AWS hat eine Schwachstelle zur Remote-Codeausführung (RCE) in PHP als „Wichtig“ eingestuft, doch Kunden von Amazon Linux 2023 müssen unter Umständen rund 20 Tage auf den Patch warten. Ein Nutzer mit einem Business+-Supportplan wandte sich an den AWS-Support und erhielt Antworten, die er als unbefriedigend empfand. Die erste Antwort besagte, dass das Serviceteam das Problem kenne und daran arbeite, es gebe jedoch keine Zeitschätzung, und verwies Kunden für Updates auf die öffentlichen CVE-Seiten unter https://explore.alas.aws.amazon.com/. Die zweite Antwort, von einem Support-Mitarbeiter, der den Fall übernahm, ging überhaupt nicht auf Amazon Linux 2023 ein.
Der Mitarbeiter bestätigte, dass CVE-2026-109618 und CVE-2026-109619 den PHP-Interpreter in den Zweigen 8.2 bis 8.5 bei Standardkonfiguration betreffen. Die Probleme können einem nicht authentifizierten Angreifer aus der Ferne ermöglichen, PHP-Worker-Prozesse zum Absturz zu bringen. AWS erklärte, die erreichbaren Szenarien seien eng begrenzt und in der Praxis schwer auszunutzen.
AWS teilte mit, den PHP-Fix in Elastic Beanstalk und Lightsail einzubauen. Die Minderung für Elastic Beanstalk wird in der neuesten Plattformversion eingeführt, laufende Umgebungen werden während ihres Wartungsfensters automatisch über Managed Platform Updates aktualisiert. Lightsail wird den Fix für neue Blueprints bereitstellen. Die Support-Antwort nannte keinen Zeitplan für Nutzer von Amazon Linux 2023.
Die Diskussion auf Hacker News stieß auf Reaktionen mehrerer Nutzer und spiegelt das Interesse daran wider, wie schnell Cloud-Anbieter auf PHP-Schwachstellen reagieren, die ihre Kunden betreffen.
Quelle: Hacker News · Zusammengefasst von HeadlinesBriefing