Dwa krytyczne exploity w PHP, języku zasilającym 70 procent stron internetowych, wyzwoliły alarm w branży, zmuszając firmy do desperackiego naprawiania oraz w niektórych przypadkach wyłączania serwisów do czasu wdrożenia poprawek. Luki otrzymały nazwy PHP2Shell, co sugeruje bezpośrednią ścieżkę do przejęcia kontroli nad serwerami. Szef techniczny firmy Wiza, specjalizującej się w bezpieczeństwie, ostrzega, że incydent może sygnalizować początek znacznie większej fali zagrożeń bezpieczeństwa w ekosystemie open source.
Ostrzeżenie o "vulnpocalypse" nie jest przypadkowym hype'em. Infrastruktura internetu opiera się na niemal nieprzeliczonych aplikacjach open source, z których wiele nie ma wystarczającego wsparcia, audytów bezpieczeństwa ani szybkich kanałów dystrybucji patchy. PHP to nieznośnie popularna, ale również nieznośnie trudna do utrzymania baza kodu, gdzie każda luka może potencjalnie dotknąć miliony serwerów jednocześnie. Problem pogarsza fakt, że wiele organizacji korzysta z niewykonanych aktualizacji, czasami przez lata.
Konsekwencje mogą być daleko idące. Zaatakowane serwery mogą służyć do dystrybuowania malware'u, kradzieży danych użytkowników lub budowy botnetów. Badacze zwracają uwagę na konieczność reform w modelu utrzymaniaOpen Source, włącznie z lepszym finansowaniem projektów krytycznych, obowiązkowym security reviewem oraz zautomatyzowanymi systemami alertów.