A Sakura Internet suspendeu parte de seu serviço de nuvem na quarta-feira devido a duas falhas críticas no PHP. Mais tarde naquele dia, a primeira-ministra Sanae Takaichi pediu aos operadores de sites que corrigissem seus sites naquela noite ou os tirassem temporariamente do ar.

O aviso da Sakura, publicado às 13h22, horário do Japão, em 21 de outubro, anuncia a retirada das ferramentas de interface web do serviço Database Appliance. Essas ferramentas são phpMyAdmin, phpPgAdmin e pgAdmin. O serviço Database Cluster continua funcionando. A Sakura não informou uma data para a retomada e, enquanto isso, indicou aos clientes clientes SQL compatíveis com MariaDB e PostgreSQL. A empresa pediu desculpas aos clientes pela interrupção.

Sakura pede desculpas aos usuários por problemas

A Cygames e o pixiv também anunciaram manutenção de emergência devido às falhas no PHP. O PHP é amplamente usado em comércio eletrônico e outras aplicações web. O apelo de Takaichi foi publicado no X às 21h55, horário do Japão. Ela disse que era um pedido de ação muito urgente para aquela noite e pediu aos operadores que verificassem se seus sites públicos usavam PHP. Também pediu que se preparassem para instalar a atualização prevista para as 23h, horário do Japão. Tirar um site do ar temporariamente era uma forma de reduzir o risco caso fosse difícil aplicar a atualização rapidamente, escreveu ela.

Ela também direcionou seus seguidores para a conta do Escritório Nacional de Cibersegurança no X. Às 22h57, o escritório informou que as atualizações já estavam disponíveis e pediu aos usuários que as instalassem o mais rápido possível. O escritório alertou que sites sem as atualizações poderiam ser invadidos. Até quinta-feira, a publicação de Takaichi havia recebido mais de 308.000 curtidas e cerca de 78.000 republicações. Versões corrigidas: PHP 8.2.35, PHP 8.3.36, PHP 8.4.27, PHP 8.5.12.

Segundo o Cryptopolitan, os detalhes vazaram, então os responsáveis pela manutenção do PHP lançaram as correções um dia antes do previsto. As duas falhas, apelidadas de “PHP2Shell” e identificadas como CVE-2026-109618 e CVE-2026-109619, receberam, cada uma, uma pontuação de 9,2 em 10 e poderiam permitir que hackers executassem código em servidores sem as atualizações. A primeira falha explora a forma como o PHP lida com situações de falta de memória. A segunda explora o estado de uma solicitação que persiste após a liberação da memória.

O comunicado do PHP afirma que todas as instalações que atendem solicitações web estão em risco. Isso inclui PHP-FPM, Apache com mod_php, php-cgi, FrankenPHP e LiteSpeed. O projeto classifica o mod_php como a configuração de maior risco, e há uma exploração demonstrada que é acionada antes da execução de qualquer código da aplicação. As correções foram enviadas antecipadamente às distribuições Linux e aos fornecedores de suporte de longo prazo.

O projeto não fornece mais atualizações para o PHP 8.1 e versões anteriores. Ainda assim, a equipe de segurança publicou backports mínimos do código-fonte para o PHP 7.4, 8.0 e 8.1. Cerca de 70% de todos os sites cuja linguagem de servidor é conhecida usam PHP. O Japão, a UE, os EUA, a Alemanha, a Austrália e o Reino Unido também emitiram alertas. A Finlândia, os Países Baixos e a França tiraram do ar sites governamentais por precaução. A Nintendo suspendeu serviços para aplicar a atualização.

A publicação Sakura Internet suspende ferramentas de nuvem antes do apelo sobre o PHP apareceu primeiro no Coinfea.