PHP sårbarheder CVE- 2026- 109618 og CVE- 2026- 109619 ("PHP2Shell")
- resolved
Oversigt • To kritiske sårbarheder i PHP runtime ("PHP2Shell") blev offentliggjort den 21. oktober 2026. • Mindtickle platformen, herunder kundeindlæringswebsteder og customer-domæne implementeringer, er bygget primært på Go, JavaScript, TypeScript, Python og Java, og er ikke påvirket. Berørt komponent • En støttekomponent brugt PHP: backend service for in-app "Rapport et problem" feedback formular. Det er adskilt fra help- artikel søgning og chat funktioner i samme support panel, som kører på andre tjenester og er ikke påvirket. • Det tjener feedback formular og modtager en rapport, når en bruger indsender en. Tjenesten sender rapporten til vores supportholds helpdesk. • Det kører adskilt fra kernen Mindtickle platform. Det er ikke en del af, hvordan læringswebsteder betjenes, hvordan brugerne logger ind, eller hvordan læringsindhold og lejerdata lagres eller behandles. Det har ingen adgang til de systemer, der indeholder disse data. Rengøring • På 23 okt 2026, anvendte vi de formildende konfigurationsændringer anbefales i PHP sikkerhed rådgivning for at reducere risikoen for udnyttelse, mens vi forberedt opgraderingen. • På 24 okt 2026 opgraderede vi komponenten til PHP 8.3.36, den faste udgivelse, på tværs af alle produktionsområder og verificerede fixet. • Vi tilføjede også en anmodning-filtrering kontrol som en forsvars- in- dybde foranstaltning. Komponenten forblev i drift hele tiden, uden nedetid. Undersøgelse • Vi gennemgik logs fra 20 okt 2026, dagen før offentliggørelse, gennem oprensning på 24 okt 2026. • Vi fandt ingen beviser for udnyttelse og ingen beviser for, at nogen kundedata var tilgængelige eller udsat. Ingen handling påkrævet • Der er ingen grund til at rotere adgangskoder, API nøgler, SSO indstillinger, eller integration legitimation. • Vi fortsætter med at overvåge og vil opdatere denne side, hvis noget ændres. • For spørgsmål, dokumentation eller en formel erklæring, e-mail infosec @ mindtickle.com.
Automatisk oversat fra den officielle hændelsesopdatering.