหว่นี้ต่อสาธารณะ (เขาไม่ได้ให้ timeline ว่าติดต่อไปยังทีมงานช่วงเวลาใดบ้าง) ทางด้านโครงการ PHP เองช่วงหลังประสบปัญหานักพัฒนาหลักลาออก อาจจะกระทบต่อการตอบรับรายงานของนักวิจัยภายนอก

PHP ออกรุ่น 8.1.0 หลังจาก 8.0.0 หนึ่งปีพอดี โดยมีฟีเจอร์ใหม่ๆ หลายอย่าง เช่น

กลุ่มบริษัทไอที 10 บริษัทประกาศร่วมก่อตั้ง PHP Foundation องค์กรกลางสำหรับดูแลภาษา PHP เต็มเวลา หลังจาก Nikita Popov นักพัฒนาหลักของ PHP ที่ทำงานกับ JetBrains ลาออกจากบริษัทและหันไปทำงานในโครงการ LLVM เป็นหลัก

บริษัทที่ร่วมก่อตั้งมูลนิธิครั้งนี้ได้แก่ Automattic (Wordpress), Laravel, Acquia (Drupal), Zend, Private Packagist, Symfony, Craft CMS, Tideways, PrestaShop, และ JetBrains โดยคาดว่าจะระดมทุนเป็นงบประมาณสำหรับนักพัฒนาหลักได้ปีละ 300,000 ดอลลาร์ เบื้องต้น JetBrains ประกาศว่าจะสนับสนุนปีละ 100,000 ดอลลาร์