Le problème n'a jamais été et ne sera jamais PHP (il n'a jamais été aussi rapide, moderne et efficace qu'en 2026), c'est comme dire que C est un problème qu'il faut supprimer "parce que tu comprends, malloc, c'est le mal absolu".
On parle de deux CVEs qui étaient au sein même du code C de PHP, de deux CVE qui ont survécu à des années de review et qui n'ont été patchées que parce que certaines structures ont consenties à donner de l'argent et des moyens à la CT PHP pour patcher ces failles.
Le problème n'est pas PHP, le problème réside dans le fait que des millions de développeurs utilisent PHP sans verser un centime pour le soutenir / maintenir.
Faites ruisseler l'argent vers PHP et nous n'aurons plus ce problème.
PS: Un chercheur en cybersécu aux USA consomme plus de 400K dollars en jetons par mois, PHP survit avec ~800K annuel, cherchez l'erreur.
Il faut migrer PHP quitte à générer de la casse sur le site web (et du temps à reconstruire le code). Exposé en frontal sur Internet avec un PHP obsolète non corrigeable, c'est vraiment dangereux.