AWS已将一个PHP远程代码执行漏洞评为“重要”级别，但Amazon Linux 2023客户可能需要等待约20天才能获得补丁。一位拥有Business+支持计划的用户联系了AWS支持，收到的回复令其不满意。第一条回复称服务团队已知悉该问题并正在处理，但没有提供预计完成时间，并指引客户查看位于https://explore.alas.aws.amazon.com/的公开CVE页面以获取更新。接手该案例的第二位支持人员的回复则根本没有提及Amazon Linux 2023。
该支持人员确认，CVE-2026-109618和CVE-2026-109619影响8.2至8.5分支中默认配置下的PHP解释器。这些问题可能使未经身份验证的远程攻击者导致PHP工作进程崩溃。AWS表示，可被利用的场景十分有限，实际利用难度较大。
AWS表示，将把PHP修复整合到Elastic Beanstalk和Lightsail中。Elastic Beanstalk的缓解措施将在最新平台版本中推出，正在运行的环境将通过托管平台更新（Managed Platform Updates）在其维护窗口期间自动更新。Lightsail将为新的蓝图构建修复程序。支持人员的回复未给出Amazon Linux 2023用户的时间表。
Hacker News上的讨论引发了多位用户的关注，反映出人们对云服务提供商应对影响其客户的PHP漏洞速度的兴趣。
来源: Hacker News · 由HeadlinesBriefing整理摘要