AI ले PHP मा दुई गम्भीर त्रुटि फेला पार्‍यो, अधिकांश वेब अद्यावधिक गर्न हतारियो

विश्वका करिब ७० प्रतिशत वेबसाइट चलाउने सफ्टवेयर PHP मा रहेका दुई गम्भीर त्रुटि बुधबार, अक्टोबर २१ मा सार्वजनिक गरियो, र विश्वभरका वेबसाइट सञ्चालकहरू आकस्मिक सुधार लगाउन हतारिए। PHP का विकासकर्ताहरूले त्यही दिन अद्यावधिक संस्करणहरू जारी गरे र सबै प्रयोगकर्तालाई तुरुन्त अद्यावधिक गर्न भने।

यी त्रुटिहरू CVE-2026-109618 र CVE-2026-109619 भनेर चिनिन्छन्, र अनुसन्धानकर्ताहरूले यिनलाई सँगै php2shell भनेका छन्। दुवैको गम्भीरता १० मा ९.२ छ। PHP ले सर्भरमा पर्दापछाडि काम गर्छ, फारमहरू प्रशोधन गर्छ र WordPress, Drupal र Joomla जस्ता प्लेटफर्ममा बनेका साइटहरूका लागि जानकारी निकाल्छ।

त्रुटिहरूले के गर्छन्

त्रुटिहरू PHP ले वेब अनुरोध प्रशोधन गर्दा हुने त्रुटि कसरी सम्हाल्छ भन्नेमा छन्। अनुरोध धेरै ठूलो भएर PHP को मेमोरी सकिएमा, सफ्टवेयरले प्रयोग गर्न खोजेको मेमोरी छोड्न सक्दैन, Cloudflare ले आफ्नो विवरणमा भन्यो। त्यो मेमोरीको डेटा चलाउने आक्रमणकारीले प्रक्रिया बन्द गराउन, सर्भरमा रहेको संवेदनशील जानकारी पढ्न वा आफ्नै कोड चलाउन सक्छ, त्यो पनि लग इन नगरी।

Google को अभिभावक Alphabet को स्वामित्वमा रहेको सुरक्षा कम्पनी Wiz ले WordPress, Drupal र Joomla मा सफल आक्रमण देखाएको र सर्भरको मेमोरीबाट पासवर्ड र पहुँच विवरण पढ्न सकेको बतायो। Palo Alto Networks को Unit 42 ले इन्टरनेटमा खुला रहेका २ करोड २६ लाखभन्दा बढी प्रणाली जोखिममा हुन सक्ने गन्यो। सबै PHP साइटमा आक्रमण गर्न सकिँदैन, किनकि सेटअप फरक हुन्छ, तर विकासकर्ताहरूले वेब अनुरोध लिने सबै स्थापना जोखिममा रहेको बताए।

AI ले त्रुटि फेला पार्‍यो, चुहावटले तालिका अगाडि सार्‍यो

सुरक्षा कम्पनी Calif ले OpenAI को GPT-5.6 Sol मोडेल प्रयोग गरेर पहिलो त्रुटि फेला पार्‍यो र Reuters का अनुसार अगस्ट ११, २०२६ मा PHP लाई जानकारी दियो। Wiz ले स्वतन्त्र रूपमा त्रुटिहरू फेला पार्‍यो र अगस्ट २४, २०२६ मा दोस्रो त्रुटि जानकारी दियो, त्यसमा पनि AI मोडेल प्रयोग भएको थियो। विवरण मंगलबार, अक्टोबर २०, २०२६ मा Hacker News फोरममा चुहिएसम्म सुधारहरू गोप्य रूपमा तयार हुँदै थिए। त्यसपछि विकासकर्ताहरूले जारी गर्ने मिति एक दिन अगाडि सारे।

OpenAI ले यी त्रुटिहरूलाई हालैको समयको सबैभन्दा ठूलो असर पार्ने सुरक्षा समस्यामध्ये एक भन्यो, र आवश्यक सेवाका सञ्चालकसम्म मार्गदर्शन पुगोस् भनेर ह्वाइट हाउस, राष्ट्रिय साइबर निर्देशकको कार्यालय र CISA सँग काम गरेको बतायो। ह्वाइट हाउसले बुधबार सुधारको जारी प्रक्रिया छिटो गर्न र अमेरिकी नेटवर्कहरू जोगाउन काम गरिरहेको बतायो।

सरकारहरू जोखिम लिनुभन्दा साइट बन्द गर्छन्

NSA, FBI र CISA ले बुधबार संस्थाहरूलाई तुरुन्त प्याच लगाउन र छिट्टै सुरक्षित गर्न नसकिने प्रणाली अफलाइन गर्न आग्रह गरे। NSA ले यस्ता त्रुटिले आक्रमणकारीलाई सर्भरको फाइल प्रणाली वा डाटाबेससम्म सीधा बाटो दिने गरेको बतायो। बेलायत, क्यानडा, अस्ट्रेलिया र युरोपेली संघका साइबर निकायहरूले पनि उस्तै चेतावनी दिए। फिनल्याण्ड सरकार र नेदरल्याण्ड्सको प्रतिनिधिसभाले बुधबार अद्यावधिक गर्दै गर्दा साइटहरू इन्टरनेटबाट हटाए।

सुधारिएका संस्करणहरू PHP 8.5.12, 8.4.27, 8.3.36 र 8.2.35 हुन्। WordPress वा अन्य एप अद्यावधिक गर्दैमा तलको PHP अद्यावधिक हुँदैन, त्यसैले सञ्चालकले सर्भर प्याकेज नै अद्यावधिक गर्नुपर्छ वा होस्टिङ प्रदायकले गरेको पुष्टि लिनुपर्छ। Cloudflare ले आफ्ना ग्राहक जोगाउन फायरवाल नियम लगाएको बतायो। watchTowr र Sophos का विशेषज्ञहरूले अपराधीहरूले त्रुटिबारे छलफल र परीक्षण सुरु गरिसकेको बताए, तर बुधबार दिउँसोसम्म कुनै सफल आक्रमण पुष्टि भएको थिएन।

स्रोतहरू

Reuters Nextgov Cybersecurity Dive USA Today