Vulnerabilidades PHP CVE-2026-109618 y CVE-2026-109619 (“PHP2Shell”)
- resolved
Resumen • Dos vulnerabilidades críticas en el tiempo de ejecución de PHP (“PHP2Shell”) fueron divulgadas públicamente el 21 de octubre de 2026. • La plataforma Mindtickle, incluyendo sitios de aprendizaje de clientes y implementaciones de dominio personalizado, se construye principalmente en Go, JavaScript, TypeScript, Python y Java, y no se ve afectada. Componente afectado • Un componente de soporte utilizado PHP: el servicio de backend para el formulario de respuesta de “Informe un problema”. Está separado de las funciones de búsqueda y chat de partículas de ayuda en el mismo panel de soporte, que se ejecutan en otros servicios y no se ven afectados. • Sirve el formulario de comentarios y recibe un informe cuando un usuario envía uno. El servicio envía el informe a la ayuda de nuestro equipo de apoyo. • Funciona separadamente de la plataforma central Mindtickle. No es parte de cómo se sirven los sitios de aprendizaje, cómo se registran los usuarios o cómo se almacenan o procesan los datos de aprendizaje y de inquilinos. No tiene acceso a los sistemas que contienen esos datos. Remediación • El 23 de octubre de 2026, aplicamos los cambios de configuración atenuantes recomendados en la asesoría de seguridad de PHP para reducir el riesgo de explotación mientras preparamos la actualización. • El 24 de octubre de 2026, actualizamos el componente a PHP 8.3.36, la versión fija, en todas las regiones de producción y verificamos la fijación. • También añadimos un control de llenado de solicitudes como medida de defensa en profundidad. El componente permaneció en servicio durante todo el tiempo, sin tiempo de inactividad. Investigación • Revisamos los registros del 20 de octubre de 2026, el día antes de la divulgación pública, a través de la rehabilitación el 24 de octubre de 2026. • No encontramos evidencia de explotación ni evidencia de que se accedieron o expusieron datos de clientes. No se requieren medidas • No es necesario rotar contraseñas, claves de API, configuraciones de SSO o credenciales de integración. • Continuamos monitoreando y actualizaremos esta página si algo cambia. • Para preguntas, pruebas de apoyo, o una certificación formal, email [email protected] .
Traducido automáticamente desde la actualización oficial del incidente.