Sakura Internet schortte woensdag een deel van zijn clouddienst op nadat twee kritieke kwetsbaarheden in PHP waren onthuld, de veelgebruikte server-side scripttaal. Later die dag riep de Japanse premier Sanae Takaichi websitebeheerders publiekelijk op om de aankomende patch die avond toe te passen of hun websites tijdelijk offline te halen.

Sakura trekt database-webtools terug zonder hersteldatum

In een melding gepubliceerd op 21 oktober om 13:22 uur Japanse tijd, zei Sakura Internet de webinterfacetools uit zijn Database Appliance-dienst te halen. De getroffen tools zijn phpMyAdmin, phpPgAdmin en pgAdmin, de browsergebaseerde consoles die beheerders doorgaans gebruiken voor het dagelijkse beheer van MariaDB- en PostgreSQL-databases.

De Database Cluster-dienst van het bedrijf blijft online. Sakura kondigde geen datum aan voor het herstel van de opgeschorte functies en adviseerde klanten in de tussentijd SQL-clients te gebruiken die compatibel zijn met MariaDB en PostgreSQL. Het bedrijf verontschuldigde zich bij klanten voor de onderbreking.

Cygames en pixiv kondigden ook noodonderhoud aan als reactie op de PHP-kwetsbaarheden. PHP vormt de basis van grote delen van e-commerce en andere webapplicaties, en juist die gedeelde afhankelijkheid zorgde ervoor dat één upstream-onthulling leidde tot noodonderhoud diezelfde avond bij bedrijven in totaal verschillende sectoren.

Premier verwijst beheerders naar de fix van 23:00 uur

Takaichi's oproep werd om 21:55 uur Japanse tijd op X geplaatst. Ze omschreef het als een zeer dringende vraag tot actie die avond en vroeg beheerders te controleren of hun publieke websites PHP gebruikten. Ze verzocht hen zich voor te bereiden op de uitrol van de patch, die om 23:00 uur Japanse tijd zou verschijnen, en schreef dat het tijdelijk offline halen van een website één manier was om het risico te beperken als snel patchen lastig bleek.

Ze verwees volgers ook naar het X-account van het National Cybersecurity Office. Om 22:57 uur meldde het office dat de updates waren uitgebracht en drong het er bij gebruikers op aan ze zo snel mogelijk te installeren, met de waarschuwing dat ongepatchte sites gecompromitteerd konden raken. Tegen donderdag had Takaichi's bericht meer dan 308.000 likes enveer 78.000 reposts ontvangen.

Twee kwetsbaarheden met ernst 9,2 genaamd "PHP2Shell"

De vaste versies zijn PHP 8.2.35, PHP 8.3.36, PHP 8.4.27 en PHP 8.5.12. Volgens Cryptopolitan lekten details van de kwetsbaarheden, waardoor de PHP-maintainers de fixes een dag eerder dan gepland uitbrachten. De twee kwetsbaarheden, genaamd "PHP2Shell" en geregistreerd als CVE-2026-109618 en CVE-2026-109619, kregen elk een ernstscore van 9,2 uit 10 en zouden aanvallers code kunnen laten uitvoeren op ongepatchte servers.

De eerste bug misbruikt hoe PHP omgaat met out-of-memory-situaties. De tweede misbruikt request-state die blijft bestaan nadat het geheugen is vrijgegeven.

Volgens het advies van het PHP-project lopen alle installaties die webrequests verwerken risico, waaronder PHP-FPM, Apache met mod_php, php-cgi, FrankenPHP en LiteSpeed. Het project beschouwt mod_php als de riskantste configuratie, en er is een aangetoonde exploit die werkt vóórdat er applicatiecode draait. Linux-distributeurs en long-term-support-leveranciers brachten de patches al vooraf uit.

Het PHP-project brengt geen updates meer uit voor PHP 8.1 en lager, hoewel zijn securityteam minimale source-backports heeft uitgebracht voor PHP 7.4, 8.0 en 8.1.

Ongeveer 70% van alle websites waarvan de server-side taal bekend is, draait op PHP. Japan, de EU, de VS, Duitsland, Australië en het VK brachten ook waarschuwingen uit. Finland, Nederland en Frankrijk haalden overheidswebsites offline als voorzorgsmaatregel, en Nintendo schakelde diensten uit om te patchen. Nu Sakura geen hersteldatum biedt voor de webtools van zijn Database Appliance en de vaste versies slechts enkele uren oud zijn, zijn de signalen om op te letten op korte termijn een herstelbericht van Sakura en verdere richtlijnen van het National Cybersecurity Office terwijl beheerders hun uitrol afronden.