Sakura Internet hat am Mittwoch einen Teil seines Cloud-Dienstes ausgesetzt, nachdem zwei kritische Schwachstellen in PHP, der weit verbreiteten serverseitigen Skriptsprache, bekannt geworden waren. Noch am selben Tag rief die japanische Premierministerin Sanae Takaichi Website-Betreiber öffentlich dazu auf, den angekündigten Patch in der Nacht zu installieren oder ihre Websites vorübergehend offline zu nehmen.

Sakura zieht Datenbank-Webtools ohne Datum der Wiederherstellung zurück

In einer Mitteilung, veröffentlicht um 13:22 Uhr japanischer Zeit am 21. Oktober, teilte Sakura Internet mit, dass das Unternehmen die Web-Oberflächen-Tools aus seinem Database-Appliance-Dienst zurückzieht. Betroffen sind phpMyAdmin, phpPgAdmin und pgAdmin, die browserbasierten Konsolen, die Administratoren üblicherweise für die tägliche Verwaltung von MariaDB- und PostgreSQL-Datenbanken verwenden.

Der Database-Cluster-Dienst des Unternehmens bleibt online. Sakura nannte keinen Termin für die Wiederherstellung der ausgesetzten Funktionen und empfahl Kunden in der Zwischenzeit, SQL-Clients zu verwenden, die mit MariaDB und PostgreSQL kompatibel sind. Das Unternehmen entschuldigte sich bei den Kunden für die Unterbrechung.

Auch Cygames und pixiv kündigten angesichts der PHP-Schwachstellen eine Notfallwartung an. PHP bildet das Fundament großer Teile des E-Commerce und anderer Webanwendungen, und genau diese gemeinsame Abhängigkeit verwandelte eine einzige Upstream-Bekanntgabe in Notfallwartungen in derselben Nacht bei Unternehmen aus völlig verschiedenen Branchen.

Premierministerin verweist Betreiber auf das Fix um 23 Uhr

Takaichis Appell wurde um 21:55 Uhr japanischer Zeit auf X veröffentlicht. Sie bezeichnete ihn als äußerst dringende Aufforderung zum Handeln in derselben Nacht und forderte die Betreiber auf zu prüfen, ob ihre öffentlichen Websites PHP verwendeten. Sie wies sie an, sich auf die Verbreitung des Patches vorzubereiten, der für 23 Uhr japanischer Zeit vorgesehen war, und schrieb, dass die vorübergehende Abschaltung einer Website eine Möglichkeit sei, das Risiko zu verringern, falls ein schnelles Patchen schwierig sein sollte.

Sie verwies ihre Follower zudem auf das X-Konto des Nationalen Cybersecurity-Büros. Um 22:57 Uhr teilte das Büro, dass die Updates veröffentlicht worden seien, und forderte die Nutzer auf, diese so schnell wie möglich zu installieren, mit der Warnung, dass ungepatchte Seiten kompromittiert werden könnten. Bis Donnerstag hatte Takaichis Beitrag mehr als 308.000 Likes und rund 78.000 Reposts erhalten.

Zwei Schwachstellen mit Schweregrad 9,2 als „PHP2Shell“ bezeichnet

Die korrigierten Versionen sind PHP 8.2.35, PHP 8.3.36, PHP 8.4.27 und PHP 8.5.12. Laut Cryptopolitan wurden Details zu den Schwachstellen vorab geleakt, was die PHP-Maintainer dazu veranlasste, die Korrekturen einen Tag früher als geplant zu veröffentlichen. Die beiden Sicherheitslücken, die als „PHP2Shell“ bezeichnet werden und als CVE-2026-109618 und CVE-2026-109619 erfasst sind, erhielten jeweils einen Schweregrad von 9,2 von 10 und könnten Angreifern die Ausführung von Code auf ungepatchten Servern ermöglichen.

Der erste Fehler nutzt aus, wie PHP mit Speichermangel-Situationen umgeht. Der zweite nutzt Anfragezustände aus, die nach der Freigabe ihres Speichers bestehen bleiben.

Laut dem Advisory des PHP-Projekts sind alle Installationen gefährdet, die Webanfragen bedienen, darunter PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP und LiteSpeed. Das Projekt stuft mod_php als die riskanteste Konfiguration ein, und ein nachgewiesener Exploit wird ausgelöst, bevor irgendein Anwendungscode ausgeführt wird. Linux-Distributoren und Anbieter von Langzeitunterstützung verteilten die Patches im Voraus.

Das PHP-Projekt stellt keine weiteren Updates für PHP 8.1 und darunter bereit, obwohl sein Sicherheitsteam minimale Quellcode-Backports für PHP 7.4, 8.0 und 8.1 veröffentlicht hat.

Etwa 70 % aller Websites, deren serverseitige Sprache bekannt ist, laufen auf PHP. Japan, die EU, die USA, Deutschland, Australien und das UK gaben ebenfalls Warnungen heraus. Finnland, die Niederlande und Frankreich nahmen Regierungswebsites vorsorglich offline, und Nintendo zog Dienste zurück, um zu patchen. Da Sakura kein Datum für die Wiederherstellung seiner Database-Appliance-Webtools genannt hat und die korrigierten Versionen erst wenige Stunden alt sind, sind die naheliegenden Signale, auf die zu achten sind, eine Wiederherstellungsankündigung von Sakura und weitere Hinweise des Nationalen Cybersecurity-Büros, während die Betreiber ihre Rollouts abschließen.