सार:
क्लाउडफ्लेयर, एक वैश्विक क्लाउड सेवा और नेटवर्क सुरक्षा कंपनी, ने 21 अक्टूबर, 2026 को घोषणा की कि उसने PHP प्रोग्रामिंग भाषा में "php2shell" के रूप में जानी जाने वाली दो गंभीर सुरक्षा कमजोरियों के खिलाफ वेब एप्लिकेशन फ़ायरवॉल (WAF) सुरक्षा नियमों को तैनात किया है। दो कमजोरियों को क्रमशः CVE-2026-109618 और CVE-2026-109619 क्रमांकित किया गया है, जिससे सेवा से इनकार, रिमोट कोड निष्पादन और संवेदनशील डेटा रिसाव हो सकता है।
क्लाउडफ्लेयर ने कहा कि कंपनी ने भेद्यता को आधिकारिक तौर पर सार्वजनिक किए जाने से पहले सुरक्षात्मक उपाय तैयार करना शुरू कर दिया था और भेद्यता को सार्वजनिक किए जाने से लगभग 9 घंटे पहले तैनाती पूरी कर ली थी। 21 अक्टूबर को प्रातः 3:02 बजे UTC से, क्लाउडफ़ेयर WAF को सक्षम करने वाले निःशुल्क और सशुल्क दोनों ग्राहकों को डिफ़ॉल्ट रूप से सुरक्षा प्राप्त होगी।
यह सुरक्षा कार्य समन्वित प्रतिक्रिया कार्यों में से एक है जिसमें क्लाउडफ़ेयर ने PHP फाउंडेशन, ओपनएआई, विज़ और अन्य संगठनों के साथ मिलकर भाग लिया। जब भेद्यता की जानकारी पहले से लीक हो जाती है और हमलावर कमजोरियों का फायदा उठाने की कोशिश करना शुरू कर देते हैं, तो संबंधित सुरक्षा टीमें सुरक्षा नियमों को समायोजित करना जारी रखती हैं और वेबसाइट ऑपरेटरों के सॉफ्टवेयर अपग्रेड पूरा करने से पहले इंटरनेट सेवाओं के लिए अतिरिक्त सुरक्षा प्रदान करने का प्रयास करती हैं।
क्लाउडफ्लेयर ने कहा कि भेद्यता को आधिकारिक तौर पर सार्वजनिक किए जाने से पहले, कंपनी ने ग्राहकों को लक्षित करने वाले हमले के ट्रैफ़िक को देखा था। सुरक्षा दल ने यह भी पाया कि हमलावरों ने तैनात सुरक्षा उपायों को बायपास करने के प्रयास में हमले के पेलोड को संशोधित करना जारी रखा। नियम मिलानों की संख्या को ट्रैक करके और नियम तर्क के साथ हमलावरों में परिवर्तनों का विश्लेषण करके, क्लाउडफ्लेयर नए हमले वेरिएंट से निपटने के लिए पहचान तंत्र को लगातार समायोजित कर सकता है।
PHP एक सर्वर-साइड प्रोग्रामिंग भाषा है जो इंटरनेट पर व्यापक रूप से उपयोग की जाती है। क्लाउडफ्लेयर ने W3Techs के डेटा का हवाला दिया और बताया कि दुनिया की लगभग 70% वेबसाइटें PHP का उपयोग करती हैं। वर्डप्रेस और मैगेंटो सहित सभी सामान्य वेबसाइट प्लेटफ़ॉर्म चलने के लिए PHP पर निर्भर हैं। इसलिए, एक बार अंतर्निहित ऑपरेटिंग वातावरण में गंभीर भेद्यता उत्पन्न होने पर, यह बड़ी संख्या में वेबसाइटों, ऑनलाइन सेवाओं और एंटरप्राइज़ अनुप्रयोगों को प्रभावित कर सकती है।
यह भेद्यता PHP रनटाइम को ही प्रभावित करती है, किसी विशिष्ट वेबसाइट प्रोग्राम या प्लग-इन को नहीं। एक हमलावर सर्वर पर एक विशेष रूप से निर्मित HTTP अनुरोध भेज सकता है, जो असामान्य स्थिति में मेमोरी समस्याओं को संभालने के लिए PHP को ट्रिगर करता है। क्लाउडफ्लेयर द्वारा बताई गई जानकारी के अनुसार, दो कमजोरियों में मेमोरी खत्म होने पर संबंधित मेमोरी और आंतरिक स्थिति को सुरक्षित रूप से संभालने में PHP की विफलता या अनुरोध प्रसंस्करण के दौरान घातक त्रुटियां शामिल हैं।
पहली भेद्यता, CVE-2026-109618, में मेमोरी समाप्त होने के बाद अपवाद प्रबंधन शामिल है। जब PHP कुछ आंतरिक डेटा आरंभ नहीं होने पर अनुरोध को बाधित करता है, तो बाद के क्लीनअप ऑपरेशन गलती से इन डेटा का उपयोग कर सकते हैं जिन्हें सामान्य डेटा के रूप में प्रभावी ढंग से आरंभ नहीं किया गया है, जिससे मेमोरी भ्रष्टाचार हो सकता है।
दूसरी भेद्यता, CVE-2026-109619, में आंतरिक स्थिति शामिल है जो अनुरोध समाप्त होने के बाद भी बनी रहती है। जब किसी अनुरोध में कोई घातक त्रुटि होती है, तो PHP प्रक्रिया मुक्त मेमोरी के संदर्भों को बनाए रखना जारी रख सकती है। यदि वही प्रक्रिया बाद में किसी अन्य अनुरोध को संभालती है, तो यह समाप्त हो चुकी मेमोरी तक पहुंच सकती है, जिससे संवेदनशील डेटा का रिसाव हो सकता है या आगे के हमलों के लिए स्थितियां भी बन सकती हैं।
एक हमलावर विशिष्ट अनुरोध बनाकर इन अपवादों को ट्रिगर कर सकता है। बड़े अनुरोध मेमोरी दबाव का कारण बन सकते हैं, लेकिन जोखिम केवल सर्वर संसाधनों के उपभोग तक सीमित नहीं है। हमलावर PHP प्रक्रिया को क्रैश करने, संवेदनशील जानकारी लीक करने या हमलावर द्वारा प्रदान किए गए कोड को निष्पादित करने के लिए प्रोग्राम की अमान्य मेमोरी को संभालने में खामियों का भी फायदा उठा सकते हैं।
ऐसी कमजोरियों के सामने, पारंपरिक वेब एप्लिकेशन फ़ायरवॉल नियम हमेशा निर्णय के लिए पर्याप्त विश्वसनीय आधार प्रदान नहीं करते हैं। क्लाउडफ्लेयर का कहना है कि केवल आने वाले अनुरोधों का निरीक्षण करके, कभी-कभी सामान्य ट्रैफ़िक से दुर्भावनापूर्ण हमलों को सटीक रूप से अलग करना मुश्किल होता है। यदि आप एक ही समय में अनुरोध और सर्वर द्वारा लौटाई गई प्रतिक्रिया का विश्लेषण कर सकते हैं, तो आपके पास अधिक प्रासंगिक जानकारी प्राप्त करने का अवसर होगा, अधिक सटीक रूप से यह निर्धारित करने का अवसर होगा कि हमला सफल है या नहीं, और सामान्य अनुरोधों को गलती से रोकने की संभावना कम हो जाएगी।
इस उद्देश्य के लिए, क्लाउडफ्लेयर ने "पूर्ण लेनदेन पहचान" नामक एक नई WAF क्षमता विकसित की है। यह तंत्र विश्लेषण के लिए एक ही HTTP लेनदेन में अनुरोध और प्रतिक्रिया संकेतों को जोड़ता है। जब पता लगाने के नियम यह पुष्टि करते हैं कि लेनदेन हमले की विशेषताओं को पूरा करता है, तो स्रोत सर्वर से प्रतिक्रिया सामग्री को अनुरोधकर्ता को वापस करने से पहले इंटरसेप्ट किया जा सकता है।
Php2shell के लिए तैनात सुरक्षा नियम इस नई क्षमता का उपयोग करके Cloudflare द्वारा लॉन्च किए गए पहले प्रबंधित डिटेक्शन नियम हैं। कंपनी का मानना है कि अनुरोधों और प्रतिक्रियाओं का व्यापक विश्लेषण करके, यह केवल अनुरोध विशेषताओं पर भरोसा करने के कारण होने वाली संभावित गलतफहमियों को कम करते हुए जटिल हमलों की पहचान कर सकती है।
विशिष्ट परिनियोजन के संदर्भ में, क्लाउडफ़ेयर ने कहा कि मुफ़्त पैकेज उपयोगकर्ताओं को नए सुरक्षा नियमों को मैन्युअल रूप से सक्षम करने की आवश्यकता नहीं है। प्रासंगिक नियम क्लाउडफ़ेयर द्वारा होस्ट किए गए निःशुल्क नियम सेट में स्वचालित रूप से तैनात किए गए हैं। सशुल्क पैकेज क्लाउडफ़ेयर प्रबंधित नियम सेट के माध्यम से सुरक्षा प्रदान करते हैं। प्रोफेशनल, बिजनेस और एंटरप्राइज संस्करणों के उपयोगकर्ताओं को केवल हमले की घटनाओं को लॉग करने के बजाय यह पुष्टि करनी चाहिए कि प्रासंगिक नियम सेट सक्षम हैं और ब्लॉकिंग मोड में हैं।
क्लाउडफ्लेयर अपने प्रबंधित रिस्पॉन्स फ़ायरवॉल डिफ़ॉल्ट नियमों में उच्च-विश्वास वाले हमले हस्ताक्षरों के लिए डिफ़ॉल्ट अवरोधन नियमों को भी तैनात करता है। उपयोगकर्ता इंटरसेप्ट किए गए अनुरोधों, मिलान नियमों और संबंधित पथों को देखने के लिए सुरक्षा विश्लेषण इंटरफ़ेस में प्रवेश कर सकते हैं ताकि यह समझ सकें कि उनकी वेबसाइट पर हमला हो रहा है या नहीं। जिन ग्राहकों को अधिक विस्तृत नियंत्रण की आवश्यकता होती है, उनके लिए प्रबंधित नियम सेट का दायरा भी समायोजित किया जा सकता है।
हालांकि, क्लाउडफ्लेयर ने बार-बार इस बात पर जोर दिया है कि WAF सुरक्षा का उपयोग केवल गहराई में रक्षा के हिस्से के रूप में किया जा सकता है और यह आधिकारिक PHP पैच को प्रतिस्थापित नहीं कर सकता है। भले ही किसी वेबसाइट में क्लाउडफ्लेयर फ़ायरवॉल सक्षम हो, फिर भी प्रशासकों को सर्वर पर चल रहे वास्तविक PHP सॉफ़्टवेयर को जल्द से जल्द अपडेट करना चाहिए। इसका कारण यह है कि WAF मुख्य रूप से ज्ञात या पता लगाने योग्य आक्रमण ट्रैफ़िक की पहचान करके और उसे अवरुद्ध करके जोखिमों को कम करता है, जबकि अप्रकाशित PHP रनिंग वातावरण में भेद्यता अभी भी मौजूद है। एक बार जब कोई हमलावर एक नई हमले की विधि अपनाता है, या अनुरोध मौजूदा नियमों द्वारा सटीक रूप से पहचाना नहीं जाता है, तो सिस्टम अभी भी खतरे में हो सकता है।
उन संगठनों के लिए जो तुरंत अपग्रेड पूरा नहीं कर सकते, क्लाउडफ़ेयर अनावश्यक फ़ाइल अपलोड फ़ंक्शंस को सीमित करते हुए WAF सुरक्षा को सक्षम करने और अपलोड इंटरफ़ेस के लिए उचित फ़ाइल आकार सीमाएं निर्धारित करने की सलाह देता है जिन्हें बनाए रखा जाना चाहिए। ये उपाय कुछ आक्रमण पथों के जोखिम को कम करने में मदद कर सकते हैं, लेकिन वे भेद्यता की समस्या को पूरी तरह से हल नहीं कर सकते हैं। प्रबंधित होस्टिंग का उपयोग करने वाली वेबसाइटों के लिए, यदि ऑपरेटर सीधे PHP संस्करण का प्रबंधन नहीं कर सकता है, तो उन्हें यह पुष्टि करने के लिए जितनी जल्दी हो सके होस्टिंग सेवा प्रदाता से संपर्क करना चाहिए कि क्या उसने आधिकारिक सुरक्षा अपडेट तैनात किए हैं।
क्लाउडफ्लेयर ने कहा कि उसकी सुरक्षा विश्लेषण टीम हमले की गतिविधियों की निगरानी करना जारी रखेगी और हमलावरों द्वारा अपनाई गई नई प्रौद्योगिकियों और पेलोड वेरिएंट के आधार पर सुरक्षा नियमों को अपडेट करेगी। कंपनी यह भी अनुशंसा करती है कि उपयोगकर्ता बहुस्तरीय सुरक्षा बनाने के लिए PHP कमजोरियों की मरम्मत करते समय प्रासंगिक WAF सुरक्षा बनाए रखना जारी रखें।
यह घटना इंटरनेट सुरक्षा प्रतिक्रिया तंत्र के महत्व पर प्रकाश डालती है। अंतर्निहित सॉफ़्टवेयर कमजोरियों के लिए जिनका व्यापक प्रभाव होता है और दूर से शोषण किया जा सकता है, केवल एक पैच जारी करना यह सुनिश्चित करने के लिए पर्याप्त नहीं है कि सभी वेबसाइटों को तुरंत सुरक्षा बहाल कर दी जाए, क्योंकि विभिन्न ऑपरेटरों की अद्यतन गति, रखरखाव क्षमताएं और सर्वर प्रबंधन विधियां बहुत भिन्न होती हैं। क्लाउड सेवा प्रदाता पैच रिलीज़ और बड़े पैमाने पर इंस्टॉलेशन के बीच मूल्यवान समय बिताने के लिए पहले से ही सुरक्षा नियम लागू करते हैं।
लेकिन लंबे समय में, सबसे विश्वसनीय समाधान अभी भी PHP के आधिकारिक तौर पर जारी मरम्मत संस्करण में अपग्रेड करना है। क्लाउडफ़ेयर के अस्थायी सुरक्षा उपाय वेबसाइटों के लिए अतिरिक्त बाधाएँ प्रदान कर सकते हैं, लेकिन वे यह गारंटी नहीं दे सकते कि सभी आक्रमण प्रकारों को अवरुद्ध कर दिया जाएगा। PHP चलाने वाली वेबसाइटों के लिए, अंतर्निहित ऑपरेटिंग वातावरण की समय पर मरम्मत, फ़ायरवॉल नियमों को सक्षम रखना, और असामान्य अनुरोधों की निरंतर जाँच अभी भी इस php2shell भेद्यता से निपटने के लिए महत्वपूर्ण उपाय हैं।
संबंधित लेख:
PHP ने गंभीर सुरक्षा कमजोरियों को उजागर किया है, और वैश्विक वेबसाइट ऑपरेटरों ने तत्काल पैचिंग स्थिति में प्रवेश किया है
टिप्पणियाँ