Sakura Internet suspendió parte de su servicio en la nube el miércoles tras la divulgación de dos vulnerabilidades críticas en PHP, el lenguaje de scripting del lado del servidor ampliamente utilizado. Ese mismo día, la primera ministra de Japón, Sanae Takaichi, instó públicamente a los operadores de sitios web a aplicar el parche que llegaría esa noche o a desconectar temporalmente sus sitios.

Sakura retira herramientas web de bases de datos sin fecha de restablecimiento

En un aviso publicado a la 1:22 p.m. hora de Japón del 21 de octubre, Sakura Internet indicó que retiraba las herramientas de interfaz web de su servicio Database Appliance. Las herramientas afectadas son phpMyAdmin, phpPgAdmin y pgAdmin, consolas basadas en navegador que los administradores suelen usar para la gestión diaria de bases de datos MariaDB y PostgreSQL.

El servicio Database Cluster de la empresa sigue en línea. Sakura no anunció una fecha para restablecer las funciones suspendidas y, mientras tanto, recomendó a los clientes usar clientes SQL compatibles con MariaDB y PostgreSQL. La empresa se disculpó con los clientes por la interrupción.

Cygames y pixiv también declararon mantenimiento de emergencia en respuesta a las fallas de PHP. PHP sustenta gran parte del comercio electrónico y otras aplicaciones web, y esa dependencia compartida fue lo que convirtió una divulgación upstream en mantenimiento de emergencia la misma noche en empresas de industrias sin relación entre sí.

La primera ministra señala a los operadores el parche de las 11 p.m.

El llamado de Takaichi se publicó en X a las 9:55 p.m. hora de Japón. Lo describió como una solicitud muy apremiante de acción esa misma noche y pidió a los operadores verificar si sus sitios web públicos usaban PHP. Les indicó prepararse para desplegar el parche, previsto para las 11 p.m. hora de Japón, y escribió que desconectar temporalmente un sitio web era una forma de reducir el riesgo si el parcheo rápido resultaba difícil.

También dirigió a sus seguidores a la cuenta de la Oficina Nacional de Ciberseguridad en X. A las 10:57 p.m., la oficina informó que las actualizaciones habían sido publicadas e instó a los usuarios a instalarlas lo antes posible, advirtiendo que los sitios sin parchear podrían ser vulnerados. Para el jueves, la publicación de Takaichi había superado los 308,000 me gusta y unas 78,000 republicaciones.

Dos fallas de severidad 9.2 denominadas "PHP2Shell"

Las versiones corregidas son PHP 8.2.35, PHP 8.3.36, PHP 8.4.27 y PHP 8.5.12. Según Cryptopolitan, los detalles de las fallas se filtraron, lo que llevó a los mantenedores de PHP a publicar las correcciones un día antes de lo previsto. Las dos vulnerabilidades, denominadas "PHP2Shell" y registradas como CVE-2026-109618 y CVE-2026-109619, recibieron cada una un puntaje de severidad de 9.2 sobre 10 y podrían permitir a atacantes ejecutar código en servidores sin parchear.

La primera falla explota cómo maneja PHP las condiciones de falta de memoria. La segunda explota el estado de solicitudes que persiste después de que su memoria ha sido liberada.

Según el aviso del proyecto PHP, todas las instalaciones que atienden solicitudes web están en riesgo, incluidas PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP y LiteSpeed. El proyecto califica mod_php como la configuración de mayor, y existe un exploit demostrado que se ejecuta antes de que corra cualquier código de la aplicación. Los distribuidores de Linux y los proveedores de soporte a largo plazo enviaron los parches por adelantado.

El proyecto PHP ya no emite actualizaciones para PHP 8.1 y versiones anteriores, aunque su equipo de seguridad publicó backports mínimos de código fuente para PHP 7.4, 8.0 y 8.1.

Alrededor del 70% de todos los sitios web cuyo lenguaje del lado del servidor se conoce funcionan con PHP. Japón, la Unión Europea, Estados Unidos, Alemania, Australia y el Reino Unido también emitieron alertas. Finlandia, Países Bajos y Francia desconectaron sitios web gubernamentales como precaución, y Nintendo retiró servicios para aplicar parches. Con Sakura sin ofrecer una fecha de restablecimiento para las herramientas web de su Database Appliance y las versiones corregidas de apenas unas horas de antigüedad, las señales a corto plazo a observar son un anuncio de restablecimiento de Sakura y nuevas orientaciones de la Oficina Nacional de Ciberseguridad a medida que los operadores completan sus despliegues.