AI ने PHP में दो गंभीर खामियां खोजीं, अधिकांश वेब अपडेट के लिए दौड़ा

दुनिया की लगभग 70 प्रतिशत वेबसाइटों को चलाने वाले सॉफ्टवेयर PHP में दो गंभीर खामियां बुधवार, 21 अक्टूबर को सार्वजनिक की गईं, और दुनिया भर के वेबसाइट मालिक आपात सुधार लगाने के लिए दौड़ पड़े। PHP के डेवलपर्स ने उसी दिन अपडेट किए गए संस्करण जारी किए और हर उपयोगकर्ता से तुरंत अपडेट करने को कहा।

इन खामियों को CVE-2026-109618 और CVE-2026-109619 के नाम से जाना जाता है, और शोधकर्ता इन्हें मिलाकर php2shell कहते हैं। दोनों की गंभीरता 10 में से 9.2 है। PHP सर्वर पर पर्दे के पीछे काम करता है, फॉर्म प्रोसेस करता है और WordPress, Drupal और Joomla जैसे प्लेटफॉर्म पर बनी साइटों के लिए जानकारी लाता है।

खामियां क्या करती हैं

खामियां इसमें हैं कि PHP वेब अनुरोधों को प्रोसेस करते समय त्रुटियों को कैसे संभालता है। अगर कोई अनुरोध बहुत बड़ा हो और PHP की मेमोरी खत्म हो जाए, तो सॉफ्टवेयर वह मेमोरी छोड़ नहीं पाता जिसे उसने इस्तेमाल करने की कोशिश की थी, Cloudflare ने अपने विवरण में कहा। उस मेमोरी के डेटा से छेड़छाड़ करने वाला हमलावर प्रोसेस को बंद करा सकता है, सर्वर पर रखी संवेदनशील जानकारी पढ़ सकता है, या मशीन पर अपना कोड चला सकता है, वह भी लॉग इन किए बिना।

Google की मूल कंपनी Alphabet के स्वामित्व वाली सुरक्षा फर्म Wiz ने कहा कि उसने WordPress, Drupal और Joomla पर सफल हमले करके दिखाए, और सर्वर की मेमोरी से पासवर्ड और एक्सेस विवरण पढ़ सकी। Palo Alto Networks की Unit 42 ने इंटरनेट पर खुले 2.26 करोड़ से अधिक सिस्टम गिने जो खतरे में हो सकते हैं। हर PHP साइट पर हमला संभव नहीं है, क्योंकि सेटअप अलग अलग होते हैं, लेकिन डेवलपर्स ने कहा कि वेब अनुरोध लेने वाली हर स्थापना खतरे में है।

AI ने खामियां खोजीं, लीक ने समय आगे खिसकाया

सुरक्षा फर्म Calif ने OpenAI के GPT-5.6 Sol मॉडल का इस्तेमाल करके पहली खामी खोजी और Reuters के अनुसार 11 अगस्त 2026 को PHP को इसकी सूचना दी। Wiz ने स्वतंत्र रूप से खामियां खोजीं और 24 अगस्त 2026 को दूसरी खामी की सूचना दी, उसमें भी AI मॉडल का इस्तेमाल हुआ था। सुधार गुप्त रूप से तैयार हो रहे थे, जब तक कि मंगलवार, 20 अक्टूबर 2026 को Hacker News फोरम पर विवरण लीक नहीं हो गया। इसके बाद डेवलपर्स ने रिलीज एक दिन पहले कर दी।

OpenAI ने इन खामियों को हाल के समय के सबसे बड़े असर वाले सुरक्षा मुद्दों में से एक बताया, और कहा कि उसने व्हाइट हाउस, राष्ट्रीय साइबर निदेशक कार्यालय और CISA के साथ काम किया ताकि मार्गदर्शन जरूरी सेवाओं के संचालकों तक पहुंचे। व्हाइट हाउस ने बुधवार को कहा कि वह सुधार की रिलीज तेज करने और अमेरिकी नेटवर्कों की रक्षा के लिए काम कर रहा है।

सरकारें जोखिम लेने के बजाय साइटें बंद कर रही हैं

NSA, FBI और CISA ने बुधवार को संगठनों से तुरंत पैच लगाने और जिन्हें जल्द सुरक्षित न किया जा सके उन सिस्टमों को ऑफलाइन करने का आग्रह किया। NSA ने कहा कि इस तरह की खामियां अक्सर हमलावर को सर्वर के फाइल सिस्टम या डेटाबेस तक सीधा रास्ता देती हैं। ब्रिटेन, कनाडा, ऑस्ट्रेलिया और यूरोपीय संघ की साइबर एजेंसियों ने भी ऐसी ही चेतावनियां जारी कीं। फिनलैंड सरकार और नीदरलैंड के प्रतिनिधि सदन ने बुधवार को अपडेट करते समय साइटों को इंटरनेट से हटा दिया।

सुधारे गए संस्करण PHP 8.5.12, 8.4.27, 8.3.36 और 8.2.35 हैं। WordPress या किसी अन्य ऐप को अपडेट करने से उसके नीचे का PHP अपडेट नहीं होता, इसलिए मालिकों को सर्वर पैकेज ही अपडेट करना होगा, या अपने होस्टिंग प्रदाता से पुष्टि लेनी होगी। Cloudflare ने कहा कि उसने अपने ग्राहकों की सुरक्षा के लिए फायरवॉल नियम लगा दिए हैं। watchTowr और Sophos के विशेषज्ञों ने कहा कि अपराधी पहले से खामियों पर चर्चा और परीक्षण कर रहे हैं, हालांकि बुधवार दोपहर तक किसी सफल हमले की पुष्टि नहीं हुई थी।

स्रोत

Reuters Nextgov Cybersecurity Dive USA Today