PHP τρωτά σημεία CVE-2026-109618 και CVE-2026-109619 («PHP2shell»)
- resolved
Περίληψη • Δύο κρίσιμα τρωτά σημεία στο χρόνο PHP («PHP2Shell») δημοσιοποιήθηκαν στις 21 Οκτ 2026. • Η πλατφόρμα Mindtickle, συμπεριλαμβανομένων των ιστοτόπων εκμάθησης πελατών και custom-domain ανάπτυξη, είναι χτισμένο κατά κύριο λόγο σε Go, JavaScript, TypeScript, Python, και Java, και δεν επηρεάζεται. Επηρεαζόμενο συστατικό • Ένα βοηθητικό συστατικό που χρησιμοποιείται PHP: η υπηρεσία υποστήριξης για το έντυπο ενημέρωσης in-app “Report an issue”. Είναι ξεχωριστό από τα χαρακτηριστικά αναζήτησης και συνομιλίας του ίδιου πίνακα υποστήριξης, τα οποία εκτελούνται σε άλλες υπηρεσίες και δεν επηρεάζονται. • Εξυπηρετεί τη φόρμα ανατροφοδότησης και λαμβάνει αναφορά όταν ένας χρήστης υποβάλλει μία. Η υπηρεσία προωθεί την έκθεση στο γραφείο υποστήριξης της ομάδας μας. • Τρέχει ξεχωριστά από τον πυρήνα της πλατφόρμας Mindickle. Δεν είναι μέρος του τρόπου με τον οποίο σερβίρονται οι ιστότοποι μάθησης, του τρόπου σύνδεσης των χρηστών, ή του τρόπου με τον οποίο αποθηκεύονται ή επεξεργάζονται το περιεχόμενο μάθησης και τα δεδομένα των ενοικιαστών. Δεν έχει πρόσβαση στα συστήματα που κρατούν αυτά τα δεδομένα. Διόρθωση • Στις 23 Οκτ 2026, εφαρμόσαμε τις ελαφρυντικές αλλαγές διαμόρφωσης που συνιστώνται στη συμβουλευτική για την ασφάλεια PHP για τη μείωση του κινδύνου εκμετάλλευσης ενώ προετοιμάζαμε την αναβάθμιση. • Στις 24 Οκτ 2026, αναβαθμίσαμε το εξάρτημα σε PHP 8.3.36, τη σταθερή απελευθέρωση, σε όλες τις περιοχές παραγωγής και επαλήθευσε τη διόρθωση. • Προσθέσαμε επίσης έναν έλεγχο φιλτραρίσματος ως μέτρο σε βάθος άμυνας. Το εξάρτημα παρέμεινε σε λειτουργία καθ 'όλη τη διάρκεια, χωρίς χρόνο διακοπής λειτουργίας. Έρευνα • Εξετάσαμε τα αρχεία καταγραφής από τις 20 Οκτωβρίου 2026, την ημέρα πριν από τη δημοσιοποίηση, μέσω αποκατάστασης στις 24 Οκτωβρίου 2026. • Δεν βρήκαμε κανένα στοιχείο εκμετάλλευσης και κανένα στοιχείο ότι προσπελάστηκαν ή εκτέθηκαν δεδομένα πελατών. Δεν απαιτείται ενέργεια • Δεν υπάρχει καμία ανάγκη να περιστρέφονται κωδικοί πρόσβασης, API κλειδιά, SSO ρυθμίσεις, ή διαπιστευτήρια ενσωμάτωσης. • Συνεχίζουμε να παρακολουθούμε και θα ενημερώσουμε αυτή τη σελίδα αν αλλάξει κάτι. • Για ερωτήσεις, αποδεικτικά στοιχεία ή επίσημη βεβαίωση, email [email protected] .
Αυτόματη μετάφραση από την επίσημη ενημέρωση του συμβάντος.