AWS a classé une vulnérabilité d'exécution de code à distance (RCE) dans PHP comme « Importante », mais les clients d'Amazon Linux 2023 pourraient attendre environ 20 jours pour le correctif. Un utilisateur disposant d'un forfait de support Business+ a contacté le support AWS et a reçu des réponses qu'il a jugées insatisfaisantes. La première réponse indiquait que l'équipe du service était au courant du problème et y travaillait, mais aucun délai estimé n'était disponible ; elle renvoyait les clients vers les pages CVE publiques sur https://explore.alas.aws.amazon.com/ pour les mises à jour. La seconde réponse, émanant d'un agent de support ayant repris le dossier, n'abordait pas du tout Amazon Linux 2023.
L'agent a confirmé que CVE-2026-109618 et CVE-2026-109619 affectent l'interpréteur PHP dans les branches 8.2 à 8.5 avec la configuration par défaut. Ces failles peuvent permettre à un acteur distant non authentifié de faire planter les processus workers de PHP. AWS a indiqué que les scénarios accessibles sont restreints et jugés difficiles à exploiter en pratique.
AWS a déclaré qu'il intégrera le correctif PHP à Elastic Beanstalk et à Lightsail. L'atténuation pour Elastic Beanstalk sera introduite dans la dernière version de la plateforme, et les environnements en cours d'exécution seront mis à jour automatiquement pendant leur fenêtre de maintenance via Managed Platform Updates. Lightsail construira le correctif pour les nouveaux blueprints. La réponse du support ne donnait aucun calendrier pour les utilisateurs d'Amazon Linux 2023.
La discussion sur Hacker News a suscité les réactions de plusieurs utilisateurs, traduisant l'intérêt pour la rapidité avec laquelle les fournisseurs de cloud réagissent aux vulnérabilités PHP touchant leurs clients.
Source: Hacker News · Résumé par HeadlinesBriefing