L’issue #1148 du dépôt Amazon Linux 2023 a été ouverte le 21 octobre 2026 après la publication par PHP d’une mise à jour de sécurité pour CVE-2026-109618 et CVE-2026-109619. Les deux vulnérabilités affichent un score CVSS v4.0 de 9,2 et le niveau Critical.

terminal
dnf update -y php8.2

D’après le support AWS, les failles touchent PHP 8.2 à 8.5 avec la configuration par défaut. Un acteur distant non authentifié peut provoquer l’arrêt de processus workers PHP. AWS estime toutefois que les scénarios accessibles sont limités et difficiles à exploiter en pratique.

L’Amazon Linux Security Center classe les deux CVE comme Important. Cette évaluation diffère du niveau Critical retenu dans le contexte de la publication PHP et par d’autres sources publiques. Un mainteneur d’Amazon Linux a rappelé que les systèmes de notation varient selon les distributions, sans fournir de nouvelle analyse technique.

AWS n’avait d’abord donné aucune date de disponibilité. Le bulletin de sécurité 2026-143 a ensuite fixé au 22 octobre 2026 l’objectif de publication des paquets PHP mis à jour pour Amazon Linux. Aucun paquet Amazon Linux 2023 n’était encore disponible dans la discussion à ce moment-là.

AWS a indiqué que la dernière plateforme Elastic Beanstalk intégrait déjà une mesure d’atténuation. Managed Platform Updates peut faire passer les environnements existants sur cette plateforme pendant la fenêtre de maintenance choisie. Les clients qui n’utilisent pas cette fonction doivent changer eux-mêmes la version de la plateforme. Pour Lightsail, AWS prévoyait d’intégrer le correctif aux nouveaux blueprints.

Un contournement communautaire consistait à compiler PHP 8.2.35 et à stocker un dépôt local avec sa configuration dans S3. Les fichiers ont ensuite été déployés via Systems Manager, avec la commande `dnf update -y php8.2`. Cette méthode reposait sur des paquets construits séparément et ne constituait pas la mise à jour officielle d’Amazon Linux.