Vulnerabilidades PHP CVE-2026-109618 e CVE-2026-109619 (“PHP2Shell”)
- resolved
Resumo • Duas vulnerabilidades críticas na execução do PHP (“PHP2Shell”) foram divulgadas publicamente em 21 de outubro de 2026. • A plataforma Mindtickle, incluindo sites de aprendizagem de clientes e implantações de domínio personalizado, é construída principalmente em Go, JavaScript, TypeScript, Python e Java, e não é afetada. Componente afectado • Um componente de suporte usou PHP: o serviço de infraestrutura para o formulário de feedback “Relatar um problema” no aplicativo. Está separado dos recursos de pesquisa e chat de artigos de ajuda no mesmo painel de suporte, que são executados em outros serviços e não são afetados. • Serve o formulário de feedback e recebe um relatório quando um usuário envia um. O serviço encaminha o relatório para o helpdesk da nossa equipe de apoio. • Funciona separadamente da plataforma Mindtickle central. Não faz parte de como os sites de aprendizagem são servidos, como os usuários entram, ou como o conteúdo de aprendizagem e os dados do inquilino são armazenados ou processados. Não tem acesso aos sistemas que mantêm esses dados. Remediação • Em 23 de outubro de 2026, aplicamos as alterações de configuração atenuantes recomendadas no parecer de segurança do PHP para reduzir o risco de exploração enquanto preparamos a atualização. • Em 24 de outubro de 2026, atualizamos o componente para PHP 8.3.36, o lançamento fixo, em todas as regiões de produção e verificamos a correção. • Também adicionamos um controle de filtragem de pedidos como medida de defesa em profundidade. O componente permaneceu em serviço durante todo o período, sem tempo de parada. Inquérito • Revisamos logs de 20 de outubro de 2026, um dia antes da divulgação pública, através de remediação em 24 de outubro de 2026. • Nós não encontramos nenhuma evidência de exploração e nenhuma evidência de que qualquer dado do cliente foi acessado ou exposto. Nenhuma ação necessária • Não há necessidade de rodar senhas, chaves de API, configurações de SSO ou credenciais de integração. • Continuamos a monitorar e atualizaremos esta página se alguma coisa mudar. • Para perguntas, evidências de suporte, ou um atestado formal, email [email protected] .
Traduzido automaticamente da atualização oficial do incidente.