A AWS classificou uma vulnerabilidade de execução remota de código (RCE) no PHP como "Importante", mas os clientes do Amazon Linux 2023 podem esperar cerca de 20 dias pela correção. Um usuário com plano de suporte Business+ entrou em contato com o suporte da AWS e recebeu respostas que considerou insatisfatórias. A primeira resposta informou que a equipe do serviço estava ciente do problema e trabalhando nele, mas não havia previsão de conclusão, e direcionou os clientes para as páginas públicas de CVE em https://explore.alas.aws.amazon.com/ para atualizações. A segunda resposta, de um agente de suporte que assumiu o caso, não mencionou o Amazon Linux 2023.
O agente confirmou que CVE-2026-109618 e CVE-2026-109619 afetam o interpretador PHP nas branches 8.2 a 8.5 na configuração padrão. Os problemas podem permitir que um ator remoto não autenticado derrube processos de worker do PHP. A AWS afirmou que os cenários alcançáveis são restritos e avaliados como difíceis de explorar na prática.
A AWS disse que incorporará a correção do PHP ao Elastic Beanstalk e ao Lightsail. A mitigação para o Elastic Beanstalk será introduzida na versão mais recente da plataforma, e os ambientes em execução serão atualizados automaticamente durante sua janela de manutenção, por meio do Managed Platform Updates. O Lightsail criará a correção para novos blueprints. A resposta do suporte não apresentou cronograma para os usuários do Amazon Linux 2023.
A discussão no Hacker News gerou reações de vários usuários, refletindo o interesse em saber a rapidez com que provedores de nuvem respondem a vulnerabilidades do PHP que afetam seus clientes.
Fonte: Hacker News · Resumido por HeadlinesBriefing