AI ले PHP मा दुई गम्भीर त्रुटि फेला पार्‍यो, अधिकांश वेब अद्यावधिक गर्न हतारियो

अद्यावधिक 15:56 UTC, अक्टोबर २२, २०२६: शोषणका प्रयास लाखौंमा पुगे, बेलायतका ३२ सरकारी सेवा बन्द

आक्रमणकारीहरू खुलासा भएको केही घण्टाभित्रै सक्रिय भए, र संख्या बढ्दै गयो। Cloudflare का प्रमुख कार्यकारी Matthew Prince ले बुधबार राति X मा भने कि सार्वजनिक घोषणा हुनुभन्दा अघिल्ला १० घण्टामा उनको नेटवर्कले त्रुटिहरू शोषण गर्ने हजारौं प्रयास देख्यो। घोषणा भएको ४५ मिनेटमा त्यो संख्या दशौं हजार पुग्यो, दुई घण्टामा सयौं हजार पुग्यो, र अहिले लाखौंमा पुगेको छ। Cloudflare ले आक्रमणकारीहरूले आफ्ना फायरवाल सुरक्षा छल्न आफ्ना पेलोडहरू पनि बदलिरहेको बताएको छ, र ती सुरक्षाले प्याचको विकल्प लिन नसक्नेमा जोड दिएको छ।

Amazon का अनुसार पहिलो प्रयास त्रुटिहरू सार्वजनिक हुनुअघि नै आएको थियो। Amazon Threat Intelligence ले अक्टोबर १७ मा php2shell शोषण गर्ने प्रयास पत्ता लगाएको बतायो, प्याच जारी हुनुभन्दा चार दिन अघि, र त्यो प्रयास त्यसको MadPot हनीपट नेटवर्कले समातेको थियो। त्यस बेला त्रुटिहरू अझै गोप्य राखिएका थिए, र आक्रमणकारीले शोषणको जानकारी कसरी चाँडै पायो भन्ने स्पष्ट नभएको Amazon ले बताएको छ। त्यसले अक्टोबर २१ मा करिब ०२०० UTC देखि धेरै अवधारणा प्रमाण आक्रमणहरू फेला पार्‍यो, प्याच आउनुभन्दा करिब १२ घण्टा अघि, र संस्थाहरूलाई कम्तीमा अक्टोबर १७ देखिको शंकास्पद गतिविधि जाँच्न सल्लाह दिइरहेको छ।

बेलायतमा बिहीबार बन्द भएका सेवाहरूको संख्या स्पष्ट भयो। प्रविधि मन्त्री Baroness Lloyd of Effra ले हाउस अफ लर्ड्समा भनिन् कि ३२ वटा सरकारी सेवा उपलब्ध छैनन् र चार वटा आंशिक रूपमा उपलब्ध छन्, धेरैजसो सुरक्षा अद्यावधिक लगाउँदै गर्दा लिइएका सावधानीका कदमका कारण। Downing Street ले जनतामुखी कुनै ठूलो अत्यावश्यक सेवा प्रभावित नभएको, काम चलिरहँदा केही सीमित वेबसाइट बन्द भएको, र सेवा बन्द हुनुको अर्थ ती ह्याक भएका होइनन् भनेको छ। राष्ट्रिय साइबर सुरक्षा केन्द्रले संस्थाहरूलाई PHP को सुधारिएको संस्करणमा अद्यावधिक गर्न, वा तुरुन्त अद्यावधिक गर्न नसके आफ्ना वेबसाइट बन्द गर्ने विचार गर्न आग्रह गर्‍यो, र यस समस्याको आकार अभूतपूर्व भएको बतायो। बजेट उत्तरदायित्व कार्यालयले आफ्नो साइट बन्द गर्‍यो, BBC का केही कार्यक्रमका पृष्ठहरू उपलब्ध हुन छाडे, र Oxford नगर परिषद् र Edinburgh नगर परिषद्ले बुधबार आफ्ना वेबसाइट बन्द गरे।

बिहीबार एसियाभरि प्याच लगाउने होड फैलियो, Reuters ले जनाएको छ। जापानी ऋणदाता Mitsubishi UFJ Financial Group ले आकस्मिक कदमका कारण केही इन्टरनेट सेवा अस्थायी रूपमा बन्द गरेको बतायो। जापानको अर्थ मन्त्रालयले पनि सुरक्षा कदम चाल्दै गर्दा आफ्नो वेबसाइटको केही सामग्री र अनलाइन सेवा बन्द गर्‍यो। चीनको उद्योग मन्त्रालयले संस्था र प्रयोगकर्तालाई आफ्ना प्रणाली तुरुन्त जाँच्न, PHP को पछिल्लो सुरक्षित संस्करणमा अद्यावधिक गर्न, निगरानी कडा पार्न, र खाता, पासवर्ड र साँचोहरू छिट्टै बदल्न आग्रह गर्‍यो। दक्षिण कोरियाले निजी क्षेत्रको साइबर सुरक्षा सतर्कता स्तर बढायो र ह्याकिङ आक्रमणको जोखिम बढेको भन्दै आकस्मिक प्रतिक्रिया कदम सक्रिय गर्‍यो।

विश्वका करिब ७० प्रतिशत वेबसाइट चलाउने सफ्टवेयर PHP मा रहेका दुई गम्भीर त्रुटि बुधबार, अक्टोबर २१ मा सार्वजनिक गरियो, र विश्वभरका वेबसाइट सञ्चालकहरू आकस्मिक सुधार लगाउन हतारिए। PHP का विकासकर्ताहरूले त्यही दिन अद्यावधिक संस्करणहरू जारी गरे र सबै प्रयोगकर्तालाई तुरुन्त अद्यावधिक गर्न भने।

यी त्रुटिहरू CVE-2026-109618 र CVE-2026-109619 भनेर चिनिन्छन्, र अनुसन्धानकर्ताहरूले यिनलाई सँगै php2shell भनेका छन्। दुवैको गम्भीरता १० मा ९.२ छ। PHP ले सर्भरमा पर्दापछाडि काम गर्छ, फारमहरू प्रशोधन गर्छ र WordPress, Drupal र Joomla जस्ता प्लेटफर्ममा बनेका साइटहरूका लागि जानकारी निकाल्छ।

त्रुटिहरूले के गर्छन्

त्रुटिहरू PHP ले वेब अनुरोध प्रशोधन गर्दा हुने त्रुटि कसरी सम्हाल्छ भन्नेमा छन्। अनुरोध धेरै ठूलो भएर PHP को मेमोरी सकिएमा, सफ्टवेयरले प्रयोग गर्न खोजेको मेमोरी छोड्न सक्दैन, Cloudflare ले आफ्नो विवरणमा भन्यो। त्यो मेमोरीको डेटा चलाउने आक्रमणकारीले प्रक्रिया बन्द गराउन, सर्भरमा रहेको संवेदनशील जानकारी पढ्न वा आफ्नै कोड चलाउन सक्छ, त्यो पनि लग इन नगरी।

Google को अभिभावक Alphabet को स्वामित्वमा रहेको सुरक्षा कम्पनी Wiz ले WordPress, Drupal र Joomla मा सफल आक्रमण देखाएको र सर्भरको मेमोरीबाट पासवर्ड र पहुँच विवरण पढ्न सकेको बतायो। Palo Alto Networks को Unit 42 ले इन्टरनेटमा खुला रहेका २ करोड २६ लाखभन्दा बढी प्रणाली जोखिममा हुन सक्ने गन्यो। सबै PHP साइटमा आक्रमण गर्न सकिँदैन, किनकि सेटअप फरक हुन्छ, तर विकासकर्ताहरूले वेब अनुरोध लिने सबै स्थापना जोखिममा रहेको बताए।

AI ले त्रुटि फेला पार्‍यो, चुहावटले तालिका अगाडि सार्‍यो

सुरक्षा कम्पनी Calif ले OpenAI को GPT-5.6 Sol मोडेल प्रयोग गरेर पहिलो त्रुटि फेला पार्‍यो र Reuters का अनुसार अगस्ट ११, २०२६ मा PHP लाई जानकारी दियो। Wiz ले स्वतन्त्र रूपमा त्रुटिहरू फेला पार्‍यो र अगस्ट २४, २०२६ मा दोस्रो त्रुटि जानकारी दियो, त्यसमा पनि AI मोडेल प्रयोग भएको थियो। विवरण मंगलबार, अक्टोबर २०, २०२६ मा Hacker News फोरममा चुहिएसम्म सुधारहरू गोप्य रूपमा तयार हुँदै थिए। त्यसपछि विकासकर्ताहरूले जारी गर्ने मिति एक दिन अगाडि सारे।

OpenAI ले यी त्रुटिहरूलाई हालैको समयको सबैभन्दा ठूलो असर पार्ने सुरक्षा समस्यामध्ये एक भन्यो, र आवश्यक सेवाका सञ्चालकसम्म मार्गदर्शन पुगोस् भनेर ह्वाइट हाउस, राष्ट्रिय साइबर निर्देशकको कार्यालय र CISA सँग काम गरेको बतायो। ह्वाइट हाउसले बुधबार सुधारको जारी प्रक्रिया छिटो गर्न र अमेरिकी नेटवर्कहरू जोगाउन काम गरिरहेको बतायो।

सरकारहरू जोखिम लिनुभन्दा साइट बन्द गर्छन्

NSA, FBI र CISA ले बुधबार संस्थाहरूलाई तुरुन्त प्याच लगाउन र छिट्टै सुरक्षित गर्न नसकिने प्रणाली अफलाइन गर्न आग्रह गरे। NSA ले यस्ता त्रुटिले आक्रमणकारीलाई सर्भरको फाइल प्रणाली वा डाटाबेससम्म सीधा बाटो दिने गरेको बतायो। बेलायत, क्यानडा, अस्ट्रेलिया र युरोपेली संघका साइबर निकायहरूले पनि उस्तै चेतावनी दिए। फिनल्याण्ड सरकार र नेदरल्याण्ड्सको प्रतिनिधिसभाले बुधबार अद्यावधिक गर्दै गर्दा साइटहरू इन्टरनेटबाट हटाए।

सुधारिएका संस्करणहरू PHP 8.5.12, 8.4.27, 8.3.36 र 8.2.35 हुन्। WordPress वा अन्य एप अद्यावधिक गर्दैमा तलको PHP अद्यावधिक हुँदैन, त्यसैले सञ्चालकले सर्भर प्याकेज नै अद्यावधिक गर्नुपर्छ वा होस्टिङ प्रदायकले गरेको पुष्टि लिनुपर्छ। Cloudflare ले आफ्ना ग्राहक जोगाउन फायरवाल नियम लगाएको बतायो। watchTowr र Sophos का विशेषज्ञहरूले अपराधीहरूले त्रुटिबारे छलफल र परीक्षण सुरु गरिसकेको बताए, तर बुधबार दिउँसोसम्म कुनै सफल आक्रमण पुष्टि भएको थिएन।

स्रोतहरू

Reuters Nextgov Cybersecurity Dive USA Today The Register Reuters PA Media PA Media