Уязвимости PHP CVE-2026-109618 и CVE-2026-109619 («PHP2Shell»)
- resolved
Резюме Две критические уязвимости во время выполнения PHP (PHP2Shell) были публично раскрыты 21 октября 2026 года. Платформа Mindtickle, включая сайты обучения клиентов и развертывания пользовательских доменов, построена в основном на Go, JavaScript, TypeScript, Python и Java и не затронута. Пострадавший компонент Один поддерживающий компонент использовал PHP: бэкэнд-сервис для формы обратной связи в приложении «Сообщить о проблеме». Он отделен от функций поиска и чата в той же панели поддержки, которые работают на других сервисах и не затрагиваются. Он обслуживает форму обратной связи и получает отчет, когда пользователь отправляет его. Сервис направляет отчет в службу поддержки нашей команды. Он работает отдельно от основной платформы Mindtickle. Это не часть того, как обслуживаются учебные сайты, как пользователи входят в систему или как хранится или обрабатывается учебный контент и данные арендаторов. Он не имеет доступа к системам, которые хранят эти данные. Восстановление 23 октября 2026 года мы применили смягчающие изменения конфигурации, рекомендованные в рекомендациях по безопасности PHP, чтобы снизить риск эксплуатации. 24 октября 2026 года мы обновили компонент до PHP 8.3.36, фиксированного выпуска, во всех производственных регионах и проверили исправление. Мы также добавили контроль фильтрации запросов в качестве меры защиты. Компонент оставался в эксплуатации на протяжении всего времени, без простоев. Расследование Мы рассмотрели журналы от 20 октября 2026 года, за день до публичного раскрытия, путем исправления 24 октября 2026 года. Мы не нашли никаких доказательств эксплуатации и никаких доказательств того, что какие-либо данные о клиентах были доступны или раскрыты. Никаких действий не требуется • Нет необходимости поворачивать пароли, ключи API, настройки SSO или учетные данные интеграции. Мы продолжаем отслеживать и обновлять эту страницу, если что-то изменится. • Для вопросов, подтверждающих доказательств или официальной аттестации, по электронной почте [email protected].
Автоматический перевод официального обновления инцидента.