PHP-Schwachstellen CVE-2026-109618 und CVE-2026-109619 („PHP2Shell)
- resolved
Zusammenfassung Zwei kritische Sicherheitslücken in der PHP-Laufzeit ("PHP2Shell") wurden am 21. Oktober 2026 öffentlich bekannt gegeben. Die Mindtickle-Plattform, einschließlich Customer Learning-Sites und Custom-Domain-Bereitstellungen, basiert hauptsächlich auf Go, JavaScript, TypeScript, Python und Java und ist nicht betroffen. Betroffene Komponente • Eine unterstützende Komponente verwendete PHP: der Backend-Service für das In-App-Feedbackformular „Report an Issue. Es ist getrennt von den Hilfeartikel-Such- und Chatfunktionen im selben Support-Panel, die auf anderen Diensten laufen und nicht betroffen sind. • Es dient dem Feedback-Formular und erhält einen Bericht, wenn ein Benutzer einen einreicht. Der Service leitet den Bericht an den Helpdesk unseres Supportteams weiter. • Es läuft separat von der Kern-Mindtickle-Plattform. Es ist nicht Teil der Art und Weise, wie Lernseiten bedient werden, wie sich Benutzer anmelden oder wie Lerninhalte und Mandantendaten gespeichert oder verarbeitet werden. Es hat keinen Zugriff auf die Systeme, die diese Daten enthalten. Sanierung • Am 23. Oktober 2026 haben wir die in der PHP-Sicherheitsempfehlung empfohlenen Konfigurationsänderungen angewendet, um das Risiko einer Ausnutzung zu reduzieren, während wir das Upgrade vorbereitet haben. • Am 24. Oktober 2026 haben wir die Komponente auf PHP 8.3.36, das feste Release, in allen Produktionsregionen aktualisiert und den Fix verifiziert. • Wir haben auch eine Anforderungsfilterungskontrolle als Verteidigungsmaßnahme hinzugefügt. Die Komponente blieb während des gesamten Betriebs, ohne Ausfallzeiten. Untersuchung • Wir haben die Protokolle vom 20. Oktober 2026, den Tag vor der Veröffentlichung, durch Behebung am 24. Oktober 2026 überprüft. • Wir fanden keine Beweise für eine Nutzung und keine Beweise dafür, dass auf Kundendaten zugegriffen oder ausgesetzt wurde. Keine Maßnahmen erforderlich • Es ist nicht erforderlich, Passwörter, API-Schlüssel, SSO-Einstellungen oder Integrationsanmeldeinformationen zu drehen. • Wir werden diese Seite weiterhin überwachen und aktualisieren, wenn sich etwas ändert. • Für Fragen, unterstützende Beweise oder eine formelle Bescheinigung, E-Mail [email protected] .
Automatisch aus der offiziellen Störungsmeldung übersetzt.