Sakura Internet đã tạm ngừng một phần dịch vụ đám mây vào thứ Tư do hai lỗ hổng nghiêm trọng trong PHP. Cuối ngày hôm đó, Thủ tướng Sanae Takaichi kêu gọi các đơn vị vận hành website vá lỗi cho trang web của họ ngay trong đêm hoặc tạm thời đóng cửa.

Thông báo của Sakura, được đăng lúc 1:22 chiều giờ Nhật Bản ngày 21 tháng 10, cho biết công ty sẽ gỡ các công cụ giao diện web khỏi dịch vụ Database Appliance. Các công cụ đó là phpMyAdmin, phpPgAdmin và pgAdmin. Dịch vụ Database Cluster vẫn hoạt động. Sakura không đưa ra ngày khôi phục dịch vụ và trong thời gian chờ đợi, khuyến nghị khách hàng sử dụng các ứng dụng SQL tương thích với MariaDB và PostgreSQL. Công ty xin lỗi khách hàng vì sự gián đoạn này.

Sakura xin lỗi người dùng về các sự cố

Cygames và pixiv cũng thông báo bảo trì khẩn cấp do các lỗ hổng PHP. PHP được sử dụng rộng rãi trong thương mại điện tử và các ứng dụng web khác. Lời kêu gọi của Takaichi được đăng trên X lúc 9:55 tối theo giờ Nhật Bản. Bà cho biết đây là yêu cầu hành động rất cấp bách ngay trong đêm đó, đồng thời đề nghị các đơn vị vận hành kiểm tra xem trang web công khai của họ có sử dụng PHP hay không. Bà yêu cầu họ chuẩn bị triển khai bản vá dự kiến phát hành lúc 11 giờ đêm theo giờ Nhật Bản. Bà viết rằng tạm thời đưa trang web ngoại tuyến là một cách giảm rủi ro nếu khó nhanh chóng cài đặt bản vá.

Bà cũng hướng người theo dõi đến tài khoản trên X của Văn phòng An ninh mạng Quốc gia. Văn phòng cho biết lúc 10:57 tối rằng các bản cập nhật đã được phát hành và thúc giục người dùng cài đặt chúng sớm nhất có thể. Văn phòng cảnh báo các trang web chưa được vá có thể bị xâm nhập. Đến thứ Năm, bài đăng của Takaichi đã nhận được hơn 308.000 lượt thích và khoảng 78.000 lượt đăng lại. Các phiên bản đã sửa lỗi: PHP 8.2.35, PHP 8.3.36, PHP 8.4.27, PHP 8.5.12.

Theo Cryptopolitan, thông tin chi tiết đã bị rò rỉ, nên nhóm bảo trì PHP đã phát hành bản sửa lỗi sớm hơn một ngày. Hai lỗ hổng, được đặt tên là “PHP2Shell” và định danh là CVE-2026-109618 và CVE-2026-109619, mỗi lỗ hổng đều đạt 9,2 trên 10 điểm và có thể cho phép tin tặc thực thi mã trên các máy chủ chưa được vá. Lỗi đầu tiên khai thác cách PHP xử lý tình trạng hết bộ nhớ. Lỗi thứ hai khai thác trạng thái yêu cầu còn tồn tại sau khi bộ nhớ của nó được giải phóng.

Thông báo bảo mật của PHP cho biết mọi bản cài đặt xử lý yêu cầu web đều có nguy cơ. Phạm vi này bao gồm PHP-FPM, Apache với mod_php, php-cgi, FrankenPHP và LiteSpeed. Dự án xếp mod_php là cấu hình có rủi ro cao nhất, và đã có một phương thức khai thác được chứng minh là có thể kích hoạt trước khi bất kỳ mã ứng dụng nào chạy. Các nhà phân phối Linux và nhà cung cấp hỗ trợ dài hạn đã được gửi bản vá trước.

Dự án không còn phát hành bản cập nhật nào cho PHP 8.1 trở xuống. Tuy vậy, đội ngũ bảo mật vẫn phát hành các bản backport mã nguồn tối thiểu cho PHP 7.4, 8.0 và 8.1. Khoảng 70% tổng số trang web có ngôn ngữ phía máy chủ đã được xác định sử dụng PHP. Nhật Bản, EU, Mỹ, Đức, Úc và Anh cũng đã đưa ra cảnh báo. Phần Lan, Hà Lan và Pháp đã tạm thời đưa các trang web của chính phủ ngoại tuyến để đề phòng. Nintendo ngừng cung cấp dịch vụ để cài đặt bản vá.

Bài viết Sakura Internet tạm dừng các công cụ đám mây trước lời kêu gọi về PHP xuất hiện đầu tiên trên Coinfea.