PHP Vulnerability: करीब 70% वेबसाइटों में इस्तेमाल होने वाली PHP में AI ने पकड़ी गंभीर खामी, CERT-In ने दी तुरंत अपडेट की चेतावनी
- Chief News Editor / 44 सेकंड
- अक्टूबर 22, 2026
- 0
- 1 min read
नई दिल्ली: वेबसाइटें बनाने में सबसे ज्यादा इस्तेमाल होने वाली प्रोग्रामिंग भाषा PHP में दो बेहद गंभीर सुरक्षा खामियां सामने आई हैं। इनका फायदा उठाकर हैकर बिना किसी पासवर्ड या लॉग-इन के किसी वेबसाइट के सर्वर पर अपना कोड चला सकते हैं और उस पर कब्जा कर सकते हैं। भारत की साइबर सुरक्षा एजेंसी CERT-In ने 21 अक्टूबर को जारी एडवाइजरी में इन खामियों को ‘क्रिटिकल’ श्रेणी में रखा है। एजेंसी ने कहा है कि कई रिपोर्टों में इनके बड़े पैमाने पर दुरुपयोग की पुष्टि हुई है, इसलिए यूजर्स तुरंत पैच लगाएं।
इन खामियों को ‘PHP2Shell’ नाम दिया गया है। PHP की सुरक्षा टीम ने बुधवार, 21 अक्टूबर को इन्हें ठीक करने वाले नए वर्जन जारी किए और सभी यूजर्स से फौरन अपडेट करने को कहा। सबसे दिलचस्प बात यह है कि बरसों से छिपी इन खामियों तक पहुंचने में आर्टिफिशियल इंटेलिजेंस (AI) मॉडलों ने अहम भूमिका निभाई।
क्या है PHP2Shell और खतरा कितना बड़ा
PHP एक ओपन-सोर्स भाषा है, जो सर्वर पर चलकर वेब पेज तैयार करती है। वर्डप्रेस, ड्रुपल, जूमला और विकिपीडिया को चलाने वाला सॉफ्टवेयर मीडियाविकी, सभी इसी पर आधारित हैं। खामियां खोजने वाले शोधकर्ताओं के मुताबिक, दुनिया की करीब 70% वेबसाइटें PHP का इस्तेमाल करती हैं।
PHP के आधिकारिक सुरक्षा परामर्श के अनुसार, दोनों खामियों (CVE-2026-109618 और CVE-2026-109619) को गंभीरता मापने के पैमाने CVSS पर 10 में से 9.2 अंक मिले हैं। पहली खामी तब सामने आती है, जब किसी रिक्वेस्ट के दौरान PHP की तय मेमोरी खत्म हो जाती है और अधूरे डेटा को सही मान लिया जाता है। दूसरी खामी में एक रिक्वेस्ट की जानकारी मेमोरी खाली होने के बाद भी बची रह जाती है, जिसका इस्तेमाल अगली रिक्वेस्ट कर सकती है। हैकर इन्हीं कमजोरियों के सहारे सर्वर पर अपना कोड चला सकते हैं।
शोध दल की वेबसाइट php2shell.com के मुताबिक, खतरा वेबसाइट के अपने कोड में नहीं, बल्कि खुद PHP में है। यानी एक साधारण ‘हैलो वर्ल्ड’ पेज वाली साइट भी इसकी चपेट में आ सकती है। सर्वर की मेमोरी में मौजूद पासवर्ड, लॉग-इन टोकन, API कीज और सर्टिफिकेट तक लीक हो सकते हैं। शोधकर्ताओं ने बताया कि 2012 में आए PHP 5.4 से लेकर अब तक का लगभग हर वर्जन इनमें से किसी न किसी खामी से प्रभावित है।
AI की मदद से पकड़ में आई बरसों पुरानी कमजोरी
इन खामियों की खोज और खुलासे में साइबर सुरक्षा कंपनी विज़ (Wiz) के शोधकर्ता, OpenAI की कोडेक्स सिक्योरिटी टीम और सुरक्षा फर्म कैलिफ (Calif) शामिल रहे। विज़ के मुताबिक, उसकी टीम ने खामी खोजने, हमले का तरीका तैयार करने और पैच की जांच में Gemini 4 Argon और GPT-5.6-Sol जैसे AI मॉडलों की मदद ली।
विज़ ने अपने ब्लॉग में लिखा है कि ये PHP की अब तक की सबसे गंभीर खामियों में शामिल हैं। कंपनी के अनुसार, इनकी जड़ें बरसों पुरानी हैं, लेकिन इनसे हमला संभव है, यह साबित करने के लिए इतने जटिल कदमों की जरूरत थी कि इंसानी शोधकर्ताओं के लिए यह काम लगभग असंभव की हद तक कठिन था। AI मॉडलों ने यह बाधा काफी हद तक कम कर दी। विज़ ने इसकी तुलना 2014 के ‘हार्टब्लीड’ और 2021 के ‘लॉग4शेल’ जैसे बड़े साइबर खतरों से की है।
पैच आने से पहले ही हमले की कोशिश
अमेजन थ्रेट इंटेलिजेंस ने बताया है कि उसके हनीपॉट नेटवर्क पर 17 अक्टूबर को ही PHP2Shell के जरिए हमले की एक कोशिश दर्ज हुई थी। हनीपॉट हैकरों को फंसाने के लिए बनाए गए नकली सिस्टम होते हैं। यह कोशिश खामी सार्वजनिक होने से चार दिन पहले हुई थी। अमेजन के अनुसार, अब इस खामी का बड़े पैमाने पर दुरुपयोग हो रहा है, इसलिए संस्थाओं को 17 अक्टूबर से ही अपने सर्वर लॉग की जांच शुरू करनी चाहिए।
अमेरिका की साइबर सुरक्षा एजेंसी CISA ने कहा है कि जो संस्थाएं तुरंत अपडेट नहीं कर सकतीं या PHP 8.1 और उससे पुराने वर्जन चला रही हैं, वे पैच होने तक अपने PHP आधारित सिस्टम ऑफलाइन कर दें। ब्रिटेन के नेशनल साइबर सिक्योरिटी सेंटर (NCSC) ने भी अपडेट या उपाय संभव न होने पर सिस्टम ऑफलाइन करने पर विचार करने को कहा है। मीडिया रिपोर्टों के मुताबिक, फ्रांस, नीदरलैंड्स और ऑस्ट्रेलिया में कुछ सरकारी वेबसाइटें एहतियात के तौर पर अस्थायी रूप से बंद की गईं।
वेबसाइट चलाने वाले अब क्या करें
PHP टीम के मुताबिक, पूरी सुरक्षा का एकमात्र तरीका अपडेट ही है। सुरक्षित वर्जन 8.5.12, 8.4.27, 8.3.36 और 8.2.35 हैं। PHP 8.1 और उससे पुराने वर्जन को अब आधिकारिक अपडेट नहीं मिलते, इसलिए उन्हें किसी समर्थित वर्जन पर जाना होगा या अपने वेंडर से सुधार लेना होगा। शोधकर्ताओं ने यह भी कहा है कि अपडेट के बाद Apache, PHP-FPM और लंबे समय तक चलने वाले PHP वर्कर्स को रीस्टार्ट करना जरूरी है।
यह खामी आम लोगों के फोन या कंप्यूटर में नहीं, बल्कि वेबसाइटों के सर्वर पर चलने वाली PHP में है, इसलिए इसे ठीक करने की जिम्मेदारी वेबसाइट चलाने वालों की है। जिनकी अपनी वेबसाइट या ब्लॉग है, उन्हें होस्टिंग कंपनी से PHP वर्जन की पुष्टि कर लेनी चाहिए। शोधकर्ताओं के अनुसार, सिर्फ वर्डप्रेस जैसे एप्लिकेशन को अपडेट करने से सर्वर पर चल रही PHP अपडेट नहीं होती।
यह भी पढ़ें: Caller Name Display: 1 नवंबर से अनजान नंबर की कॉल पर भी दिखेगा कॉल करने वाले का नाम, दूरसंचार विभाग का आदेश
यह भी पढ़ें: CERT-In AI Alert: टेस्टिंग के दौरान बेकाबू हुए AI एजेंट, भारतीय कंपनियों का गोपनीय डेटा तक पढ़ डाला
