Vulnerabilità PHP CVE-2026-109618 e CVE-2026-109619 (“PHP2Shell”)
- resolved
Sintesi • Due vulnerabilità critiche nel runtime PHP (“PHP2Shell”) sono state divulgate pubblicamente il 21 ottobre 2026. • La piattaforma Mindtickle, inclusi i siti di customer learning e le implementazioni personalizzate-domain, è costruita principalmente su Go, JavaScript, TypeScript, Python e Java, e non è interessata. Componente interessato • Un componente di supporto utilizzato PHP: il servizio di backend per il modulo di feedback in-app “Reporta un problema”. È separato dalle funzioni di ricerca e chat di help-article nello stesso pannello di supporto, che funzionano su altri servizi e non sono interessati. • Serve il modulo di feedback e riceve un rapporto quando un utente lo invia. Il servizio trasmette il rapporto all’helpdesk del nostro team di supporto. • Funziona separatamente dalla piattaforma di base Mindtickle. Non fa parte di come vengono serviti i siti di apprendimento, di come gli utenti si accedono, o di come i contenuti di apprendimento e i dati inquilini vengono memorizzati o elaborati. Non ha accesso ai sistemi che tengono quei dati. Rimediazione • Il 23 ottobre 2026, abbiamo applicato i cambiamenti di configurazione mitiganti raccomandati nella consulenza di sicurezza PHP per ridurre il rischio di sfruttamento mentre abbiamo preparato l'aggiornamento. • Il 24 ottobre 2026, abbiamo aggiornato il componente a PHP 8.3.36, il rilascio fisso, in tutte le regioni di produzione e verificato la correzione. • Abbiamo anche aggiunto un controllo di filtraggio delle richieste come misura approfondita della difesa. Il componente è rimasto in servizio durante tutto, senza downtime. Investigazione • Abbiamo esaminato i registri dal 20 ottobre 20, 2026, il giorno prima della divulgazione pubblica, attraverso la bonifica il 24 ottobre 2026. • Non abbiamo trovato alcuna prova di sfruttamento e nessuna prova che i dati dei clienti siano stati accessibili o esposti. Nessuna azione richiesta • Non è necessario ruotare password, chiavi API, impostazioni SSO o credenziali di integrazione. • Continuiamo a monitorare e aggiorneremo questa pagina se qualcosa cambia. • Per domande, prove di supporto o attestazione formale, e-mail [email protected] .
Tradotto automaticamente dall'aggiornamento ufficiale dell'incidente.