सार:
PHP विकास टीम ने दो गंभीर सुरक्षा कमजोरियों को ठीक करने के लिए आधिकारिक तौर पर 21 अक्टूबर, 2026 को एक आपातकालीन सुरक्षा अद्यतन जारी किया। इन दो कमजोरियों को क्रमशः CVE-2026-109618 और CVE-2026-109619 क्रमांकित किया गया है। दोनों को गंभीर माना गया है और ये हमलावरों को लॉग इन किए बिना दूरस्थ रूप से कोड निष्पादित करने की अनुमति दे सकते हैं। अधिकारी दृढ़ता से अनुशंसा करते हैं कि सभी PHP उपयोगकर्ता सर्वर हमलों से बचने के लिए तुरंत मरम्मत किए गए संस्करण में अपग्रेड करें।
इस बार जारी किए गए निश्चित संस्करणों में PHP 8.5.12, 8.4.27, 8.3.36 और 8.2.35 शामिल हैं। अधिकारियों ने बताया कि भेद्यता PHP परिनियोजन वातावरण को प्रभावित करती है जो नेटवर्क के माध्यम से अनुरोधों को संभालती है, जिसमें PHP-FPM, mod_php के साथ अपाचे, php-cgi, फ्रैंकनपीएचपी और लाइटस्पीड शामिल हैं। PHP टीम ने विशेष रूप से जोर दिया कि अपाचे mod_php का उपयोग करने के पर्यावरणीय जोखिम विशेष चिंता का विषय हैं, क्योंकि ऐसे प्रदर्शन हुए हैं कि हमलावर एप्लिकेशन कोड निष्पादित होने से पहले हमलों को ट्रिगर कर सकते हैं।
पहली भेद्यता, CVE-2026-109618, मेमोरी थकावट प्रबंधन तंत्र से संबंधित है। जब PHP अपर्याप्त मेमोरी का सामना करता है, तो प्रोग्राम प्रोसेसिंग प्रवाह को बाधित कर सकता है जब आंतरिक अनुरोध डेटा पूरी तरह से प्रारंभ नहीं किया गया है, और फिर संसाधनों को साफ करते समय इन अमान्य डेटा को वैध डेटा के रूप में उपयोग करें। यह असामान्य स्थिति स्मृति भ्रष्टाचार को जन्म दे सकती है और कुछ शर्तों के तहत इसका और अधिक शोषण किया जा सकता है, जिससे अंततः दूरस्थ कोड निष्पादन प्राप्त हो सकता है।
दूसरी भेद्यता, CVE-2026-109619, में मुक्त मेमोरी और समाप्त आंतरिक स्थिति शामिल है। वर्तमान अनुरोध से संबंधित कुछ आंतरिक स्थितियाँ संबंधित मेमोरी जारी होने के बाद भी बनी रह सकती हैं। समान कार्यकर्ता प्रक्रिया द्वारा संभाले गए बाद के अनुरोध सामान्य आरंभीकरण से पहले इन स्थितियों को रीसेट करने से पहले पुराने डेटा का उपयोग कर सकते हैं, जिससे सुरक्षा समस्याएं पैदा हो सकती हैं। दोनों कमजोरियाँ हमलावरों को मूल कार्यक्रम निष्पादन सीमाओं को तोड़ने की अनुमति दे सकती हैं।
दोनों कमजोरियों का CVSS v4.0 स्कोर 9.2 है, जो एक गंभीर स्तर है। खतरा यह है कि किसी हमलावर को विशिष्ट नेटवर्क अनुरोधों को तैयार करके भेद्यता को ट्रिगर करने के लिए वैध खाते, पासवर्ड या अन्य प्रमाणीकरण क्रेडेंशियल्स की आवश्यकता नहीं हो सकती है। यदि हमला सफल होता है, तो हमलावर आगे चलकर दुर्भावनापूर्ण कमांड निष्पादित कर सकता है, डेटा चुरा सकता है, दुर्भावनापूर्ण प्रोग्राम प्लांट कर सकता है, या घुसपैठ के दायरे का विस्तार जारी रखने के लिए सर्वर विशेषाधिकारों का उपयोग कर सकता है।
PHP इंटरनेट अनुप्रयोगों में सबसे आम सर्वर-साइड प्रोग्रामिंग भाषाओं में से एक है और इसका व्यापक रूप से गतिशील वेब पेज निर्माण, डेटाबेस इंटरैक्शन और पृष्ठभूमि व्यवसाय प्रसंस्करण के लिए उपयोग किया जाता है। वर्डप्रेस जैसी सामग्री प्रबंधन प्रणालियाँ भी चलने के लिए PHP पर निर्भर करती हैं, इसलिए यह भेद्यता न केवल एक निश्चित वेबसाइट प्लेटफ़ॉर्म को प्रभावित करती है, बल्कि अंतर्निहित ऑपरेटिंग वातावरण को भी प्रभावित करती है। भले ही किसी वेबसाइट ने वर्डप्रेस कोर प्रोग्राम और प्लगइन्स को अपडेट किया हो, तब तक वेबसाइट खतरे में बनी रह सकती है जब तक सर्वर पर PHP संस्करण अभी भी असुरक्षित है। वर्डप्रेस के अधिकारियों ने यह भी स्पष्ट किया कि वर्डप्रेस कोर अपडेट जारी करके इस समस्या को हल करने की आवश्यकता नहीं है। वेबसाइट मालिकों को वास्तविक चल रहे PHP वातावरण की जांच और अद्यतन करना चाहिए।
PHP 8.2 और उससे ऊपर की समर्थित शाखाओं का उपयोग करने वाली वेबसाइटों के लिए, प्रशासकों को यथाशीघ्र संबंधित मरम्मत संस्करण स्थापित करना चाहिए। जो उपयोगकर्ता अभी भी PHP 8.1 और पुराने संस्करणों का उपयोग कर रहे हैं, उन्हें विशेष ध्यान देने की आवश्यकता है: इन संस्करणों को अब सीधे PHP प्रोजेक्ट द्वारा प्रदान किए गए सुरक्षा अपडेट प्राप्त नहीं होते हैं। हालाँकि, कुछ लिनक्स वितरण, दीर्घकालिक समर्थन प्रदाता या अन्य आपूर्तिकर्ता रोलबैक पैच प्रदान कर सकते हैं, और संबंधित उपयोगकर्ताओं को अपने सॉफ़्टवेयर विक्रेताओं से पुष्टि करनी चाहिए कि क्या कोई समस्या है।
सुरक्षा एजेंसियों ने पहले चेतावनी दी है कि यदि वेबसाइट समय पर भेद्यता को ठीक नहीं कर सकती है, तो उसे बाहरी पहुंच को अस्थायी रूप से प्रतिबंधित करने और यदि आवश्यक हो तो सिस्टम को ऑफ़लाइन लेने पर विचार करना चाहिए। इस भेद्यता के खुलासे के कारण कई देशों और क्षेत्रों से आपातकालीन प्रतिक्रियाएँ भी शुरू हो गईं। कुछ यूरोपीय सरकारी एजेंसियों ने संभावित जोखिमों को कम करने के लिए पैच जारी होने से पहले वेबसाइटों को बंद करने की पहल की। रॉयटर्स की रिपोर्ट है कि नीदरलैंड और फ़िनलैंड में कुछ सरकारी एजेंसियों ने निवारक उपाय किए हैं, जो इस सुरक्षा घटना के कारण सार्वजनिक नेटवर्क सेवाओं पर पड़ने वाले वास्तविक दबाव को दर्शाता है।
PHP की पैच की आधिकारिक आपातकालीन रिलीज़ का मतलब है कि सुरक्षा मुद्दे जो पहले चेतावनी चरण में थे, वे वास्तविक मरम्मत चरण में प्रवेश कर गए हैं। वेबसाइट ऑपरेटरों के लिए, अभी सबसे महत्वपूर्ण कार्य PHP के उस संस्करण की पुष्टि करना है जो सर्वर वास्तव में चल रहा है, जांचें कि क्या होस्टिंग प्रदाता ने अपडेट तैनात किए हैं, और असामान्य प्रक्रियाओं, अनधिकृत फ़ाइल संशोधनों या संदिग्ध नेटवर्क कनेक्शन के लिए सिस्टम की जांच करें।
वेबसाइट की सुरक्षा न केवल एप्लिकेशन पर निर्भर करती है, बल्कि इस पर भी निर्भर करती है कि अंतर्निहित ऑपरेटिंग वातावरण को समय पर बनाए रखा गया है या नहीं। चूंकि PHP को विभिन्न वेबसाइटों और सर्वरों पर व्यापक रूप से तैनात किया गया है, इसलिए इन दो गंभीर कमजोरियों के जोखिम को कम करने के लिए आधिकारिक मरम्मत संस्करणों की समय पर स्थापना एक महत्वपूर्ण उपाय है।
और जानें:
https://www.php.net/archive/2026.php#2026-10-21-5
https://www.php.net/downloads.php
टिप्पणियाँ