Sakura Internet в среду приостановила работу части своего облачного сервиса после раскрытия двух критических уязвимостей в PHP — широко используемом серверном языке сценариев. В тот же день премьер-министр Японии Санаэ Такаити публично призвала операторов сайтов установить выходящий в ту же ночь патч или временно отключить свои сайты.

Sakura отключает веб-инструменты баз данных без даты восстановления

В уведомлении, опубликованном в 13:22 по японскому времени 21 октября, Sakura Internet сообщила об отключении веб-инструментов интерфейса в сервисе Database Appliance. Затронутые инструменты — phpMyAdmin, phpPgAdmin и pgAdmin, браузерные консоли, которые администраторы обычно используют для повседневного управления базами данных MariaDB и PostgreSQL.

Сервис Database Cluster компании продолжает работать. Sakura не объявила дату восстановления отключённых функций, а на это время порекомендовала клиентам использовать SQL-клиенты, совместимые с MariaDB и PostgreSQL. Компания принесла клиентам извинения за перерыв в работе.

Cygames и pixiv также объявили экстренное обслуживание в связи с уязвимостями PHP. PHP лежит в основе значительной части электронной коммерции и других веб-приложений, и именно эта общая зависимость превратила одно раскрытие уязвимости в экстренное ночное обслуживание компаний из несвязанных отраслей.

Премьер-министр указывает операторам на патч в 23:00

Обращение Такаити было опубликовано в X в 21:55 по японскому времени. Она назвала его крайне срочным призывом к действиям в ту же ночь и попросила операторов проверить, используют ли их публичные сайты PHP. Она велела им подготовиться к установке патча, который выходил в 23:00 по японскому времени, и написала, что временное отключение сайта — один из способов снизить риск, если быстрое патчирование затруднено.

Она также направила подписчиков на аккаунт Национального агентства кибербезопасности в X. В 22:57 агентство сообщило, что обновления выпущены, и призвало пользователей установить их как можно скорее, предупредив, что не пропатченные сайты могут быть взломаны. К четвергу пост Такаити собрал более 308 000 лайков и около 78 000 репостов.

Две уязвимости severity 9,2 получили название "PHP2Shell"

Исправленные версии — PHP 8.2.35, PHP 8.3.36, PHP 8.4.27 и PHP 8.5.12. По данным Cryptopolitan, сведения об уязвимостях утекли, из-за чего сопровождающие PHP выпустили исправления на день раньше запланированного. Две уязвимости, получившие название "PHP2Shell" и зарегистрированные как CVE-2026-109618 и CVE-2026-109619, каждая получила оценку severity 9,2 из 10 и могут позволить злоумышленникам выполнять код на не пропатченных серверах.

Первая ошибка эксплуатирует обработку ситуаций нехватки памяти в PHP. Вторая эксплурует состояние запроса, сохраняющееся после освобождения памяти.

Согласно рекомендации проекта PHP, риску подвержены все установки, обрабатывающие веб-запросы, включая PHP-FPM, Apache с mod_php, php-cgi, FrankenPHP и LiteSpeed. Проект считает mod_php самой рискованной конфигурацией, а продемонстрированный эксплойт срабатывает до запуска любого кода приложения. Дистрибутивы Linux и поставщики долгосрочной поддержки получили патчи заранее.

Проект PHP больше не выпускает обновления для PHP 8.1 и ниже, однако его команда безопасности выпустила минимальные бэкпорты исходного кода для PHP 7.4, 8.0 и 8.1.

Около 70% всех сайтов с известным серверным языком работают на PHP. Япония, ЕС, США, Германия, Австралия и Великобритания также выпустили предупреждения. Финляндия, Нидерланды и Франция в качестве меры предосторожности отключили государственные сайты, а Nintendo приостановила сервисы для установки патчей. Поскольку Sakura не называет дату восстановления веб-инструментов Database Appliance, а исправленные версии вышли лишь несколько часов назад, в ближайшее время стоит следить за анонсом восстановления от Sakura и дальнейшими рекомендациями Национального агентства кибербезопасности по мере завершения установки обновлений операторами.