Vulnérabilités PHP CVE-2026-109618 et CVE-2026-109619
- resolved
Résumé • Deux vulnérabilités critiques dans le temps d'exécution PHP ont été divulguées le 21 octobre 2026. • La plateforme Mindtickle, y compris les sites d'apprentissage des clients et les déploiements sur mesure, est construite principalement sur Go, JavaScript, TypeScript, Python et Java, et n'est pas affectée. Composante affectée • Un composant de support a utilisé PHP: le service de backend pour l'application. Il est séparé des fonctions de recherche d'articles d'aide et de chat dans le même panneau de support, qui fonctionnent sur d'autres services et ne sont pas affectés. • Il sert le formulaire de rétroaction et reçoit un rapport lorsqu'un utilisateur en soumet un. Le service transmet le rapport à notre service d'assistance. • Il fonctionne séparément de la plate-forme Mindtickle centrale. Il ne fait pas partie de la façon dont les sites d'apprentissage sont desservis, de la façon dont les utilisateurs se connectent, ni de la façon dont le contenu d'apprentissage et les données des locataires sont stockés ou traités. Elle n'a pas accès aux systèmes qui détiennent ces données. Réparation • Le 23 octobre 2026, nous avons appliqué les modifications de configuration d'atténuation recommandées dans l'avis de sécurité PHP pour réduire le risque d'exploitation pendant que nous préparions la mise à niveau. • Le 24 octobre 2026, nous avons mis le composant à niveau en PHP 8.3.36, la version fixe, dans toutes les régions de production et avons vérifié la correction. • Nous avons également ajouté un contrôle de filtrage des requêtes comme mesure de défense en profondeur. La composante est restée en service tout au long de la période sans interruption. Enquête • Nous avons examiné les registres depuis le 20 octobre 2026, la veille de la divulgation publique, grâce à des mesures correctives le 24 octobre 2026. • Nous n'avons trouvé aucune preuve d'exploitation et aucune preuve d'accès ou d'exposition aux données des clients. Aucune mesure nécessaire • Il n'est pas nécessaire de faire pivoter les mots de passe, les clés API, les paramètres SSO ou les identifiants d'intégration. • Nous continuons à surveiller et mettrons à jour cette page si quelque chose change. • Pour toute question, preuve à l'appui ou attestation formelle, envoyez un courriel à [email protected] .
Traduit automatiquement depuis la mise à jour officielle de l'incident.