AWSはPHPのリモートコード実行（RCE）の脆弱性を「重要」と評価しましたが、Amazon Linux 2023の顧客はパッチの提供まで約20日待つ可能性があります。Business+サポートプランの利用者がAWSサポートに問い合わせたところ、満足のいかない回答を受け取りました。最初の回答では、サービスチームが問題を認識して対応中であるものの、見積もりの期限はないとされ、更新情報については https://explore.alas.aws.amazon.com/ の公開CVEページを確認するよう案内されました。ケースを引き継いだサポート担当者からの2回目の回答では、Amazon Linux 2023については一切触れられていませんでした。
担当者は、CVE-2026-109618とCVE-2026-109619が、デフォルト設定のブランチ8.2から8.5のPHPインタプリタに影響することを確認しました。これらの問題により、認証を必要としないリモートの攻撃者がPHPのワーカープロセスをクラッシュさせる可能性があります。AWSは、到達可能なシナリオは限定的であり、実際に悪用するのは困難であると評価しています。
AWSは、PHPの修正をElastic BeanstalkとLightsailに組み込む予定だと述べました。Elastic Beanstalkの緩和策は最新のプラットフォームバージョンで提供され、稼働中の環境はManaged Platform Updatesを通じて、メンテナンスウィンドウ中に自動的に更新されます。Lightsailは新しいブループリント向けに修正を作成します。サポートの回答では、Amazon Linux 2023の利用者向けのスケジュールは示されませんでした。
Hacker Newsでの議論では複数のユーザーから反応があり、顧客に影響するPHPの脆弱性にクラウドプロバイダーがどれだけ迅速に対応するかへの関心がうかがえます。
出典: Hacker News · 要約：HeadlinesBriefing