Sakura Internet suspend ses outils cloud quelques heures avant l'appel de Takaichi au PHP
- Sakura Internet a suspendu phpMyAdmin, phpPgAdmin et pgAdmin sur son Database Appliance cloud en raison de deux vulnérabilités critiques de PHP.
- La Première ministre Sanae Takaichi a exhorté les opérateurs sur X à corriger PHP cette nuit-là ou à suspendre temporairement leurs sites web.
- Les deux vulnérabilités PHP2Shell obtiennent toutes deux un score de 9,2 sur 10 et permettent aux attaquants d'exécuter du code sur des serveurs non corrigés.
Sakura Internet a gelé une partie de son service cloud mercredi en raison de deux failles critiques dans PHP.
Plus tard dans la journée, la Première ministre Sanae Takaichi a appelé les opérateurs de sites web à appliquer le correctif cette nuit-là ou à fermer temporairement leurs sites.
Database Appliance perd phpMyAdmin sans date de redémarrage
L’avis de Sakura, publié à 13 h 22 (heure du Japon) le 21 octobre, retire les outils d’interface web de son service Database Appliance. Ces outils sont phpMyAdmin, phpPgAdmin et pgAdmin.
Le service Database Cluster est toujours opérationnel. Sakura n'a pas communiqué de date pour le redémarrage et, en attendant, a orienté ses clients vers des clients SQL compatibles avec MariaDB et PostgreSQL.
L'entreprise s'est excusée auprès de ses clients pour cette interruption.
Cygames et pixiv ont également annoncé une maintenance d'urgence concernant les failles PHP. PHP est largement utilisé dans le commerce électronique et d'autres applications web.
La Première ministre du Japon a indiqué aux opérateurs le correctif à 11 h
L'appel de Takaichi a été publié sur X à 21 h 55 (heure japonaise). Elle a déclaré qu'il s'agissait d'une demande d'action très urgente pour cette nuit-là et a demandé aux opérateurs de vérifier si leurs sites web publics utilisaient PHP.
Elle leur a demandé de se préparer à déployer le correctif prévu pour 23 h, heure du Japon. Mettre temporairement un site hors ligne était l’un des moyens de réduire les risques si la mise en place rapide d’un correctif s’avérait complexe, a-t-elle écrit.
Elle a également dirigé ses abonnés vers le compte du Bureau national de la cybersécurité sur X.
Le bureau a indiqué à 22 h 57 que les mises à jour étaient disponibles et a exhorté les utilisateurs à les installer dès que possible. Le bureau a mis en garde contre le risque de compromission des sites non corrigés.
Jeudi, la publication de Takaichi avait recueilli plus de 308 000 likes et environ 78 000 partages.
Versions corrigées : PHP 8.2.35, PHP 8.3.36, PHP 8.4.27, PHP 8.5.12.
Selon Cryptopolitan, des détails ont fui, ce qui a conduit les mainteneurs de PHP à publier les correctifs un jour plus tôt. Les deux vulnérabilités, baptisées « PHP2Shell » et identifiées comme CVE-2026-109618 et CVE-2026-109619, ont chacune obtenu un score de 9,2 sur 10 et pourraient permettre aux pirates d’exécuter du code sur les serveurs non patchés.
Le premier bug exploite la manière dont PHP gère les conditions de manque de mémoire. Le second exploite l’état de la requête qui persiste après la libération de sa mémoire.
L’avis de PHP met tous les déploiements servant des requêtes web à risque. Cela couvre PHP-FPM, Apache avec mod_php, php-cgi, FrankenPHP et LiteSpeed.
Le projet classe mod_php comme la configuration la plus risquée, et il existe un exploit démontré qui s’exécute avant tout code applicatif. Les distributeurs Linux et les fournisseurs de support à long terme ont reçu les correctifs en avance.
Aucune autre mise à jour pour PHP 8.1 et versions antérieures n’est fournie par le projet. L’équipe de sécurité a toutefois publié des backports minimaux du code source pour PHP 7.4, 8.0 et 8.1.
Environ 70 % de tous les sites web dont le langage côté serveur est connu utilisent PHP. Le Japon, l’UE, les États-Unis, l’Allemagne, l’Australie et le Royaume-Uni ont également émis des avertissements.
La Finlande, les Pays-Bas et la France ont mis hors ligne leurs sites gouvernementaux par précaution. Nintendo a retiré ses services pour appliquer le correctif.
Si vous lisez ceci, vous êtes déjà en avance. Restez ainsi grâce à notre newsletter.
FAQ
Que a fait Sakura Internet ?
Le 21 octobre, Sakura Internet a suspendu les outils web phpMyAdmin, phpPgAdmin et pgAdmin sur son service Cloud Database Appliance.
Que le Premier ministre Takaichi a-t-il demandé aux opérateurs de sites web de faire ?
Takaichi a demandé aux opérateurs d'appliquer le correctif PHP dans la nuit, indiquant que l'arrêt temporaire d'un site web constituait l'une des méthodes efficaces pour réduire les risques.
Quelle est la gravité des bugs 2Shell liés à PHP ?
Ces deux vulnérabilités obtiennent un score de 9,2 sur 10 et permettent aux attaquants d'exécuter du code sur les serveurs non corrigés.
Avertissement. Les informations fournies ne constituent pas des conseils en matière de trading. Cryptopolitan.com décline toute responsabilité concernant les investissements réalisés sur la base des informations fournies sur cette page. Nous recommandons vivement une recherche indépendante et/ou une consultation avec un professionnel qualifié avant de prendre toute décision d'investissement.
Randa Moses
Randa Moses est rédactrice et journaliste chez Cryptopolitan, couvrant la technologie, l'IA, la robotique, la crypto, les arnaques et les piratages. Elle évolue dans l'espace crypto depuis 2017. Elle a occupé des postes chez Forward Protocol, AmaZix et Cryptosomniac. Randa détient un diplôme en génie électrique et électronique de l'Université de Bradford.
