AI ने PHP में दो गंभीर खामियां खोजीं, अधिकांश वेब अपडेट के लिए दौड़ा

अपडेट 15:56 UTC, 22 अक्टूबर 2026: शोषण के प्रयास लाखों में पहुंचे, ब्रिटेन की 32 सरकारी सेवाएं बंद

हमलावर खुलासे के कुछ ही घंटों में सक्रिय हो गए, और संख्या बढ़ती रही। Cloudflare के मुख्य कार्यकारी Matthew Prince ने बुधवार देर रात X पर कहा कि सार्वजनिक घोषणा से पहले के 10 घंटों में उनके नेटवर्क ने खामियों का शोषण करने के हजारों प्रयास देखे। घोषणा के 45 मिनट में यह संख्या दसियों हजार, दो घंटों में सैकड़ों हजार हो गई, और अब लाखों में है। Cloudflare ने कहा कि हमलावर अपने पेलोड बदलकर उसके फायरवॉल सुरक्षा को चकमा देने की कोशिश भी कर रहे हैं, और जोर दिया कि ये सुरक्षा उपाय पैच का विकल्प नहीं हैं।

Amazon का कहना है कि पहला प्रयास खामियों के सार्वजनिक होने से पहले ही आया था। Amazon Threat Intelligence ने कहा कि उसने 17 अक्टूबर को php2shell का शोषण करने का एक प्रयास पकड़ा, पैच जारी होने से चार दिन पहले, और यह उसके MadPot हनीपॉट नेटवर्क में दर्ज हुआ। उस समय खामियां अभी गोपनीय रखी गई थीं, और Amazon ने कहा कि यह स्पष्ट नहीं है कि हमलावर को शोषण की जानकारी पहले कैसे मिली। उसे 21 अक्टूबर को लगभग 0200 UTC से कई अवधारणा प्रमाण हमले मिले, पैच आने से करीब 12 घंटे पहले, और वह संगठनों को कम से कम 17 अक्टूबर से संदिग्ध गतिविधि की जांच करने की सलाह दे रहा है।

ब्रिटेन में गुरुवार को बंद सेवाओं की संख्या स्पष्ट हुई। प्रौद्योगिकी मंत्री Baroness Lloyd of Effra ने हाउस ऑफ लॉर्ड्स में कहा कि 32 सरकारी सेवाएं उपलब्ध नहीं हैं और चार आंशिक रूप से उपलब्ध हैं, ज्यादातर सुरक्षा अपडेट लगाते समय बरती गई सावधानी के कारण। Downing Street ने कहा कि जनता के सामने वाली कोई बड़ी जरूरी सेवा प्रभावित नहीं हुई है, काम चलने के दौरान कुछ सीमित वेबसाइटें बंद हुई हैं, और सेवाएं बंद होने का मतलब यह नहीं है कि वे हैक हुई थीं। राष्ट्रीय साइबर सुरक्षा केंद्र ने संगठनों से PHP के सुधारे गए संस्करण में अपडेट करने, या तुरंत अपडेट न कर सकें तो अपनी वेबसाइटें बंद करने पर विचार करने का आग्रह किया, और इस मुद्दे के पैमाने को अभूतपूर्व बताया। बजट जिम्मेदारी कार्यालय ने अपनी साइट बंद कर दी, BBC के कुछ कार्यक्रमों के पेज उपलब्ध नहीं रहे, और Oxford नगर परिषद और Edinburgh नगर परिषद ने बुधवार को अपनी वेबसाइटें बंद कर दीं।

गुरुवार को पूरे एशिया में पैच लगाने की दौड़ तेज हो गई, Reuters ने बताया। जापानी ऋणदाता Mitsubishi UFJ Financial Group ने कहा कि वह आपात कदमों के कारण कुछ इंटरनेट सेवाएं अस्थायी रूप से बंद कर रहा है। जापान के वित्त मंत्रालय ने भी सुरक्षा कदम लागू करते हुए अपनी वेबसाइट की कुछ सामग्री और ऑनलाइन सेवाएं बंद कर दीं। चीन के उद्योग मंत्रालय ने संगठनों और उपयोगकर्ताओं से अपने सिस्टम तुरंत जांचने, PHP के नवीनतम सुरक्षित संस्करण में अपग्रेड करने, निगरानी मजबूत करने, और खाते, पासवर्ड और कुंजियां तुरंत बदलने का आग्रह किया। दक्षिण कोरिया ने निजी क्षेत्र का साइबर सुरक्षा अलर्ट स्तर बढ़ाया और हैकिंग हमलों के बढ़े जोखिम का हवाला देते हुए आपात प्रतिक्रिया कदम सक्रिय किए।

दुनिया की लगभग 70 प्रतिशत वेबसाइटों को चलाने वाले सॉफ्टवेयर PHP में दो गंभीर खामियां बुधवार, 21 अक्टूबर को सार्वजनिक की गईं, और दुनिया भर के वेबसाइट मालिक आपात सुधार लगाने के लिए दौड़ पड़े। PHP के डेवलपर्स ने उसी दिन अपडेट किए गए संस्करण जारी किए और हर उपयोगकर्ता से तुरंत अपडेट करने को कहा।

इन खामियों को CVE-2026-109618 और CVE-2026-109619 के नाम से जाना जाता है, और शोधकर्ता इन्हें मिलाकर php2shell कहते हैं। दोनों की गंभीरता 10 में से 9.2 है। PHP सर्वर पर पर्दे के पीछे काम करता है, फॉर्म प्रोसेस करता है और WordPress, Drupal और Joomla जैसे प्लेटफॉर्म पर बनी साइटों के लिए जानकारी लाता है।

खामियां क्या करती हैं

खामियां इसमें हैं कि PHP वेब अनुरोधों को प्रोसेस करते समय त्रुटियों को कैसे संभालता है। अगर कोई अनुरोध बहुत बड़ा हो और PHP की मेमोरी खत्म हो जाए, तो सॉफ्टवेयर वह मेमोरी छोड़ नहीं पाता जिसे उसने इस्तेमाल करने की कोशिश की थी, Cloudflare ने अपने विवरण में कहा। उस मेमोरी के डेटा से छेड़छाड़ करने वाला हमलावर प्रोसेस को बंद करा सकता है, सर्वर पर रखी संवेदनशील जानकारी पढ़ सकता है, या मशीन पर अपना कोड चला सकता है, वह भी लॉग इन किए बिना।

Google की मूल कंपनी Alphabet के स्वामित्व वाली सुरक्षा फर्म Wiz ने कहा कि उसने WordPress, Drupal और Joomla पर सफल हमले करके दिखाए, और सर्वर की मेमोरी से पासवर्ड और एक्सेस विवरण पढ़ सकी। Palo Alto Networks की Unit 42 ने इंटरनेट पर खुले 2.26 करोड़ से अधिक सिस्टम गिने जो खतरे में हो सकते हैं। हर PHP साइट पर हमला संभव नहीं है, क्योंकि सेटअप अलग अलग होते हैं, लेकिन डेवलपर्स ने कहा कि वेब अनुरोध लेने वाली हर स्थापना खतरे में है।

AI ने खामियां खोजीं, लीक ने समय आगे खिसकाया

सुरक्षा फर्म Calif ने OpenAI के GPT-5.6 Sol मॉडल का इस्तेमाल करके पहली खामी खोजी और Reuters के अनुसार 11 अगस्त 2026 को PHP को इसकी सूचना दी। Wiz ने स्वतंत्र रूप से खामियां खोजीं और 24 अगस्त 2026 को दूसरी खामी की सूचना दी, उसमें भी AI मॉडल का इस्तेमाल हुआ था। सुधार गुप्त रूप से तैयार हो रहे थे, जब तक कि मंगलवार, 20 अक्टूबर 2026 को Hacker News फोरम पर विवरण लीक नहीं हो गया। इसके बाद डेवलपर्स ने रिलीज एक दिन पहले कर दी।

OpenAI ने इन खामियों को हाल के समय के सबसे बड़े असर वाले सुरक्षा मुद्दों में से एक बताया, और कहा कि उसने व्हाइट हाउस, राष्ट्रीय साइबर निदेशक कार्यालय और CISA के साथ काम किया ताकि मार्गदर्शन जरूरी सेवाओं के संचालकों तक पहुंचे। व्हाइट हाउस ने बुधवार को कहा कि वह सुधार की रिलीज तेज करने और अमेरिकी नेटवर्कों की रक्षा के लिए काम कर रहा है।

सरकारें जोखिम लेने के बजाय साइटें बंद कर रही हैं

NSA, FBI और CISA ने बुधवार को संगठनों से तुरंत पैच लगाने और जिन्हें जल्द सुरक्षित न किया जा सके उन सिस्टमों को ऑफलाइन करने का आग्रह किया। NSA ने कहा कि इस तरह की खामियां अक्सर हमलावर को सर्वर के फाइल सिस्टम या डेटाबेस तक सीधा रास्ता देती हैं। ब्रिटेन, कनाडा, ऑस्ट्रेलिया और यूरोपीय संघ की साइबर एजेंसियों ने भी ऐसी ही चेतावनियां जारी कीं। फिनलैंड सरकार और नीदरलैंड के प्रतिनिधि सदन ने बुधवार को अपडेट करते समय साइटों को इंटरनेट से हटा दिया।

सुधारे गए संस्करण PHP 8.5.12, 8.4.27, 8.3.36 और 8.2.35 हैं। WordPress या किसी अन्य ऐप को अपडेट करने से उसके नीचे का PHP अपडेट नहीं होता, इसलिए मालिकों को सर्वर पैकेज ही अपडेट करना होगा, या अपने होस्टिंग प्रदाता से पुष्टि लेनी होगी। Cloudflare ने कहा कि उसने अपने ग्राहकों की सुरक्षा के लिए फायरवॉल नियम लगा दिए हैं। watchTowr और Sophos के विशेषज्ञों ने कहा कि अपराधी पहले से खामियों पर चर्चा और परीक्षण कर रहे हैं, हालांकि बुधवार दोपहर तक किसी सफल हमले की पुष्टि नहीं हुई थी।

स्रोत

Reuters Nextgov Cybersecurity Dive USA Today The Register Reuters PA Media PA Media