Sakura Internet suspend des fonctionnalités cloud à cause de failles PHP critiques tandis que la Première ministre japonaise appelle à des correctifs d'urgence
Points clés
- •Sakura Internet a retiré phpMyAdmin, phpPgAdmin et pgAdmin de son service Database Appliance le 21 octobre sans annoncer de date de rétablissement, tandis que son service Database Cluster est resté en ligne.
- •Les deux failles, baptisées « PHP2Shell » et suivies sous les références CVE-2026-109618 et CVE-2026-109619, ont chacune reçu un score de sévérité de 9,2 sur 10 et pourraient permettre à des attaquants d'exécuter du code sur des serveurs non corrigés.
- •La Première ministre Sanae Takaichi a exhorté les opérateurs de sites web à appliquer le correctif prévu à 23 h, heure du Japon, ou à mettre temporairement leurs sites hors ligne, et le Bureau national de la cybersécurité a ensuite confirmé la publication des mises à jour.
- •Les versions corrigées sont PHP 8.2.35, 8.3.36, 8.4.27 et 8.5.12, publiées un jour plus tôt que prévu après la fuite de détails sur les failles, avec des rétroportages minimaux également publiés pour PHP 7.4, 8.0 et 8.1.
- •La divulgation a déclenché des maintenances d'urgence le soir même chez Cygames et pixiv, tandis que la Finlande, les Pays-Bas et la France ont mis leurs sites gouvernementaux hors ligne par précaution et que Nintendo a suspendu des services pour appliquer les correctifs.
Sakura Internet a suspendu une partie de son service cloud mercredi après la divulgation de deux vulnérabilités critiques dans PHP, le langage de script côté serveur largement utilisé. Plus tard dans la journée, la Première ministre japonaise Sanae Takaichi a publiquement demandé aux opérateurs de sites web d'appliquer le correctif imminent dès la nuit même ou de mettre temporairement leurs sites hors ligne.
Sakura retire ses outils web de base de données sans date de rétablissement
Dans un avis publié à 13 h 22, heure du Japon, le 21 octobre, Sakura Internet a indiqué retirer les outils d'interface web de son service Database Appliance. Les outils concernés sont phpMyAdmin, phpPgAdmin et pgAdmin, les consoles accessibles par navigateur que les administrateurs utilisent couramment pour la gestion quotidienne des bases de données MariaDB et PostgreSQL.
Le service Database Cluster de la société reste en ligne. Sakura n'a pas annoncé de date pour le rétablissement des fonctionnalités suspendues et a entre-temps conseillé à ses clients d'utiliser des clients SQL compatibles avec MariaDB et PostgreSQL. La société a présenté ses excuses aux clients pour cette interruption.
Cygames et pixiv ont également déclaré une maintenance d'urgence en réponse aux failles PHP. PHP soutient une grande partie du commerce électronique et d'autres applications web, et cette dépendance commune est ce qui a transformé une divulgation amont en maintenance d'urgence la nuit même dans des entreprises de secteurs sans lien entre eux.
La Première ministre oriente les opérateurs vers le correctif de 23 h
L'appel de Takaichi a été publié sur X à 21 h 55, heure du Japon. Elle l'a décrit comme une demande très pressante d'action dès la nuit même et a demandé aux opérateurs de vérifier si leurs sites web publics utilisaient PHP. Elle leur a demandé de se préparer à déployer le correctif, attendu à 23 h, heure du Japon, et a écrit que la mise hors ligne temporaire d'un site web était un moyen de réduire le risque si un correctif rapide s'avérait difficile.
Elle a également orienté ses abonnés vers le compte du Bureau national de la cybersécurité sur X. À 22 h 57, le bureau a indiqué que les mises à jour avaient été publiées et a exhorté les utilisateurs à les installer dès que possible, avertissant que les sites non corrigés pouvaient être compromis. Jeudi, la publication de Takaichi avait recueilli plus de 308 000 mentions J'aime et environ 78 000 republications.
Deux failles de sévérité 9,2 baptisées « PHP2Shell »
Les versions corrigées sont PHP 8.2.35, PHP 8.3.36, PHP 8.4.27 et PHP 8.5.12. Selon Cryptopolitan, des détails sur les failles ont fuité, incitant les mainteneurs de PHP à publier les correctifs un jour plus tôt que prévu. Les deux vulnérabilités, baptisées « PHP2Shell » et suivies sous les références CVE-2026-109618 et CVE-2026-109619, ont chacune reçu un score devérité de 9,2 sur 10 et pourraient permettre à des attaquants d'exécuter du code sur des serveurs non corrigés.
La première faille exploite la manière dont PHP gère les situations de saturation de mémoire. La seconde exploite un état de requête qui persiste après la libération de sa mémoire.
Selon l'avis du projet PHP, toutes les installations qui traitent des requêtes web sont à risque, notamment PHP-FPM, Apache avec mod_php, php-cgi, FrankenPHP et LiteSpeed. Le projet considère mod_php comme la configuration la plus risquée, et un exploit démontré se déclenche avant même l'exécution du code applicatif. Les distributeurs Linux et les fournisseurs de support à long terme ont diffusé les correctifs à l'avance.
Le projet PHP ne publie plus de mises à jour pour PHP 8.1 et versions antérieures, bien que son équipe de sécurité ait publié des rétroportages sources minimaux pour PHP 7.4, 8.0 et 8.1.
Environ 70 % de tous les sites web dont le langage côté serveur est connu fonctionnent avec PHP. Le Japon, l'UE, les États-Unis, l'Allemagne, l'Australie et le Royaume-Uni ont également émis des avertissements. La Finlande, les Pays-Bas et la France ont mis leurs sites gouvernementaux hors ligne par précaution, et Nintendo a suspendu des services afin d'appliquer les correctifs. Alors que Sakura ne propose aucune date de rétablissement pour ses outils web Database Appliance et que les versions corrigées n'ont que quelques heures, les signaux à surveiller à court terme sont une annonce de rétablissement de Sakura et de nouvelles recommandations du Bureau national de la cybersécurité à mesure que les opérateurs achèvent leurs déploiements.
