パッチが21日の日本時間23:00に公開されるみたいですが、攻撃者からすると攻撃手段も公開されるという事です
つまりタイムアタックになります
The PHP security team is giving advance notice: Upcoming security release Wed, Oct 21st 2026, 14:00UTC, two critical vulnerabilities, both rated CVSSv4 9.2.
PHP users are encouraged to prepare to update. Earlier release if details become public or active exploit evidence.