Sakura Internet sospende gli strumenti cloud poche ore prima dell'appello di Takaichi per il PHP

Sakura Internet ha bloccato parte del suo servizio cloud mercoledì a causa di due gravi vulnerabilità di PHP.

Più tardi quello stesso giorno, il primo ministro Sanae Takaichi ha invitato gli operatori dei siti web ad applicare le patch quella notte o a spegnere temporaneamente i propri siti.

Database Appliance perde phpMyAdmin senza data di riavvio

L'avviso di Sakura, pubblicato alle 13:22 (ora del Giappone) il 21 ottobre, ritira gli strumenti dell'interfaccia web dal servizio Database Appliance. Questi strumenti sono phpMyAdmin, phpPgAdmin e pgAdmin.

Il servizio Database Cluster è ancora attivo. Sakura non ha fornito una data per il riavvio e, nell'intervallo, ha indirizzato i clienti verso client SQL compatibili con MariaDB e PostgreSQL.

L'azienda si è scusata con i clienti per l'interruzione.

Cygames e pixiv hanno anche dichiarato una manutenzione d'emergenza relativa alle vulnerabilità di PHP. PHP è ampiamente utilizzato nel commercio elettronico e in altre applicazioni web.

Il primo ministro del Giappone ha indicato agli operatori la correzione 11 p.m.

L'appello di Takaichi è stato pubblicato su X alle 21:55 ora giapponese. Ha affermato che si trattava di una richiesta di azione molto urgente per quella notte e ha chiesto agli operatori di verificare se i loro siti web pubblici utilizzassero PHP.

Ha detto loro di prepararsi a distribuire la patch prevista per le 23:00, ora del Giappone. Tenere temporaneamente offline un sito web era uno dei modi per ridurre il rischio se la correzione rapida si fosse rivelata complessa, ha scritto.

Ha inoltre indirizzato i follower all'account dell'Ufficio nazionale per la cybersecurity su X.

L’ufficio ha dichiarato alle 22:57 che gli aggiornamenti erano disponibili e ha esortato gli utenti ad installarli il prima possibile. L’ufficio ha avvertito che i siti non patchati potrebbero essere violati.

Giovedì, il post di Takaichi aveva raccolto oltre 308.000 like e circa 78.000 condivisioni.

Versioni corrette: PHP 8.2.35, PHP 8.3.36, PHP 8.4.27, PHP 8.5.12.

Secondo Cryptopolitan, i dettagli sono trapelati, così i manutentori di PHP hanno rilasciato le correzioni un giorno prima. I due difetti, denominati “PHP2Shell” e identificati come CVE-2026-109618 e CVE-2026-109619, hanno ciascuno ottenuto un punteggio di 9,2 su 10 e potrebbero consentire agli hacker di eseguire codice sui server non patchati.

Il primo bug sfrutta il modo in cui PHP gestisce le condizioni di esaurimento della memoria. Il secondo sfrutta lo stato della richiesta che persiste dopo la liberazione della relativa memoria.

L’avviso di PHP mette a rischio tutte le installazioni che servono richieste web. Questo include PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP e LiteSpeed.

Il progetto classifica mod_php come la configurazione più rischiosa, ed esiste un exploit dimostrato che si attiva prima che venga eseguito qualsiasi codice dell'applicazione. I distributori Linux e i fornitori con supporto a lungo termine hanno ricevuto le patch in anticipo.

Non sono previsti ulteriori aggiornamenti per PHP 8.1 e versioni precedenti da parte del progetto. Il team di sicurezza ha comunque rilasciato backport minimi del codice sorgente per PHP 7.4, 8.0 e 8.1.

Circa il 70% di tutti i siti web il cui linguaggio lato server è noto utilizza PHP. Anche Giappone, UE, Stati Uniti, Germania, Australia e Regno Unito hanno emesso avvisi.

Finlandia, Paesi Bassi e Francia hanno spento i siti web governativi come misura precauzionale. Nintendo ha ritirato i servizi per applicare la patch.