Penutupan Perkhidmatan Akibat Kerentanan Keselamatan PHP di Jepun Mencecah 1,090, Perkhidmatan Sukar Dibuka Semula

Ratusan perkhidmatan masih menunggu untuk beroperasi semula

Tindakan Jepun menangani dua kelemahan keselamatan PHP yang serius telah menjejaskan sekurang-kurangnya 1,090 laman web dan perkhidmatan dalam talian, dengan ratusan daripadanya masih belum mengumumkan bahawa operasi telah disambung semula setakat 26 Oktober 2026. Gangguan itu menjejaskan beli-belah dalam talian, urusan akaun kewangan, perkhidmatan penjagaan kanak-kanak dan permainan, ketika pengendali memasang pembaikan serta memeriksa sama ada sistem mereka selamat untuk disambungkan semula.

Assured, sebuah syarikat Tokyo yang menyediakan maklumat penilaian keselamatan bagi perkhidmatan awan, mengira 1,090 penggantungan perkhidmatan setakat pukul 3 petang pada 26 Oktober. Analisisnya kebanyakannya berdasarkan hantaran pengumuman penutupan daripada akaun rasmi di X. Jumlah itu meningkat daripada 502 pada pukul 2 petang, 23 Oktober, iaitu pertambahan 588 atau kira-kira 117% dalam tempoh sekitar tiga hari.

Assured belum mengesahkan pengumuman pembukaan semula bagi 465 perkhidmatan tersebut. Angka itu mewakili kira-kira 43% daripada penggantungan yang direkodkan. Oleh sebab angka tersebut menjejaki pengumuman awam, status terkini 465 perkhidmatan itu masih perlu disahkan dengan pengendalinya.

Bandai Namco Holdings menjangkakan kedai dalam taliannya yang menjual mainan dan barangan lain akan dibuka semula pada tengah hari 27 Oktober, selepas penyelenggaraan bermula pada malam 21 Oktober. Sambungan dalam talian untuk permainan arked, termasuk Taiko no Tatsujin, masih digantung. Di Daiwa Securities, beberapa fungsi laman web telah tersedia semula, manakala permohonan untuk membuka akaun pelaburan NISA dan urusan seperti pertukaran alamat masih tidak dapat dilakukan pada pukul 5 petang, 26 Oktober.

Risiko yang ditimbulkan oleh kelemahan PHP2shell

Agensi Promosi Teknologi Maklumat Jepun, atau IPA, mengenal pasti kelemahan itu sebagai CVE-2026-109618 dan CVE-2026-109619 dalam amaran keselamatan PHP bertarikh 22 Oktober. Gabungan kedua-duanya dikenali sebagai PHP2shell. PHP ialah perisian yang digunakan untuk menjalankan banyak laman web dan aplikasi web, dengan mengendalikan tugas pada pelayan sebelum maklumat sampai ke pelayar pengguna.

CVE-2026-109618 berkaitan pengendalian ralat apabila PHP kehabisan memori. CVE-2026-109619 pula berkaitan pemprosesan permintaan yang dihantar kepada pelayan. Eksploitasi kelemahan itu boleh membolehkan penyerang dari jauh melaksanakan kod sewenang-wenangnya, iaitu arahan yang dipilih oleh penyerang dan bukannya pengendali laman web.

JPCERT/CC, badan penyelarasan insiden keselamatan komputer Jepun, menyatakan bahawa kod itu boleh berjalan dengan keizinan proses PHP. Ringkasnya, penyerang boleh mendapat keupayaan untuk melakukan tindakan yang dibenarkan kepada perisian yang menjalankan laman web itu. Skop kesannya bergantung pada keizinan dan konfigurasi sistem yang terjejas.

IPA menyatakan bahawa organisasi perlu menyemak maklumat daripada pembangun atau penyedia produk yang digunakan, kerana PHP mungkin sebahagian daripada aplikasi atau perkhidmatan yang lebih besar. JPCERT/CC turut memberi amaran bahawa PHP yang dibekalkan melalui produk perisian atau pengedaran Linux mungkin terjejas, menjadikan panduan vendor sebahagian daripada tindakan yang perlu diambil.

Bagaimana penutupan perkhidmatan merebak

Pengendali perkhidmatan mula menutup sistem pada 21 Oktober, sebelum kemas kini keselamatan tersedia sekitar pukul 11 malam waktu Jepun. Ada yang mengambil tindakan lebih awal sebelum kemas kini dikeluarkan, ketika maklumat awam tentang kelemahan itu boleh meningkatkan risiko serangan.

Turutan peristiwa menunjukkan bagaimana kemas kini perisian yang mendesak bertukar menjadi gangguan selama beberapa hari:

• 21 Oktober: BASE, Codmon, Pixiv, DMM.com, niconico dan beberapa perkhidmatan Sakura Internet memulakan penyelenggaraan atau menggantung fungsi tertentu. Permainan termasuk Granblue Fantasy dan Uma Musume Pretty Derby turut dihentikan sementara.
• 21 Oktober, 9:55 malam: Perdana Menteri Sanae Takaichi menggesa persediaan segera untuk memasang tampalan dan berkata penggantungan sementara laman web boleh dipertimbangkan jika pemasangan serta-merta sukar dilakukan.
• 21 Oktober, sekitar 11 malam: Kemas kini keselamatan PHP dikeluarkan.
• 22 Oktober: IPA dan JPCERT/CC menerbitkan amaran yang menerangkan kelemahan tersebut serta tindakan yang disyorkan.
• 23 Oktober: Jumlah penggantungan yang dikira Assured mencecah 502. Pembangun PHP turut mendedahkan satu lagi kelemahan, CVE-2026-115560.
• 26 Oktober: Jumlah Assured mencecah 1,090, manakala JPCERT/CC mengemas kini amarannya dengan laporan cubaan eksploitasi.
• 27 Oktober, tengah hari: Bandai Namco menjangkakan kedai dalam talian yang menjual mainan dan barangan lain akan dibuka semula.

Mengapa menutup laman web menjadi satu pilihan

Pejabat Keselamatan Siber Kebangsaan Jepun menasihatkan bahawa penggantungan sementara laman web boleh mengurangkan risiko apabila pengendali tidak dapat memasang tampalan dengan segera. Takaichi mengulangi pilihan itu dalam rayuannya pada 21 Oktober. CERT-EU dan Pusat Keselamatan Siber Kebangsaan Britain turut menggesa tindakan dan menyatakan bahawa sistem boleh di luar talian sehingga perlindungan tersedia.

Panduan IPA menggariskan beberapa langkah yang boleh diambil. Organisasi perlu terlebih dahulu mempertimbangkan perlindungan sementara dan sekatan akses sementara kemas kini atau pemindahan sistem diatur. Jika langkah sementara yang berkesan sukar dilaksanakan, mereka perlu menilai sama ada akses dari luar patut disekat atau perkhidmatan digantung, dengan mengambil kira kemungkinan kerosakan dan gangguan perniagaan.

Bagi pelanggan, keputusan itu bermakna kehilangan akses kepada fungsi harian sementara pengendali mengambil tindakan. Laman beli-belah mungkin berhenti menerima pesanan, laman kewangan mungkin menggantung urusan akaun dan mesin arked mungkin terputus sambungan daripada ciri dalam talian.

Yasuhiro Suzuki, yang mengetuai siasatan Assured, berkata pengendali semakin memilih untuk menggantung perkhidmatan demi melindungi maklumat pelanggan, manakala kelewatan menyambung semula perkhidmatan menunjukkan betapa sukarnya memastikan pembukaan semula dilakukan dengan selamat. Penilaiannya merumuskan masalah operasi utama: akses boleh ditutup dengan cepat, tetapi pemulihannya memerlukan kerja asas diselesaikan terlebih dahulu.

Tampalan hanyalah sebahagian daripada proses pembukaan semula

Gangguan di Bandai Namco menunjukkan sebab perkhidmatan dalam kumpulan korporat yang sama boleh kembali beroperasi pada masa yang berbeza. Kumpulan itu menjangkakan kedai barangan dagangannya dibuka semula pada 27 Oktober, sementara sambungan untuk permainan arked masih digantung. Kemas kini kepada sistem yang diperlukan untuk memasang tampalan PHP mengambil masa.

Sesetengah perkhidmatan turut mempertimbangkan untuk memindahkan data buat sementara waktu ke pelayan syarikat lain yang keselamatannya telah diperiksa. Langkah itu akan mengubah lokasi operasi perkhidmatan sementara pasukan bekerja pada persekitaran yang terjejas, sekali gus menambah persediaan sebelum pelanggan boleh menggunakannya semula.

Daiwa Securities telah memulihkan sebahagian laman webnya, termasuk bahagian soalan lazim, tetapi permohonan akaun dan pertukaran alamat masih tidak dapat dilakukan pada 26 Oktober. Oleh itu, halaman maklumat yang berfungsi wujud serentak dengan urusan pelanggan yang terganggu.

IPA menjelaskan bahawa sistem yang lama tidak dikemas kini mungkin memerlukan perubahan pada kod aplikasi serta pemeriksaan untuk memastikan fungsi masih berjalan selepas PHP dikemas kini. Dokumen pembangunan yang hilang, ketiadaan kakitangan yang memahami sistem dan kontrak penyelenggaraan yang telah tamat boleh menyukarkan kerja. JPCERT/CC mengesyorkan agar ujian yang mencukupi dilakukan, diikuti pemasangan versi yang telah diperbetulkan dengan segera.

Versi manakah yang perlu diberi perhatian?

IPA dan JPCERT/CC menyenaraikan empat keluaran PHP yang telah diperbetulkan untuk menangani dua kelemahan asal: PHP 8.2.35, 8.3.36, 8.4.27 dan 8.5.12. Keluaran terdahulu dalam setiap cabang tersebut terjejas. Pengendali perlu memilih pembaikan yang sepadan dengan cabang PHP yang digunakan oleh sistem mereka serta menyemak panduan daripada penyedia perisian atau sistem operasi.

Pemasangan lama menimbulkan masalah tambahan. IPA memetik penemuan syarikat keselamatan siber Wiz bahawa versi PHP 5.4 dan yang lebih baharu terjejas oleh sekurang-kurangnya satu daripada dua kelemahan itu. PHP 8.1 dan versi terdahulu telah tamat tempoh sokongan, bermakna versi tersebut tidak lagi menerima penyelenggaraan biasa yang disediakan untuk keluaran yang masih disokong.

IPA menasihatkan agar organisasi beralih kepada versi PHP yang masih disokong atau produk dan perkhidmatan yang mempunyai perlindungan, jika pembaikan tidak tersedia. JPCERT/CC menambah bahawa pembangun PHP telah menyediakan langkah mitigasi terhad untuk PHP 7.4, 8.0 dan 8.1 berikutan keseriusan kelemahan tersebut.

Mitigasi sementara mengurangkan pendedahan melalui laluan serangan tertentu. JPCERT/CC menyatakan bahawa pengemaskinian ialah penyelesaian bagi kelemahan asal, jadi organisasi yang menggunakan tetapan sementara masih perlu merancang kemas kini perisian atau pemindahan sistem yang diperlukan.

Cubaan serangan meningkatkan keperluan untuk bertindak segera

Kemas kini JPCERT/CC pada 26 Oktober kepada nasihat kelemahan PHP menyatakan bahawa banyak kod demonstrasi yang mendakwa boleh mengeksploitasi kelemahan itu telah muncul. Kemas kini tersebut turut memetik laporan berulang tentang trafik rangkaian yang cuba mengeksploitasi kelemahan berkenaan.

Sama ada kod sedemikian berjaya bergantung pada faktor termasuk versi PHP, persekitaran pelaksanaan dan susunan data dalam memori. JPCERT/CC memberi amaran bahawa kaedah serangan dan teknik lain yang menyasarkan persekitaran tertentu mungkin muncul, serta mengesyorkan pengemaskinian dan siasatan bagi mengenal pasti kemungkinan pencerobohan.

Panduan siasatannya merangkumi pemeriksaan kuki PHPSESSID yang luar biasa panjang atau mempunyai format pelik. Kuki ini membawa maklumat yang digunakan untuk mengenal pasti sesi pelayar. Petanda amaran lain termasuk permintaan mencurigakan yang menggunakan multipart/form-data, format yang lazim digunakan untuk muat naik, khususnya jika berlaku berhampiran ralat had memori atau ralat HTTP 500 yang menandakan masalah pelayan.

Pelayan yang ranap tanpa dijangka atau proses pekerja PHP yang kerap dimulakan semula juga perlu diperiksa. Proses pekerja ialah proses yang mengendalikan tugas masuk. JPCERT/CC turut mengesyorkan pemeriksaan terhadap proses yang mencurigakan, komunikasi luaran dan fail yang baru dicipta, di samping pemantauan berterusan. Jika pencerobohan disyaki, badan itu menasihatkan supaya log dan bukti lain dipelihara, kawasan yang terjejas disiasat dan sistem diasingkan jika perlu.

Kelemahan ketiga memerlukan perubahan tetapan

Pembangun PHP mendedahkan CVE-2026-115560 pada 23 Oktober, menambah satu lagi tugas dalam usaha menangani masalah tersebut. JPCERT/CC menyatakan bahawa kelemahan ini boleh membolehkan pelaksanaan kod sewenang-wenangnya jika gabungan tetapan konfigurasi dan kod aplikasi tertentu digunakan.

Pembangun menyifatkan konfigurasi yang terjejas itu sebagai jarang digunakan dan merancang pembaikan melalui kitaran keluaran biasa. Sehingga keluaran itu tersedia, JPCERT/CC menyampaikan saranan supaya tetapan session.upload_progress.enabled=0 digunakan dan setiap proses pekerja dimulakan semula. Kemas kini pada 26 Oktober itu tidak menyatakan tarikh keluaran pembaikan.

Tetapan yang sama telah pun disyorkan sebagai langkah mitigasi bagi CVE-2026-109619. Menurut nasihat tersebut, pengendali yang telah menggunakannya tidak perlu mengulangi langkah konfigurasi itu. Pasukan masih perlu mengambil kira dua kelemahan asal serta isu tambahan ini ketika memeriksa sistem mereka.

Sesetengah organisasi perlu membuat keputusan yang lebih besar

Nasihat IPA melangkaui pembaikan segera. Agensi itu meminta organisasi meneliti peranan yang masih dimainkan oleh sesuatu sistem, sejauh mana sistem itu digunakan dan sama ada perkhidmatan lain boleh menggantikannya. Bagi perisian yang lama tidak diselenggara, pemulihan perkhidmatan mungkin memerlukan keputusan tentang pihak yang akan menyokongnya selepas itu.

Pengurus perniagaan dan eksekutif, selain kakitangan teknikal, perlu menilai sama ada mereka mempunyai kakitangan, belanjawan dan aturan penyelenggaraan yang diperlukan untuk mengemas kini atau memindahkan sistem serta meneruskan operasinya, menurut IPA. Jika sokongan sedemikian dapat disediakan, agensi itu mengesyorkan agar kemas kini diteruskan atau perkhidmatan dipindahkan ke perkhidmatan yang dilindungi.

Jika penyelenggaraan berterusan tidak dapat diatur, IPA menyenaraikan pilihan lain: beralih kepada produk yang disokong, mengurangkan fungsi, menamatkan akses awam atau menghentikan penggunaan sistem. Agensi itu turut menggesa organisasi merancang cara menyimpan atau memindahkan data yang diperlukan dan menerangkan aturan alternatif kepada pengguna.

Cabaran praktikal kini meliputi pemasangan keluaran PHP tertentu hingga pemulihan fungsi pelanggan satu demi satu. Pembukaan semula kedai Bandai Namco yang dijadualkan menjadi satu langkah yang dijangka, manakala 465 perkhidmatan yang belum mempunyai pengumuman pembukaan semula yang disahkan dalam kiraan Assured menunjukkan betapa banyak status perkhidmatan masih perlu diperiksa pada 26 Oktober.

Perkara Utama

• Assured mengira 1,090 penggantungan perkhidmatan di Jepun setakat pukul 3 petang pada 26 Oktober, meningkat daripada 502 pada 23 Oktober.
• Pengumuman pembukaan semula bagi 465 perkhidmatan, kira-kira 43% daripada jumlah keseluruhan, masih belum disahkan.
• Kelemahan PHP2shell boleh membolehkan penyerang dari jauh menjalankan kod dengan keizinan proses PHP.
• Keluaran yang telah diperbetulkan bagi dua kelemahan asal ialah PHP 8.2.35, 8.3.36, 8.4.27 dan 8.5.12.
• JPCERT/CC memberi amaran tentang kod demonstrasi yang diterbitkan dan laporan cubaan eksploitasi.
• Kelemahan ketiga memerlukan perubahan konfigurasi sementara serta proses memulakan semula semua pekerja sementara pembaikan disediakan.
• Bandai Namco menjangkakan kedai barangan dagangannya dibuka semula pada tengah hari 27 Oktober; beberapa sambungan arked dan urusan Daiwa Securities masih digantung pada 26 Oktober.