Das Repository-Issue #1148 wurde am 21. Oktober 2026 eröffnet, nachdem PHP ein Sicherheitsupdate für CVE-2026-109618 und CVE-2026-109619 veröffentlicht hatte. Beide Schwachstellen erhielten einen CVSS-v4.0-Wert von 9,2 und die Einstufung „Critical“.

terminal
dnf update -y php8.2

Laut AWS-Support betreffen die Fehler PHP 8.2 bis 8.5 in der Standardkonfiguration. Ein nicht authentifizierter Angreifer kann damit PHP-Worker-Prozesse zum Absturz bringen. AWS bezeichnete die erreichbaren Szenarien allerdings als eng begrenzt und in der Praxis schwer auszunutzen.

Das Amazon Linux Security Center führt beide CVEs als „Important“. Damit weicht die Amazon-Linux-Bewertung von der Einstufung „Critical“ im PHP-Kontext und in anderen öffentlichen Bewertungen ab. Ein Amazon-Linux-Maintainer verwies auf unterschiedliche Bewertungssysteme und Distributionen, legte aber keine eigene technische Einstufung vor.

AWS nannte zunächst keinen Termin für die Pakete. Das Sicherheitsbulletin 2026-143 setzte später den 22. Oktober 2026 als Ziel für aktualisierte PHP-Pakete von Amazon Linux. Im Issue-Verlauf war zu diesem Zeitpunkt noch kein Paket für Amazon Linux 2023 verfügbar.

AWS erklärte, dass die aktuelle Elastic-Beanstalk-Plattform bereits eine Abhilfe enthält. Aktivierte Managed Platform Updates können laufende Umgebungen im gewählten Wartungsfenster auf diese Plattform bringen. Kunden ohne diese Funktion müssen die Plattform selbst aktualisieren. Für Lightsail wollte AWS den Fix in neue Blueprints übernehmen.

Als Community-Workaround baute ein Nutzer PHP 8.2.35 und legte ein lokales Repository samt Konfiguration in S3 ab. Anschließend wurden die Dateien über Systems Manager verteilt, mit dem Befehl `dnf update -y php8.2`. Dabei handelte es sich um einen eigenen Paketweg und nicht um das offizielle Amazon-Linux-Update.