Sakura Internet 週三在廣泛使用的伺服器端腳本語言 PHP 被揭露兩個重大漏洞後，暫停了部分雲端服務。同日晚間，日本首相高市早苗公開呼籲網站營運者於當晚套用即將發布的修補程式，或暫時將網站下線。

Sakura 下架資料庫網頁工具，未公布恢復日期

Sakura Internet 在 10 月 21 日日本時間下午 1 時 22 分發布的公告中表示，將從其 Database Appliance 服務中撤下網頁介面工具。受影響的工具包括 phpMyAdmin、phpPgAdmin 及 pgAdmin，這些是管理員日常管理 MariaDB 與 PostgreSQL 資料庫時常用的瀏覽器主控台。

該公司的 Database Cluster 服務仍維持上線。Sakura 未宣布恢復暫停功能的日期，期間建議客戶使用與 MariaDB 及 PostgreSQL 相容的 SQL 用戶端。該公司並為此中斷向客戶致歉。

Cygames 與 pixiv 也因這些 PHP 漏洞宣布緊急維護。PHP 支撐了電子商務及其他網路應用的大量場景，正是這種共同依賴，讓一次上游漏洞揭露演變成不同產業公司在同一晚的緊急維護。

首相指示營運者留意晚上 11 點的修補

高市的呼籲於日本時間晚上 9 時 55 分發布於 X。她稱這是一項非常迫切的當晚行動請求，並要求營運者確認其公開網站是否使用 PHP。她指示他們準備部署日本時間晚上 11 點發布的修補程式，並寫道，若難以快速修補，暫時將網站下線是降低風險的方式之一。

她也引導粉絲前往國家網路安全辦公室在 X 上的帳號。日本時間晚上 10 時 57 分，該辦公室表示更新已釋出，並敦促使用者盡快安裝，同時警告未修補的網站可能遭到入侵。截至週四，高市的貼文已獲得超過 30.8 萬個讚及約 7.8 萬次轉發。

兩個嚴重度 9.2 的漏洞被命名為「PHP2Shell」

修復版本為 PHP 8.2.35、PHP 8.3.36、PHP 8.4.27 及 PHP 8.5.12。據 Cryptopolitan 報導，由於漏洞細節外洩，PHP 維護隊提前一天釋出修復。這兩個被命名為「PHP2Shell」、追蹤編號為 CVE-2026-109618 及 CVE-2026-109619 的漏洞，嚴重度評分皆為 9.2/10，可能讓攻擊者在未修補的伺服器上執行程式碼。

第一個漏洞利用 PHP 處理記憶體不足情況的方式。第二個漏洞則利用記憶體釋放後仍殘留的請求狀態。

根據 PHP 專案的公告，所有處理網頁請求的安裝環境都有風險，包括 PHP-FPM、搭載 mod_php 的 Apache、php-cgi、FrankenPHP 及 LiteSpeed。該專案將 mod_php 列為風險最高的設定，且已有實證攻擊可在任何應用程式碼執行前觸發。Linux 發行版及長期支援廠商已提前取得修補程式。

PHP 專案已不再為 PHP 8.1 及更早版本提供更新，但其安全團隊仍為 PHP 7.4、8.0 及 8.1 釋出了最基本的原始碼向後移植。

在伺服器端語言已知的所有網站中，約 70% 使用 PHP。日本、歐盟、美國、德國、澳洲及英國也相繼發布警告。芬蘭、荷蘭及法國為預防起見將政府網站下線，任天堂則暫停服務以進行修補。在 Sakura 尚未公布 Database Appliance 網頁工具的恢復日期、修復版本問世僅數小時之際，近期值得關注的訊號是 Sakura 的恢復公告，以及國家網路安全辦公室在營運者完成部署過程中的進一步指引。