महत्वपूर्ण PHP त्रुटियां आपातकालीन पैच से पहले सरकारी साइटों को ऑफ़लाइन करने के लिए मजबूर करती हैं

PHP की विकास टीम ने 21 अक्टूबर 2026 को 14:00 UTC पर चक्र के बाहर सुरक्षा रिलीज़ शेड्यूल किया था दो महत्वपूर्ण कमजोरियों को ठीक करने के लिए, जब विवरण एक दिन पहले ऑनलाइन लीक हो गए, The Hacker News और सुरक्षा फर्म Sansec के अनुसार। खामियों को CVE-2026-109618 और CVE-2026-109619 के रूप में ट्रैक किया गया और शोधकर्ताओं द्वारा अनौपचारिक रूप से "PHP2Shell" का नाम दिया गया, एक नाम जिसे PHP की अपनी टीम ने नहीं अपनाया, The Hacker News ने रिपोर्ट किया।

कमजोरियां क्या हैं

Sansec की तकनीकी रिपोर्ट के अनुसार, CVE-2026-109618 PHP के अपलोड-प्रगति संभालने में एक use-after-free बग है जो सर्वर मेमोरी को लीक कर सकता है — पासवर्ड, सत्र टोकन और TLS निजी कुंजियों सहित — PHPSESSID कुकी के माध्यम से, इस तरह से कि फर्म ने 2014 Heartbleed बग से तुलना की। CVE-2026-109619 एक अलग use-after-free है जो मेमोरी की थकावट के दौरान एक घातक त्रुटि के दौरान ट्रिगर होता है, PHP के OPcache में प्रकार के भ्रम के साथ मिलाया जाता है, जिसे Sansec कहता है कि दूरस्थ कोड निष्पादन को सक्षम करता है। दोनों बग multipart/form-data अनुरोधों के माध्यम से पहुंचे जाते हैं, जो वेबपेज फ़ाइल अपलोड के लिए उपयोग करते हैं।

यूके के राष्ट्रीय साइबर सुरक्षा केंद्र (NCSC) ने अपनी 21 अक्टूबर की सलाह में जोखिम का वर्णन किया जो एक हमलावर को "PHP चला रहे किसी भी वेब सर्वर पर कमांड निष्पादित करने" की अनुमति देता है बिना लॉगिन की आवश्यकता के, और समस्या को महत्वपूर्ण के रूप में रेट किया।

सरकारें और मंच ऑफ़लाइन क्यों गए

क्योंकि PHP वेब का बड़ा हिस्सा रेखांकित करता है, कई संगठनों ने पैच के लिए इंतजार करने की बजाय सार्वजनिक-सामना करने वाली साइटों को बंद करने का विकल्प चुना। Techzine की रिपोर्ट है कि डच सरकारी सेवाएं जिनमें MijnOverheid, DigiD और संसदीय प्रणालियां शामिल हैं, अस्थायी रूप से ऑफ़लाइन ली गईं, और KSL द्वारा की गई समाचार तार की कहानी ने कहा कि नीदरलैंड और फिनलैंड में साइबर सुरक्षा एजेंसियों ने सावधानी के रूप में सरकारी साइटों को नीचे ले गईं। Techzine ने यह भी रिपोर्ट किया कि यूके के NCSC और अमेरिकी Cybersecurity and Infrastructure Security Agency (CISA) ने सतर्कताएं जारी कीं जो प्रशासकों को प्रभावित सिस्टम को पैच या अक्षम करने के लिए प्रेरित करते हैं, जबकि Wikipedia और Meta संशोधित PHP रनटाइम्स और वेब-अनुप्रयोग-फ़ायरवॉल नियमों को लागू करके चलते रहे बजाय अंधकार में जाने के।

Sansec ने रिपोर्ट किया कि PHP मुख्य डेवलपर Gina Peter Banyard ने पैच से पहले सर्वर को ऑफ़लाइन ले जाने को उन संगठनों के लिए सबसे समझदारी भरा विकल्प बताया जो तुरंत फिक्स लागू नहीं कर सकते — सलाह जिसका कई डच निकायों ने पालन किया।

Cloudflare ने कहा कि यह सरकारी पैच जारी होने से पहले शोषण के प्रयासों को देखना शुरू कर गया। KSL रिपोर्ट के अनुसार, Cloudflare के मुख्य प्रौद्योगिकी अधिकारी ने कहा कि कंपनी प्रारंभिक हमलों को देख रही थी और नई हमले की विधियां दिखाई देने पर लगातार अपने कमजोरियों को अपडेट कर रही थी, Cloudflare की सुरक्षा को अस्थायी रोक के रूप में वर्णित किया जब तक PHP का सरकारी फिक्स नहीं आया। Sansec ने अलग से रिपोर्ट किया कि Cloudflare ने 21 अक्टूबर को 07:43 UTC पर हमलों का पता लगाया, PHP के शेड्यूल किए गए फिक्स से लगभग छः घंटे पहले।

• WordPress, Drupal, Joomla और Magento, सामग्री प्रबंधन और ई-कॉमर्स सिस्टम जो PHP पर बनाए गए हैं
• Sansec द्वारा नाम की गई विशिष्ट संस्करणें जैसे कि पुष्टि की गई कमजोर: Magento 2.4.9, WordPress 7.1.2, Drupal 11.4.3, Joomla 6.1.4, MediaWiki 1.46.2, Roundcube 1.7.4, phpMyAdmin 5.2.3, Nextcloud 35.0.1, Laravel 13.11 और Symfony 8.1
• साझा होस्टिंग प्लेटफॉर्म और नियंत्रण पैनल जो PHP को बंडल करते हैं, NCSC सलाह के अनुसार
• डच सरकारी सेवाएं DigiD और MijnOverheid, Techzine के अनुसार

एक्सपोजर का पैमाना: अनुमानें भिन्न होती हैं

क्या ज्ञात है और क्या नहीं

PHP की टीम ने पुष्टि की कि PHP 8.2, 8.3, 8.4 और 8.5 को सरकारी फिक्स प्राप्त होंगे — The Hacker News के अनुसार संस्करण 8.5.12, 8.4.27, 8.3.36 और 8.2.35 की उम्मीद है — जबकि जीवन के अंत वाली शाखाएं 8.1 और पुरानी विक्रेता द्वारा पैच नहीं की जाएंगी। Sansec ने कहा, हालांकि, कि अंतर्निहित दोषपूर्ण कोड PHP 5.4.0 तक जाता है, जिसका अर्थ है कि कई पुरानी, असमर्थित स्थापनाएं कमजोर रहने की संभावना है बिना किसी सरकारी फिक्स के उपलब्ध है। The Hacker News के अनुसार, इसकी 21 अक्टूबर की रिपोर्ट के अनुसार, कोई सार्वजनिक proof-of-concept exploit उपलब्ध नहीं था, और कमजोरियों को उस समय CISA के Known Exploited Vulnerabilities कैटलॉग में जोड़ा नहीं गया था — हालांकि Cloudflare की बाद की बयान से संकेत मिलता है कि हमले के प्रयास पहले से ही चल रहे थे।

पृष्ठभूमि: कमजोरियां कैसे पाई गईं

Sansec की टाइमलाइन पहले बग को शोध में खोजती है जो 1 अगस्त 2026 को शुरू हुई, "Calif" हैंडल का उपयोग करने वाले एक शोधकर्ता द्वारा OpenAI के साथ काम कर रहे, जिन्होंने इसे 11 अगस्त को PHP की सुरक्षा टीम को रिपोर्ट किया। एक दूसरी, संबंधित रिपोर्ट Wiz Research टीम से आई — Sansec द्वारा नाम दिया गया Sagi Tzadik, Shir Tamari, Nir Ohfeld और Tomer Schwartz — 24 अगस्त को। Sansec ने कहा कि दोनों शोध टीमों ने AI मॉडल को PHP संस्करणों में शोषण खोजने और अनुकूल बनाने में तेजी लाने का श्रेय दिया, एक शोधकर्ता ने लगभग एक सप्ताह में कार्यशील शोषण तक पहुंचने की रिपोर्ट की। 20 अक्टूबर को समन्वित, प्रतिबद्ध प्रकटीकरण के विवरण जनता में लीक हो गए, जिससे PHP को अपनी घोषणा को आगे बढ़ाने और 21 अक्टूबर पैच रिलीज़ सेट करने के लिए मजबूर किया गया।