La incidencia #1148 del repositorio de Amazon Linux 2023 se abrió el 21 de octubre de 2026, después de que PHP publicara una actualización de seguridad para CVE-2026-109618 y CVE-2026-109619. Ambas vulnerabilidades tienen una puntuación CVSS v4.0 de 9,2 y la categoría Critical.

terminal
dnf update -y php8.2

Según el soporte de AWS, los fallos afectan a PHP 8.2 hasta 8.5 con la configuración predeterminada. Un atacante remoto no autenticado puede provocar la caída de procesos workers de PHP. AWS considera que los escenarios accesibles son limitados y difíciles de aprovechar en la práctica.

El Amazon Linux Security Center clasifica ambos CVE como Important. Esa valoración difiere de la categoría Critical utilizada en el contexto de la publicación de PHP y en otras evaluaciones públicas. Un responsable de Amazon Linux señaló que los sistemas de puntuación varían entre distribuciones, pero no ofreció una clasificación técnica independiente.

AWS no dio inicialmente una fecha de entrega. El boletín de seguridad 2026-143 fijó después el 22 de octubre de 2026 como fecha objetivo para los paquetes PHP actualizados de Amazon Linux. En ese momento todavía no había un paquete para Amazon Linux 2023 disponible en el debate.

AWS indicó que la plataforma más reciente de Elastic Beanstalk ya incluye una mitigación. Managed Platform Updates puede trasladar los entornos en ejecución a esa plataforma durante la ventana de mantenimiento elegida. Los clientes que no tengan activada esa función deben actualizar la plataforma manualmente. Para Lightsail, AWS planeaba incorporar el arreglo a los nuevos blueprints.

Un método alternativo de la comunidad consistió en construir PHP 8.2.35 y guardar un repositorio local con su configuración en S3. Los archivos se desplegaron después mediante Systems Manager, con el comando `dnf update -y php8.2`. Se trataba de paquetes construidos por el usuario, no de la actualización oficial de Amazon Linux.