Sakura Internet wstrzymała w środę część swojej usługi chmurowej po ujawnieniu dwóch krytycznych podatności w PHP, powszechnie używanym języku skryptowym po stronie serwera. Tego samego dnia japońska premier Sanae Takaichi publicznie wezwała operatorów stron internetowych do zastosowania nadchodzącej łatki jeszcze tego samego wieczoru albo do czasowego wyłączenia swoich witryn.

Sakura wycofuje narzędzia webowe do baz danych bez terminu wznowienia

W ogłoszeniu opublikowanym 21 października o 13:22 czasu japońskiego Sakura Internet poinformowała, że wycofuje narzędzia interfejsu webowego z usługi Database Appliance. Chodzi o phpMyAdmin, phpPgAdmin i pgAdmin — przeglądarkowe konsole, których administratorzy zwykle używają do bieżącego zarządzania bazami danych MariaDB i PostgreSQL.

Usługa Database Cluster firmy pozostaje online. Sakura nie podała terminu przywrócenia wstrzymanych funkcji, a tymczasem zaleciła klientom korzystanie z klientów SQL zgodnych z MariaDB i PostgreSQL. Firma przeprosiła klientów za przerwę.

Cygames i pixiv również ogłosiły awaryjną konserwację w reakcji na luki w PHP. PHP stanowi fundament dużych części e-commerce i innych aplikacji webowych, i właśnie ta wspólna zależność sprawiła, że jedno ujawnienie po stronie projektu nadrzędnego przekształciło się w tego samego wieczoru awaryjną konserwację w firmach z różnych branż.

Premier wskazuje operatorom łatkę na 23:00

Apel Takaichi został opublikowany na X o 21:55 czasu japońskiego. Opisała go jako bardzo pilną prośbę o podjęcie działań tego wieczoru i poprosiła operatorów o sprawdzenie, czy ich publiczne strony korzystają z PHP. Nakazała im przygotowanie się do wdrożenia łatki, której publikacja była zaplanowana na 23:00 czasu japońskiego, i napisała, że czasowe wyłączenie strony to jeden ze sposobów ograniczenia ryzyka, jeśli szybkie załatanie okaże się trudne.

Skierowała też obserwujących do konta Krajowego Biura Cyberbezpieczeństwa na X. O 22:57 biuro poinformowało, że aktualiz zostały opublikowane, i wezwało użytkowników do ich jak najszybszej instalacji, ostrzegając, że niezałatane strony mogą zostać przełamane. Do czwartku wpis Takaichi zebrał ponad 308 000 polubień i około 78 000 udostępnień.

Dwie luki o wadze 9,2 nazwane „PHP2Shell”

Poprawione wersje to PHP 8.2.35, PHP 8.3.36, PHP 8.4.27 i PHP 8.5.12. Według Cryptopolitan szczegóły luk wyciekły, co skłoniło opiekunów PHP do wydania poprawek dzień wcześniej niż planowano. Dwie podatności, nazwane „PHP2Shell” i zarejestrowane jako CVE-2026-109618 oraz CVE-2026-109619, otrzymały każdą ocenę wagi 9,2 w skali 10 i mogły pozwolić atakującym na wykonanie kodu na niezałatanych serwerach.

Pierwszy błąd wykorzystuje sposób, w jaki PHP obsługuje sytuacje braku pamięci. Drugi wykorzystuje stan żądania, który utrzymuje się po zwolnieniu pamięci.

Według zalecenia projektu PHP ryzyko dotyczy wszystkich instalacji obsługujących żądania webowe, w tym PHP-FPM, Apache z mod_php, php-cgi, FrankenPHP i LiteSpeed. Projekt uznaje mod_php za najbardziej ryzykowną konfigurację, a istnieje zademonstrowany exploit, który działa przed uruchomieniem jakiegokolwiek kodu aplikacji. Dystrybutorzy Linuksa i dostawcy wsparcia długoterminowego wydali łatki z wyprzedzeniem.

Projekt PHP nie wydaje już aktualizacji dla PHP 8.1 i starszych, choć jego zespół bezpieczeństwa opublikował minimalne backporty źródłowe dla PHP 7.4, 8.0 i 8.1.

Około 70% wszystkich stron internetowych, których język po stronie serwera jest znany, działa na PHP. Japonia, UE, USA, Niemcy, Australia i Wielka Brytania również wydały ostrzeżenia. Finlandia, Holandia i Francja wyłączyły strony rządowe ze względów ostrożności, a Nintendo wycofało usługi, aby przeprowadzić łatanie. Przy braku terminu wznowienia narzędzi webowych Database Appliance ze strony Sakury i poprawionych wersjach liczących zaledwie kilka godzin, sygnałami do obserwacji w najbliższym czasie są ogłoszenie wznowienia usługi przez Sakurę oraz dalsze wytyczne Krajowego Biura Cyberbezpieczeństwa, gdy operatorzy kończą wdrożenia.