PHP गंभीर सुरक्षा भेद्यता को उजागर करती है, वैश्विक वेबसाइट ऑपरेटर तत्काल पैचिंग स्थिति में प्रवेश करते हैं

PHP विकास टीम द्वारा जारी सुरक्षा बुलेटिन के अनुसार, दो कमजोरियों का गंभीरता स्कोर 9.2 अंक है, CVSS v4.0 भेद्यता स्कोरिंग प्रणाली का उपयोग करते हुए 10 अंकों के पूर्ण स्कोर के साथ। विकास टीम सभी PHP उपयोगकर्ताओं को पहले से तैयारी करने और सुधार जारी होते ही अपग्रेड करने के लिए कहती है। घोषणा में यह भी कहा गया है कि यदि भेद्यता का विवरण पहले से बताया गया है, या यदि भेद्यता का वास्तव में शोषण किया गया पाया जाता है, तो पैच पहले ही जारी किया जा सकता है।

PHP इंटरनेट इंफ्रास्ट्रक्चर में सबसे व्यापक रूप से उपयोग की जाने वाली सर्वर-साइड प्रोग्रामिंग भाषा है। कई वेबसाइटें वेब पेज बनाने, उपयोगकर्ता अनुरोधों को संभालने, डेटाबेस से जुड़ने और पृष्ठभूमि व्यापार तर्क निष्पादित करने के लिए इस पर भरोसा करती हैं। वर्डप्रेस, ड्रुपल, जूमला और मैगेंटो सहित मुख्यधारा की सामग्री प्रबंधन प्रणालियाँ और ई-कॉमर्स प्लेटफ़ॉर्म, सभी बड़े पैमाने पर PHP का उपयोग करते हैं। इसलिए, इस भेद्यता का संभावित प्रभाव किसी निश्चित सॉफ़्टवेयर या किसी निश्चित प्रकार की वेबसाइट तक सीमित नहीं है, बल्कि बड़ी संख्या में इंटरनेट सेवाओं को प्रभावित कर सकता है।

इनमें वर्डप्रेस के प्रभाव का दायरा विशेष रूप से उल्लेखनीय है। वर्डप्रेस द्वारा पिछले साल जारी किए गए डेटा से पता चला कि प्लेटफ़ॉर्म दुनिया की 40% से अधिक वेबसाइटों का समर्थन करता है। साइबर सुरक्षा कंपनी वर्डफ़ेंस बताती है कि वर्डप्रेस वेबसाइटें अक्सर PHP स्थापित सर्वर पर चलती हैं, इसलिए जब तक अंतर्निहित PHP वातावरण में अप्रकाशित कमजोरियाँ हैं, तब तक संबंधित वेबसाइटें जोखिम में हो सकती हैं।

सुरक्षा शोधकर्ताओं का अनुमान है कि संभावित रूप से प्रभावित इंटरनेट होस्ट की संख्या 1.3 मिलियन से अधिक है। हालाँकि, यह संख्या शोधकर्ताओं द्वारा प्रारंभिक अनुमान है और इसका मतलब यह नहीं है कि सभी प्रासंगिक होस्ट से समझौता किया गया है, न ही यह निष्कर्ष निकाला जा सकता है कि सभी वेबसाइटें आवश्यक रूप से एक ही सीमा तक प्रभावित होंगी।

रिमोट कोड निष्पादन कमजोरियाँ खतरनाक हैं क्योंकि एक हमलावर वैध खाते या लॉगिन क्रेडेंशियल की आवश्यकता के बिना दुर्भावनापूर्ण कोड निष्पादित करने के लिए नेटवर्क पर एक कमजोर सर्वर पर विशेष रूप से तैयार किए गए अनुरोध भेज सकता है। एक बार जब हमला सफल हो जाता है, तो परिणामों में वेबसाइट पृष्ठों के साथ छेड़छाड़, सर्वर पर डेटा चोरी करना, दुर्भावनापूर्ण प्रोग्राम स्थापित करना और यहां तक ​​कि पूरे सर्वर को नियंत्रित करना भी शामिल हो सकता है। उन वेबसाइटों के लिए जो उपयोगकर्ता प्रोफ़ाइल, ग्राहक जानकारी या लेनदेन रिकॉर्ड संग्रहीत करती हैं, उल्लंघन से व्यापक डेटा उल्लंघन और व्यावसायिक व्यवधान भी हो सकता है।

सुरक्षा अनुसंधान संगठन watchTowr ने कहा कि वर्तमान में लीक हुई प्रासंगिक जानकारी के आधार पर, ये दो कमजोरियां PHP 5 से शुरू होने वाले कई संस्करणों को प्रभावित कर सकती हैं। हालांकि, इससे पहले कि PHP आधिकारिक तौर पर भेद्यता के विवरण और प्रभावित संस्करणों की सूची का पूरी तरह से खुलासा करे, प्रभाव के विशिष्ट दायरे को अभी भी आधिकारिक घोषणाओं के अधीन करने की आवश्यकता है।

चीज़ों को और भी पेचीदा बनाने के लिए, वेबमास्टर्स समस्या को हल करने के लिए केवल वर्डप्रेस की ऑटो-अपडेट सुविधा पर भरोसा नहीं कर सकते। वर्डफ़ेंस विशेष रूप से याद दिलाता है कि इस बार भेद्यता PHP में ही मौजूद है, वर्डप्रेस कोर प्रोग्राम या प्लग-इन में नहीं। इसलिए भले ही किसी वेबसाइट ने स्वचालित रूप से वर्डप्रेस कोर और प्लगइन्स को अपडेट किया हो, फिर भी सर्वर जिस PHP वातावरण पर चल रहा है उसे अभी भी अलग से अपग्रेड करने की आवश्यकता हो सकती है।

वर्चुअल होस्टिंग का उपयोग करने वाले उपयोगकर्ताओं के लिए, PHP का रखरखाव आमतौर पर होस्टिंग प्रदाता द्वारा किया जाता है; यदि वेबसाइट स्व-प्रबंधित वर्चुअल प्राइवेट सर्वर, क्लाउड सर्वर, या स्वतंत्र सर्वर पर चल रही है, तो रखरखाव की जिम्मेदारी वेबसाइट मालिक या सिस्टम प्रशासक पर आ सकती है। वेबसाइट ऑपरेटरों को वर्तमान में उपयोग में आने वाले PHP संस्करण की पुष्टि करने की आवश्यकता है, सर्वर का प्रबंधन कौन करता है, और क्या सेवा प्रदाता समय पर मरम्मत संस्करण तैनात करेगा।

यूरोपीय साइबर सुरक्षा आपातकालीन प्रतिक्रिया टीम (सीईआरटी-ईयू) और यूके नेशनल साइबर सुरक्षा केंद्र दोनों ने चेतावनी जारी की है, जिसमें सिफारिश की गई है कि जो संगठन तुरंत मरम्मत पूरा नहीं कर सकते हैं उन्हें सार्वजनिक नेटवर्क से इंटरनेट-फेसिंग अनुप्रयोगों को अस्थायी रूप से अलग करना चाहिए, या सीधे संबंधित वेबसाइटों को ऑफ़लाइन ले जाना चाहिए जब तक कि भेद्यता प्रभावी ढंग से कम न हो जाए। ईयू ने विशेष रूप से बताया कि भेद्यता हमलावरों को सिस्टम में लॉग इन किए बिना दुर्भावनापूर्ण कोड निष्पादित करने की अनुमति दे सकती है, इसलिए संगठनों को पहले से प्रभावित संपत्तियों की पहचान करनी चाहिए और आपातकालीन अपडेट के लिए तैयार रहना चाहिए।

कुछ संस्थानों ने पहले ही निवारक उपाय कर लिए हैं। मोबाइल ऑपरेटिंग सिस्टम ग्राफीनओएस की विकास टीम ने कहा कि उसने अनावश्यक जोखिम लेने से बचने के लिए अपने उपयोगकर्ता चर्चा मंच को अस्थायी रूप से बंद कर दिया है क्योंकि भेद्यता के लिए प्रूफ-ऑफ-कॉन्सेप्ट अटैक कोड विकास के अधीन है। PHP डेवलपर जीना पीटर बैगयार्ड ने भी कहा कि पैच स्थापित करना समस्या को हल करने की कुंजी है; यदि इसे समय पर ठीक नहीं किया जा सकता है, तो सर्वर को बंद करना एक सुरक्षित विकल्प हो सकता है।

साइबर सुरक्षा शोधकर्ताओं ने यह भी चेतावनी दी है कि पैच जारी होने के बाद, हमलावर पैच के पहले और बाद के कोड अंतरों का तुरंत विश्लेषण कर सकते हैं, भेद्यता का फायदा उठाने का तरीका पता लगा सकते हैं, और उन सर्वरों पर बड़े पैमाने पर हमले शुरू कर सकते हैं जिन्हें अपडेट नहीं किया गया है। सुरक्षा अनुसंधान संगठन सैनसेक का अनुमान है कि पैच सार्वजनिक होने के केवल 15 मिनट के भीतर बड़े पैमाने पर हमले हो सकते हैं। इस भविष्यवाणी का मतलब यह नहीं है कि इस समय सीमा के भीतर हमला निश्चित रूप से होगा, लेकिन यह भेद्यता सार्वजनिक होने के बाद जोखिमों के तेजी से विस्तार के बारे में सुरक्षा उद्योग की चिंताओं को दर्शाता है।

इस बीच, क्लाउडफ्लेयर के मुख्य प्रौद्योगिकी अधिकारी डेन कनेच ने कहा कि प्लेटफॉर्म ने PHP चलाने वाली वेबसाइटों को निशाना बनाने वाले हमलों के शुरुआती संकेत देखे हैं। आधिकारिक पैच जारी होने तक अतिरिक्त सुरक्षा प्रदान करने के लिए क्लाउडफ़ेयर अस्थायी रूप से फ़ायरवॉल नियमों को समायोजित कर रहा है। हालाँकि, उन्होंने इस बात पर जोर दिया कि इन उपायों का उपयोग केवल एक संक्रमणकालीन समाधान के रूप में किया जा सकता है और औपचारिक मरम्मत की जगह नहीं ले सकते।

ऑस्ट्रेलियाई साइबर सुरक्षा केंद्र ने कहा कि उस समय इन दो कमजोरियों से संबंधित किसी भी पुष्ट शोषण गतिविधियों की खोज नहीं की गई थी, और सिफारिश की गई थी कि संगठन जितनी जल्दी हो सके आंतरिक रूप से PHP चलाने वाले सिस्टम की सूची लें, पहले से पैच तैयार करें, और असामान्यताओं के लिए अनुप्रयोगों की लगातार निगरानी करें। विभिन्न सुरक्षा एजेंसियों के पास हमले की स्थितियों के बारे में अलग-अलग बयान हैं, जिसका अर्थ है कि खतरे की खुफिया जानकारी अभी भी तेजी से बदल रही है, और वेबसाइट ऑपरेटरों को यह नहीं मानना ​​चाहिए कि उनके सिस्टम सुरक्षित हैं क्योंकि बड़े पैमाने पर हमलों की अभी तक पुष्टि नहीं हुई है।

सामान्य वेबसाइट मालिकों के लिए, इस घटना से सबसे महत्वपूर्ण सबक यह है कि वेबसाइट की सुरक्षा न केवल इस बात पर निर्भर करती है कि सामग्री प्रबंधन प्रणाली और प्लग-इन को अद्यतित रखा गया है या नहीं, बल्कि यह इस पर भी निर्भर करता है कि सर्वर के अंतर्निहित ऑपरेटिंग वातावरण को समय पर बनाए रखा गया है या नहीं। भले ही कोई वेबसाइट शायद ही कभी सामग्री अपडेट करती हो, जब तक सेवाएं अभी भी इंटरनेट पर प्रदान की जाती हैं, अंतर्निहित सॉफ़्टवेयर में गंभीर कमजोरियां हमलों के लिए प्रवेश बिंदु बन सकती हैं।

PHP ने आधिकारिक तौर पर 21 अक्टूबर, 2026 को 22:00 बीजिंग समय के अनुसार 14:00 यूटीसी पर एक मरम्मत किए गए संस्करण को जारी करने की योजना बनाई है। विकास टीम ने कहा कि वह उस समय भेद्यता विवरण, प्रभावित संस्करण और मरम्मत किए गए संस्करण की जानकारी की घोषणा करेगी। वेबसाइट प्रशासकों को आधिकारिक अपडेट जारी होने के बाद जितनी जल्दी हो सके पुष्टि करनी चाहिए कि क्या सेवा प्रदाता या उनके स्वयं के सर्वर ने मरम्मत पूरी कर ली है, और यदि आवश्यक हो तो सिस्टम लॉग और असामान्य गतिविधियों की जांच करें।

जैसे ही PHP पैच जारी होने वाला है, दुनिया भर में बड़ी संख्या में वेबसाइटें आपातकालीन रखरखाव चरण में प्रवेश करेंगी। इस घटना का जोखिम न केवल भेद्यता से है, बल्कि इंटरनेट पर बड़ी संख्या में पुराने संस्करण सर्वरों से भी है, और वास्तविकता यह है कि वेबसाइट मालिक समय पर अपडेट पूरा करने में सक्षम नहीं हो सकते हैं। उन महत्वपूर्ण प्रणालियों के लिए जिनकी तुरंत मरम्मत नहीं की जा सकती और जो सीधे इंटरनेट के संपर्क में हैं, जोखिम जारी रखने की तुलना में पहुंच को अस्थायी रूप से प्रतिबंधित करना या उन्हें ऑफ़लाइन ले जाना अधिक सुरक्षित हो सकता है।

और जानें:

https://www.php.net/index.php