Sakura Internet ha sospeso mercoledì parte del proprio servizio cloud dopo la divulgazione di due vulnerabilità critiche in PHP, il diffuso linguaggio di scripting lato server. Lo stesso giorno, nelle ore successive, il primo ministro giapponese Sanae Takaichi ha esortato pubblicamente gli operatori di siti web ad applicare la patch in arrivo quella stessa notte o a portare temporaneamente offline i propri siti.

Sakura ritira gli strumenti web per database senza una data di ripristino

Con un avviso pubblicato alle 13:22 ora giapponese del 21 ottobre, Sakura Internet ha annunciato il ritiro degli strumenti di interfaccia web dal suo servizio Database Appliance. Gli strumenti interessati sono phpMyAdmin, phpPgAdmin e pgAdmin, le console basate su browser comunemente utilizzate dagli amministratori per la gestione quotidiana dei database MariaDB e PostgreSQL.

Il servizio Database Cluster dell'azienda resta online. Sakura non ha annunciato una data per il ripristino delle funzionalità sospese e, nell'attesa, ha consigliato ai clienti di utilizzare client SQL compatibili con MariaDB e PostgreSQL. L'azienda si è scusata con i clienti per l'interruzione.

Anche Cygames e pixiv hanno dichiarato manutenzioni d'emergenza in risposta alle vulnerabilità PHP. PHP sostiene gran parte dell'e-commerce e di altre applicazioni web, ed è proprio questa dipendenza condivisa a trasformare una singola divulgazione upstream in manutenzioni d'emergenza nella stessa notte presso aziende di settori tra loro estranei.

Il premier indica agli operatori la correzione delle 23

L'appello di Takaichi è stato pubblicato su X alle 21:55 ora giapponese. Lo ha definito una richiesta molto urgente di azione per quella notte e ha chiesto agli operatori di verificare se i loro siti web pubblici utilizzassero PHP. Li ha invitati a prepararsi a distribuire la patch, attesa alle 23 ora giapponese, e ha scritto che portare temporaneamente offline un sito era un modo per ridurre il rischio se la patch rapida si fosse rivelata difficile.

Ha inoltre indirizzato i propri follower all'account su X dell'Ufficio nazionale per la cybersicurezza. Alle 22:57, [l'ufficio ha dichiarato](https://x.com/cyber_forecast/status/2112906086160429175 che gli aggiornamenti erano stati rilasciati e ha sollecitato gli utenti a installarli il prima possibile, avvertendo che i siti non patchati potevano essere violati. Entro giovedì, il post di Takaichi aveva raccolto più di 308.000 like e circa 78.000 repost.

Due vulnerabilità di gravità 9,2 denominate "PHP2Shell"

Le versioni corrette sono PHP 8.2.35, PHP 8.3.36, PHP 8.4.27 e PHP 8.5.12. Secondo Cryptopolitan, i dettagli delle vulnerabilità sono stati divulgati, spingendo i manutentori di PHP a rilasciare le correzioni con un giorno di anticipo rispetto ai piani. Le due vulnerabilità, denominate "PHP2Shell" e tracciate come CVE-2026-109618 e CVE-2026-109619, hanno ricevuto ciascuna un punteggio di gravità di 9,2 su 10 e potrebbero consentire agli attaccanti di eseguire codice su server non patchati.

La prima vulnerabilità sfrutta il modo in cui PHP gestisce le condizioni di esaurimento della memoria. La seconda sfrutta lo stato delle richieste che persiste dopo il rilascio della memoria.

Secondo l'advisory del progetto PHP, tutte le installazioni che servono richieste web sono a rischio, incluse PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP e LiteSpeed. Il progetto classifica mod_php come la configurazione più rischiosa, e esiste un exploit dimostrato che si attiva prima dell'esecuzione di qualsiasi codice applicativo. Le distribuzioni Linux e i fornitori di supporto a lungo termine hanno distribuito le patch in anticipo.

Il progetto PHP non rilascia più aggiornamenti per PHP 8.1 e versioni precedenti, benché il suo team di sicurezza abbia pubblicato backport minimi del codice sorgente per PHP 7.4, 8.0 e 8.1.

Circa il 70% di tutti i siti web il cui linguaggio lato server è noto si basa su PHP. Anche Giappone, UE, Stati Uniti, Germania, Australia e Regno Unito hanno emesso avvertimenti. Finlandia, Paesi Bassi e Francia hanno portato offline i siti governativi come precauzione, e Nintendo ha sospeso i servizi per applicare le patch. Con Sakura che non offre una data di ripristino per gli strumenti web del Database Appliance e le versioni corrette rilasciate da poche ore, i segnali da monitorare nel breve termine sono un annuncio di ripristino da parte di Sakura e ulteriori indicazioni dell'Ufficio nazionale per la cybersicurezza mentre gli operatori completano la distribuzione delle patch.