PHP2Shell)
- resolved
Streszczenie • Dwie krytyczne słabości w runtime PHP ("PHP2Shell") zostały ujawnione publicznie 21 października 2026 roku. • Platforma Mindtickle, w tym witryny do nauki klientów i aplikacje domen dostosowanych do indywidualnych potrzeb, jest zbudowana głównie na Go, JavaScript, TypeScript, Python i Java, i nie ma wpływu. Element dotknięty • Jeden komponent pomocniczy używany w PHP: usługa backend dla in- app "Report an issue" feedback form. Jest oddzielony od funkcji wyszukiwania i czatu help- article w tym samym panelu wsparcia, które działają na innych usługach i nie są naruszone. • Służy on formularzowi informacji zwrotnej i otrzymuje raport, gdy użytkownik go składa. Służba przekazuje raport do naszego zespołu wsparcia. • Działa oddzielnie od głównej platformy Mindtickle. Nie jest to część sposobu obsługi stron edukacyjnych, sposobu logowania się użytkowników ani sposobu przechowywania lub przetwarzania treści edukacyjnych i danych lokatorów. Nie ma dostępu do systemów przechowujących te dane. Leczenie • W dniu 23 października 2026 roku zastosowaliśmy zmiany konfiguracji łagodzącej zalecane w doradcy bezpieczeństwa PHP w celu zmniejszenia ryzyka eksploatacji podczas przygotowywania aktualizacji. • W dniu 24 października 2026 roku uaktualniliśmy komponent do PHP 8.3.36, stałego wydania, we wszystkich regionach produkcji i zweryfikowaliśmy fix. • Dodaliśmy również kontrolę filtrowania zapytania jako środek defense- in- głębokości. Składnik pozostał w użyciu przez cały czas, bez przestoju. Dochodzenie • Sprawdziliśmy dzienniki z 20 października 2026, dzień przed ujawnieniem opinii publicznej, poprzez rekultywację 24 października 2026. • Nie znaleźliśmy żadnych dowodów na wykorzystanie ani dowodów na to, że dane klienta były dostępne lub ujawnione. Nie jest wymagane działanie • Nie ma potrzeby obracania haseł, klawiszy API, ustawień SSO lub referencji integracyjnych. • Kontynuujemy monitorowanie i będziemy aktualizować tę stronę, jeśli coś się zmieni. • W przypadku pytań, dowodów potwierdzających lub formalnego zaświadczenia, e-mail infosec @ mindtickle.com.
Automatyczne tłumaczenie oficjalnej aktualizacji incydentu.