Vulnerabilități PHP CVE-2026-109618 și CVE-2026-109619 (
- resolved
Rezumat • Două vulnerabilităţi critice în timpul de funcţionare al PHP ( • Platforma Mindtickle, inclusiv site-urile de învăţare a clienţilor şi desfasurările de domenii personalizate, este construită în principal pe Go, JavaScript, TypeScript, Python şi Java şi nu este afectată. Componenta afectată • O componentă suport PHP utilizat: serviciul backend pentru in-app Acesta este separat de elementele de căutare de ajutor și de chat în același panou de sprijin, care rulează pe alte servicii și nu sunt afectate. • Serveşte formularul de feedback şi primeşte un raport atunci când un utilizator prezintă unul. Serviciul transmite raportul către echipa noastră de sprijin. • Funcționează separat de platforma Mindtickle de bază. Nu face parte din modul în care site-urile de învățare sunt servite, modul în care utilizatorii semnează sau modul în care conținutul de învățare și datele chiriașului sunt stocate sau prelucrate. Ea nu are acces la sistemele care dețin aceste date. Remediere • Pe 23 octombrie 2026, am aplicat modificările de configurare atenuante recomandate în consultarea de securitate PHP pentru a reduce riscul de exploatare în timp ce am pregătit actualizarea. • Pe 24 octombrie 2026, am actualizat componenta la PHP 8.3.36, eliberarea fixă, în toate regiunile de producție și a verificat fix. • Am adăugat, de asemenea, un control de filtrare cerere ca o măsură de apărare în profunzime. Componenta a rămas în funcţiune pe tot parcursul, fără timp de repaus. Ancheta • Am revăzut jurnalele din 20 octombrie 2026, cu o zi înainte de dezvăluirea publică, prin remediere pe 24 octombrie 2026. • Nu am găsit nici o dovadă de exploatare și nici o dovadă că datele clienților au fost accesate sau expuse. Nicio acțiune necesară • Nu este nevoie să rotiți parolele, tastele API, setările SSO sau acreditările de integrare. • Continuăm să monitorizăm și vom actualiza această pagină dacă se schimbă ceva. • Pentru întrebări, dovezi justificative, sau o atestare formală, e-mail [email protected] .
Traducere automată din actualizarea oficială a incidentului.