- Sakura Internet hat phpMyAdmin, phpPgAdmin und pgAdmin auf seiner Cloud Database Appliance aufgrund zweier kritischer PHP-Sicherheitslücken gesperrt.
- Premierministerin Sanae Takaichi forderte Betreiber auf, PHP noch in dieser Nacht zu patchen oder ihre Websites vorübergehend herunterzufahren.
- Beide PHP2Shell-Schwachstellen haben eine Bewertung von 9,2 von 10 und ermöglichen Angreifern, Code auf nicht gepatchten Servern auszuführen.
Sakura Internet hat am Mittwoch einen Teil seines Cloud-Dienstes aufgrund zweier kritischer PHP-Schwachstellen pausiert.
Später an diesem Tag appellierte Premierministerin Sanae Takaichi an die Website-Betreiber, noch in dieser Nacht zu patchen oder ihre Sites vorübergehend abzuschalten.
Database Appliance verliert phpMyAdmin ohne neues Startdatum
Sakuras Hinweis, veröffentlicht um 13:22 Uhr japanischer Zeit am 21. Oktober, zieht die Web-UI-Tools aus seinem Database-Appliance-Service zurück. Zu diesen Tools gehören phpMyAdmin, phpPgAdmin und pgAdmin.
Der Database Cluster-Dienst ist weiterhin verfügbar. Sakura gab kein Datum für den Neustart an und verwies Kunden in der Zwischenzeit auf mit MariaDB und PostgreSQL kompatible SQL-Clients.
Das Unternehmen entschuldigte sich bei den Kunden für die Unterbrechung.
Cygames und pixiv erklärten ebenfalls eine Notwartung wegen der PHP-Schwachstellen. PHP wird häufig im E-Commerce und in anderen Webanwendungen eingesetzt.
Japans Premierminister wies die Betreiber auf die 11 Uhr Fixierung hin
Takaichis Appell wurde um 21:55 Uhr japanischer Zeit auf X veröffentlicht. Sie bezeichnete dies als sehr dringende Aufforderung zum Handeln in dieser Nacht und bat die Betreiber zu überprüfen, ob ihre öffentlichen Websites PHP verwenden.
Sie wies die Teams an, sich auf den Rollout des Patches vorzubereiten, der um 23 Uhr japanischer Zeit bereitstehen sollte. Das vorübergehende Abschalten einer Website war eine Möglichkeit, das Risiko zu minimieren, falls das schnelle Patchen schwierig sein sollte, schrieb sie.
Sie verwies ihre Follower zudem auf das X-Konto des Nationalen Cybersecurity-Büros.
Das Büro gab um 22:57 Uhr bekannt, dass die Updates verfügbar sind, und drängte Nutzer, sie so schnell wie möglich zu installieren. Das Büro warnte, dass ungepatchte Websites angegriffen werden könnten.
Bis Donnerstag hatte Takaichis Beitrag mehr als 308.000 Likes und etwa 78.000 Weiterverbreitungen gesammelt.
Korrigierte Versionen: PHP 8.2.35, PHP 8.3.36, PHP 8.4.27, PHP 8.5.12.
Laut Cryptopolitan wurden Details geleakt, weshalb die PHP-Maintainer die Fixes einen Tag früher bereitstellten. Die beiden Fehler, genannt „PHP2Shell“ und identifiziert als CVE-2026-109618 und CVE-2026-109619, erhielten jeweils eine Bewertung von 9,2 von 10 Punkten und könnten Hackern ermöglichen, Code auf ungepatchten Servern auszuführen.
Der erste Fehler nutzt aus, wie PHP mit Out-of-Memory-Situationen umgeht. Der zweite exploitet den Request-Zustand, der nach dem Freigeben des Speichers noch vorhanden ist.
Die Empfehlung von PHP stuft alle Installationen ein, die Webanfragen bedienen, als gefährdet ein. Dazu zählen PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP und LiteSpeed.
Das Projekt stuft mod_php als die riskanteste Konfiguration ein, und es gibt einen nachgewiesenen Exploit, der bereits vor der Ausführung von Anwendungscode aktiviert wird. Linux-Distributionen und Anbieter langfristiger Supportversionen erhielten die Patches im Voraus.
Keine weiteren Updates für PHP 8.1 und ältere Versionen werden vom Projekt bereitgestellt. Das Sicherheitsteam veröffentlichte dennoch minimale Source-Backports für PHP 7.4, 8.0 und 8.1.
Etwa 70 % aller Websites, deren serverseitige Sprache bekannt ist, verwenden PHP. Japan, die EU, die USA, Deutschland, Australien und das UK haben ebenfalls Warnungen herausgegeben.
Finnland, die Niederlande und Frankreich schalteten vorsorglich Regierungs-Websites offline. Nintendo zog Dienste zurück, um zu patchen.
Die klügsten Krypto-Köpfe lesen bereits unseren Newsletter. Lust dabei? Mach mit.
Häufig gestellte Fragen
Was hat Sakura Internet getan?
Am 21. Oktober hat Sakura Internet die Web-Tools phpMyAdmin, phpPgAdmin und pgAdmin auf seinem Cloud-Datenbank-Appliance-Service ausgesetzt.
Was hat Premierministerin Takaichi Website-Betreibern empfohlen?
Takaichi bat die Betreiber, den PHP-Patch noch in derselben Nacht zu installieren, und erklärte, dass das vorübergehende Abschalten einer Website eine wirksame Maßnahme zur Risikoreduzierung sein kann.
Wie schwerwiegend sind die PHP2Shell-Schwachstellen?
Beide Schwachstellen haben eine Bewertung von 9,2 von 10 Punkten und ermöglichen es Angreifern, Code auf nicht gepatchten Servern auszuführen.
Haftungsausschluss. Die bereitgestellten Informationen stellen keine Anlageberatung dar. Cryptopolitan.com übernimmt keine Haftung für Investitionen, die auf den auf dieser Seite bereitgestellten Informationen basieren. Wir empfehlen dringend, vor der Entscheidung für eine Anlage unabhängige Recherchen durchzuführen und/oder sich mit einem qualifizierten Fachmann beraten zu lassen.
Randa Moses
Randa Moses ist Redakteurin und Reporterin bei Cryptopolitan, wo sie über Technologie, KI, Robotik, Krypto, Betrug und Hacks berichtet. Sie arbeitet seit 2017 im Krypto-Bereich. Zuvor war sie bei Forward Protocol, AmaZix und Cryptosomniac tätig. Randa besitzt einen Abschluss in Elektrotechnik und Elektronik der University of Bradford.
