AWS оценила уязвимость удалённого выполнения кода (RCE) в PHP как «Важную», однако клиенты Amazon Linux 2023 могут ждать патч около 20 дней. Пользователь с планом поддержки Business+ обратился в службу поддержки AWS и получил ответы, которые его не удовлетворили. В первом ответе говорилось, что сервисная команда знает о проблеме и работает над ней, но предполагаемых сроков нет, а клиентов направили на публичные страницы CVE по адресу https://explore.alas.aws.amazon.com/ для получения обновлений. Второй ответ, от сотрудника поддержки, который взял на себя обращение, вообще не касался Amazon Linux 2023.
Сотрудник подтвердил, что CVE-2026-109618 и CVE-2026-109619 затрагивают интерпретатор PHP в ветках с 8.2 по 8.5 в конфигурации по умолчанию. Эти проблемы могут позволить неаутентифицированному удалённому злоумышленнику аварийно завершать рабочие процессы PHP. AWS заявила, что достижимые сценарии ограничены и на практике их сложно использовать.
AWS сообщила, что включит исправление PHP в Elastic Beanstalk и Lightsail. Смягчение для Elastic Beanstalk появится в последней версии платформы, а работающие окружения будут автоматически обновляться в течение своего окна обслуживания через Managed Platform Updates. Lightsail подготовит исправление для новых блюпринтов. В ответе поддержки не было указано сроков для пользователей Amazon Linux 2023.
Обсуждение на Hacker News вызвало отклики нескольких пользователей и отразило интерес к тому, насколько быстро облачные провайдеры реагируют на уязвимости PHP, затрагивающие их клиентов.
Источник: Hacker News · Сводку подготовил HeadlinesBriefing