AWS menilai kerentanan eksekusi kode jarak jauh (RCE) pada PHP sebagai "Penting", tetapi pelanggan Amazon Linux 2023 mungkin harus menunggu sekitar 20 hari untuk patch. Seorang pengguna dengan paket dukungan Business+ menghubungi dukungan AWS dan menerima tanggapan yang tidak memuaskan. Tanggapan pertama menyebutkan bahwa tim layanan telah mengetahui masalah tersebut dan sedang menanganinya, tetapi tidak ada perkiraan waktu yang tersedia, dan pelanggan diarahkan ke halaman CVE publik di https://explore.alas.aws.amazon.com/ untuk pembaruan. Tanggapan kedua, dari agen dukungan yang mengambil alih kasus tersebut, sama sekali tidak membahas Amazon Linux 2023.
Agen tersebut mengonfirmasi bahwa CVE-2026-109618 dan CVE-2026-109619 memengaruhi interpreter PHP di cabang 8.2 hingga 8.5 dengan konfigurasi default. Masalah ini dapat memungkinkan aktor jarak jauh yang tidak terautentikasi membuat proses worker PHP mengalami crash. AWS menyatakan bahwa skenario yang dapat dijangkau cukup terbatas dan dinilai sulit dieksploitasi dalam praktik.
AWS menyatakan akan memasukkan perbaikan PHP ke Elastic Beanstalk dan Lightsail. Mitigasi untuk Elastic Beanstalk akan diperkenalkan pada versi platform terbaru, dan lingkungan yang sedang berjalan akan diperbarui secara otomatis selama jendela pemeliharaannya melalui Managed Platform Updates. Lightsail akan membuat perbaikan untuk blueprint baru. Tanggapan dukungan tidak memberikan jadwal bagi pengguna Amazon Linux 2023.
Diskusi di Hacker News menarik reaksi dari sejumlah pengguna, mencerminkan minat terhadap seberapa cepat penyedia cloud merespons kerentanan PHP yang berdampak pada pelanggan mereka.
Sumber: Hacker News · Diringkas oleh HeadlinesBriefing