AWS ha calificado una vulnerabilidad de ejecución remota de código en PHP como Importante, pero los clientes de Amazon Linux 2023 podrían esperar unos 20 días para recibir el parche. Un usuario con un plan de soporte Business+ contactó con el soporte de AWS y recibió respuestas que consideró insatisfactorias. La primera respuesta indicaba que el equipo del servicio estaba al tanto del problema y trabajando en él, pero no había un plazo estimado, y remitía a los clientes a las páginas públicas de CVE en https://explore.alas.aws.amazon.com/ para obtener actualizaciones. La segunda respuesta, de un agente de soporte que tomó el caso, no mencionó en absoluto Amazon Linux 2023.
El agente confirmó que CVE-2026-109618 y CVE-2026-109619 afectan al intérprete de PHP en las ramas 8.2 a 8.5 con la configuración predeterminada. Los problemas pueden permitir que un actor remoto no autenticado haga que los procesos trabajadores de PHP se bloqueen. AWS afirmó que los escenarios alcanzables son limitados y que se considera difícil aprovecharlos en la práctica.
AWS indicó que incorporará la corrección de PHP en Elastic Beanstalk y Lightsail. La mitigación para Elastic Beanstalk se introducirá en la versión más reciente de la plataforma, y los entornos en ejecución se actualizarán automáticamente durante su ventana de mantenimiento mediante Managed Platform Updates. Lightsail creará la corrección para las nuevas plantillas. La respuesta de soporte no dio un calendario para los usuarios de Amazon Linux 2023.
La discusión en Hacker News suscitó reacciones de varios usuarios, lo que refleja el interés por la rapidez con la que los proveedores de nube responden a las vulnerabilidades de PHP que afectan a sus clientes.
Fuente: Hacker News · Resumido por HeadlinesBriefing