वॉशिंगटन: दुनिया भर में वेबसाइटों और वेब एप्लिकेशन को संचालित करने वाली लोकप्रिय प्रोग्रामिंग भाषा PHP में दो गंभीर सुरक्षा खामियों का पता चला है। इन कमजोरियों का फायदा उठाकर साइबर हमलावर प्रभावित सर्वर पर बिना लॉगिन किए मनमाना कोड चला सकते हैं और संवेदनशील डेटा तक पहुंचने की कोशिश कर सकते हैं। दोनों खामियों को 9.2 का क्रिटिकल CVSS स्कोर दिया गया है। PHP की विकास टीम ने 21 अक्टूबर को आपातकालीन सुरक्षा अपडेट जारी करते हुए उपयोगकर्ताओं को तत्काल अपग्रेड करने की सलाह दी है। CERT-EU, कनाडा के साइबर सुरक्षा केंद्र और ब्रिटेन की NHS England Digital जैसी संस्थाओं ने भी इस खतरे को लेकर चेतावनी जारी की है। साइबर सुरक्षा विशेषज्ञों ने कुछ मामलों में इन कमजोरियों के सफल इस्तेमाल और संभावित हमलों को लेकर चिंता जताई है।
AI की मदद से सामने आईं PHP की दो कमजोरियां
इन सुरक्षा खामियों की पहचान में आर्टिफिशियल इंटेलिजेंस ने महत्वपूर्ण भूमिका निभाई। Google Cloud और Google DeepMind के मुताबिक, साइबर सुरक्षा कंपनी Wiz के शोधकर्ताओं ने विभिन्न AI मॉडल की मदद से कमजोरियों की पहचान, उनका विश्लेषण और सुधार की प्रक्रिया में काम किया। Gemini 4 Argon ने इस काम में उल्लेखनीय योगदान दिया। दोनों कमजोरियों को CVE-2026-109618 और CVE-2026-109619 के नाम से दर्ज किया गया है। इनका संबंध PHP के आंतरिक मेमोरी प्रबंधन और रिक्वेस्ट प्रोसेसिंग से है। सफल हमले की स्थिति में प्रभावित सर्वर पर दूर से कोड चलाया जा सकता है।
पहली खामी: मेमोरी की कमी के दौरान गड़बड़ी
CVE-2026-109618 PHP में आउट-ऑफ-मेमोरी (OOM) स्थिति को संभालने से जुड़ी है। कुछ परिस्थितियों में मेमोरी की कमी के कारण रिक्वेस्ट का आंतरिक डेटा अधूरा रह सकता है। इसके बाद सफाई की प्रक्रिया उस डेटा को गलत तरीके से पढ़ सकती है। हमलावर विशेष रूप से तैयार की गई रिक्वेस्ट के जरिए इस गड़बड़ी का फायदा उठाकर रिमोट कोड एक्जीक्यूशन की कोशिश कर सकते हैं।
दूसरी खामी: पुराना डेटा बना सकता है खतरा
CVE-2026-109619 PHP के आंतरिक ग्लोबल स्टेट से जुड़ी है। कुछ परिस्थितियों में एक रिक्वेस्ट समाप्त होने के बाद भी सिस्टम का आंतरिक डेटा मुक्त की जा चुकी मेमोरी की ओर संकेत करता रह सकता है। बाद की रिक्वेस्ट के दौरान इस स्थिति का दुरुपयोग करके हमलावर सर्वर पर कोड चलाने या संवेदनशील जानकारी तक पहुंचने का प्रयास कर सकते हैं।
PHP-FPM से लेकर Apache तक कई सेटअप प्रभावित
PHP की आधिकारिक सुरक्षा सलाह के अनुसार, जोखिम केवल किसी एक सर्वर तकनीक तक सीमित नहीं है। PHP-FPM, Apache के mod_php, php-cgi, FrankenPHP और LiteSpeed जैसे सेटअप प्रभावित हो सकते हैं। PHP की टीम ने विशेष रूप से mod_php के लिए अधिक जोखिम की चेतावनी दी है, क्योंकि इस सेटअप में एप्लिकेशन कोड चलने से पहले भी हमले की संभावना प्रदर्शित की गई है। PHP का इस्तेमाल करने वाली वेबसाइटों के साथ-साथ WordPress, Drupal और Joomla जैसे प्लेटफॉर्म पर चलने वाले सिस्टम भी जोखिम में हो सकते हैं, यदि वे प्रभावित PHP संस्करणों पर निर्भर हैं।
PHP टीम ने जारी किए सुरक्षा अपडेट
PHP की आधिकारिक टीम ने दोनों कमजोरियों को ठीक करने के लिए निम्नलिखित संस्करण जारी किए हैं:
- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35
सर्वर प्रशासकों और वेबसाइट संचालकों को अपने सिस्टम की जांच कर संबंधित संस्करण में जल्द से जल्द अपग्रेड करने की सलाह दी गई है। PHP 8.1 और उससे पुराने संस्करण अब आधिकारिक सुरक्षा अपडेट प्राप्त नहीं करते, इसलिए ऐसे सिस्टम चलाने वाले संस्थानों को समर्थित संस्करण पर जाने की योजना बनानी चाहिए।
पैच नहीं कर सकते तो इंटरनेट से पहुंच सीमित करें
CERT-EU ने संस्थानों को प्रभावित PHP इंस्टॉलेशन की पहचान कर जल्द सुरक्षा अपडेट लागू करने की सलाह दी है। यदि तत्काल पैच लगाना संभव न हो, तो इंटरनेट से सीधे पहुंच योग्य प्रभावित एप्लिकेशन को सार्वजनिक नेटवर्क से अलग करने पर विचार करना चाहिए। साइबर सुरक्षा कंपनी Palo Alto Networks की Unit 42 के अनुसार, इन कमजोरियों के लिए प्रूफ-ऑफ-कॉन्सेप्ट स्तर के हमले सामने आए हैं और कम-से-कम एक यूरोपीय सरकारी वेबसाइट को एहतियातन ऑफलाइन किया गया। हालांकि, उपलब्ध प्रमाणों के आधार पर दुनिया भर में बड़ी संख्या में सरकारी वेबसाइटों के बंद होने या NSA द्वारा सभी संस्थानों को वेबसाइटें ऑफलाइन करने का आदेश दिए जाने का दावा पुष्ट नहीं होता। इन घटनाओं ने एक बार फिर स्पष्ट किया है कि व्यापक रूप से इस्तेमाल होने वाले सॉफ्टवेयर की एक गंभीर खामी भी बड़ी संख्या में डिजिटल सेवाओं को जोखिम में डाल सकती है। ऐसे में प्रभावित संस्थानों के लिए समय पर पैच लगाना, सिस्टम की निगरानी करना और इंटरनेट से जुड़े सर्वरों की सुरक्षा सुनिश्चित करना सबसे जरूरी कदम है।
