प्रौद्योगिकी · समाचार
दो महत्वपूर्ण PHP खामियां जिनका नाम "PHP2Shell" है वेब के अधिकांश हिस्से को उजागर करती हैं
प्रकाशित:
संक्षेप में
दो महत्वपूर्ण PHP कमजोरियां जिनका सामूहिक नाम "PHP2Shell" है, हमलावरों को उस सुरक्षा फर्म के अनुसार जिसने उन्हें खोजा, लॉगिन किए बिना वेब सर्वर पर दुर्भावनापूर्ण कोड चलाने देती हैं। CVE-2026-109618 और CVE-2026-109619 के लिए पैच 21 अक्टूबर 2026 को जारी किए गए, शोधकर्ताओं द्वारा पहले से रिपोर्ट किए जाने के कई महीने बाद, और कई कंपनियों ने तब से जंगली में शोषण के प्रयासों को दर्ज किया है।
यह संस्करण मूल पाठ (English) का मशीनी अनुवाद है। मूल पाठ पढ़ें
21 अक्टूबर 2026 को, PHP परियोजना ने दो महत्वपूर्ण दूरस्थ कोड निष्पादन कमजोरियों के प्रकटीकरण के बाद भाषा के पैच किए गए संस्करण जारी किए, जिन्हें सामूहिक रूप से "PHP2Shell" कहा जाता है। ये खामियां, CVE-2026-109618 और CVE-2026-109619 के रूप में ट्रैक की जाती हैं, क्लाउड सुरक्षा कंपनी Wiz Research द्वारा खोजी गई थीं, जिसने अपने सार्वजनिक लेखन के अनुसार Calif और OpenAI संगठनों को खोज, समन्वय और पैच सत्यापन में योगदान का श्रेय दिया।
दोनों कमजोरियां क्या करती हैं
Wiz कहते हैं कि ये दोनों CVE वास्तव में चार अलग-अलग अंतर्निहित बग को बंडल करते हैं। CVE-2026-109618 PHP के सेशन अपलोड-प्रगति डिसीरिएलाइजर में एक use-after-free खामी को कवर करता है, जिसका दूरस्थ कोड निष्पादन के लिए दुरुपयोग किया जा सकता है, साथ ही एक संबंधित बग जो प्रमाणीकरण के बिना चलते हुए PHP कार्यकर्ता प्रक्रिया से मेमोरी लीक कर सकता है। CVE-2026-109619 PHP के घातक-त्रुटि बैकट्रैस में use-after-free को कवर करता है और OPcache में एक अलग प्रकार-भ्रम की खामी, जो PHP का साझा-मेमोरी बाइटकोड कैश है।
Wiz के अनुसार, दोनों समस्याएं कोड पाथ में हैं जो लगभग हर PHP अनुरोध से गुजरती हैं: मेमोरी प्रबंधन और त्रुटि हैंडलिंग। PHP फाउंडेशन ने वही बात कहीं, जैसा कि SecurityWeek द्वारा रिपोर्ट किया गया है।
दोनों समस्याएं PHP के उन हिस्सों में हैं जिन्हें लगभग हर अनुरोध से गुजरना पड़ता है: मेमोरी प्रबंधन और त्रुटि हैंडलिंग।
खोज का समयरेखा
Wiz के शोध दल — जिनके नाम इसके ब्लॉग पोस्ट में Sagi Tzadik, Shir Tamari, Nir Ohfeld और Tomer Schwartz के रूप में सूचीबद्ध हैं — कहते हैं कि उन्होंने पहली खामी 19 अगस्त 2026 को खोजी, और अगले दो दिनों में WordPress और Drupal इंस्टॉलेशन के विरुद्ध काम करने वाले दूरस्थ-कोड-निष्पादन शोषण की पुष्टि की। टीम ने 24 अगस्त 2026 को अपने निष्कर्षों को PHP सुरक्षा दल को रिपोर्ट किया। सार्वजनिक प्रकटीकरण और संबंधित पैच 21 अक्टूबर 2026 को अनुसरण किए।
Wiz कहते हैं कि उन्होंने AI कोडिंग मॉडल का उपयोग किया, जिसमें Google का Gemini 4 Argon और OpenAI का GPT-5.6 Sol शामिल है, प्रूफ-ऑफ-कॉन्सेप्ट शोषण बनाने में मदद करने के लिए, इस काम का वर्णन करते हुए जो पहले विशेषज्ञ शोधकर्ताओं को महीनों लगते थे घंटों में प्राप्त होने के लिए।
कौन प्रभावित है
Wiz बताते हैं कि अंतर्निहित खामियां लगभग पिछले दशक में जारी हर PHP संस्करण में मौजूद हैं, कम से कम दोनों CVEs में से एक PHP 5.4 से आगे मौजूद है। कंपनी कहती है कि इसने तीन व्यापक रूप से उपयोग की जाने वाली सामग्री-प्रबंधन प्रणालियों के विरुद्ध प्रमाणीकरण रहित दूरस्थ कोड निष्पादन की पुष्टि की: WordPress, Drupal और Joomla। SecurityWeek रिपोर्ट करता है कि खामियां सामान्य PHP तैनाती के तरीकों को प्रभावित करती हैं, जिनमें PHP-FPM, Apache को mod_php के साथ, php-cgi, FrankenPHP और LiteSpeed शामिल हैं।
Wiz इंटरनेट के लगभग 70% को प्रभावित करने वाले जोखिम के पैमाने को प्रस्तुत करता है, यह संदर्भ वेबसाइटों के हिस्से को संदर्भित करता है जो कंपनी की लेखन के अनुसार किसी न किसी रूप में PHP पर चलती हैं।
| वस्तु | विवरण |
|---|---|
| CVE-2026-109618 | सेशन अपलोड-प्रगति डिसीरिएलाइजर में use-after-free; दूरस्थ कोड निष्पादन सक्षम करता है |
| CVE-2026-109619 | घातक-त्रुटि बैकट्रेस में use-after-free साथ ही OPcache प्रकार-भ्रम की खामी |
| गंभीरता | PHP सुरक्षा दल द्वारा 9.2 के रूप में रेट किया गया, SecurityWeek के प्रति |
| पैच किए गए संस्करण | PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35, 21 अक्टूबर 2026 को जारी किए गए |
| बैकपोर्ट | PHP 7.4, 8.0 और 8.1 के लिए न्यूनतम फिक्स भी जारी किए गए |
| खोजकर्ता | Wiz Research, Calif और OpenAI को खोज, समन्वय और पैच सत्यापन में योगदान का श्रेय देते हुए |
प्रकटीकरण के बाद से शोषण के प्रयास
कई सुरक्षा फर्मों ने प्रकटीकरण के चारों ओर हमले का ट्रैफिक निगरानी किया। SecurityWeek रिपोर्ट करता है कि फर्म watchTowr ने पैच आने के समय जंगली में शोषण के प्रयासों का पता लगाया लेकिन सफल समझौते की पुष्टि नहीं की। Hadrian ने SecurityWeek को बताया कि इसने पैच जारी होने से पहले बड़े पैमाने पर शोषण के प्रयासों को देखा, PHP के सेशन अपलोड-प्रगति कोड पाथ पर केंद्रित। Patchstack, Cloudflare और Vega ने प्रकटीकरण के दिन प्रयासों को लॉग किया, और Amazon ने कहा कि इसने पैच जारी होने से चार दिन पहले शोषण के प्रयासों की पहचान की थी।
PHP का पैमाना इसे महत्वपूर्ण क्यों बनाता है
PHP को डेनिश-कनाडाई प्रोग्रामर Rasmus Lerdorf ने बनाया, पहली बार 1995 में जारी किया, और यह वेबसाइटों के निर्माण के लिए सबसे व्यापक रूप से उपयोग की जाने वाली सर्वर-पक्षीय स्क्रिप्टिंग भाषाओं में से एक बनी हुई है, Wikipedia के अनुसार। यही स्रोत नोट करता है कि नवंबर 2025 तक, PHP-संचालित वेबसाइटों का आधे से अधिक अभी भी असमर्थित PHP 7 शाखा पर चल रहा था, और लगभग 9.7% अभी भी PHP 5 पर था, जिसे वर्षों पहले बंद कर दिया गया था — एक विरासत-सॉफ्टवेयर पैटर्न जो सुरक्षा शोधकर्ता कहते हैं कि व्यापक PHP इकोसिस्टम में तेजी से पैचिंग को जटिल बनाता है।
प्रश्न
- PHP2Shell क्या है?
- PHP2Shell वह नाम है जो शोधकर्ताओं ने दो महत्वपूर्ण PHP कमजोरियों, CVE-2026-109618 और CVE-2026-109619 को दिया, जो हमलावर को लॉगिन किए बिना वेब सर्वर पर कोड चलाने दे सकती हैं, Wiz Research के अनुसार।
- PHP के कौन से संस्करण प्रभावित हैं?
- Wiz कहते हैं कि कम से कम दोनों में से एक खामी PHP संस्करण 5.4 से वर्तमान रिलीज तक प्रभावित करती है। PHP 8.5.12, 8.4.27, 8.3.36 और 8.2.35 के लिए पैच जारी किए गए, PHP 7.4, 8.0 और 8.1 के लिए न्यूनतम बैकपोर्ट के साथ, SecurityWeek के प्रति।
- क्या PHP2Shell को वास्तव में शोषण किया गया है?
- हाँ। SecurityWeek रिपोर्ट करता है कि watchTowr, Hadrian, Patchstack, Cloudflare, Vega और Amazon ने सभी अलग-अलग शोषण के प्रयासों को लॉग किया, कुछ 21 अक्टूबर 2026 को आधिकारिक पैच जारी होने से पहले।
- PHP2Shell कमजोरियों को किसने खोजा?
- क्लाउड सुरक्षा फर्म Wiz ने 19 अगस्त 2026 को शुरू करके खामियों की खोज की, और उन्हें 24 अगस्त को PHP सुरक्षा दल को रिपोर्ट किया। Wiz ने Calif और OpenAI संगठनों को खोज, समन्वय और पैच सत्यापन में योगदान का श्रेय दिया, इसकी लेखन के अनुसार।
- कौन सी प्लेटफॉर्म सत्यापित रूप से असुरक्षित पाई गईं?
- Wiz कहते हैं कि इसने WordPress, Drupal और Joomla की वर्तमान रिलीज के विरुद्ध प्रमाणीकरण रहित दूरस्थ कोड निष्पादन का प्रदर्शन किया जो प्रभावित PHP संस्करण पर चल रही थीं।
स्रोत
यह लेख कृत्रिम बुद्धिमत्ता से तैयार किया गया और प्रकाशन से पहले स्वचालित स्रोत-जाँच से गुज़रा। कोई गलती दिखे तो सुधार का अनुरोध करें। सुधार या उत्तर का अनुरोध करें · हम कैसे काम करते हैं
संबंधित लेख
प्रौद्योगिकीसूची
बेहतरीन Android ऐप्स और यूटिलिटीज जो आप Google Play Store के बाहर प्राप्त कर सकते हैं
Android उपयोगकर्ता Google Play तक सीमित नहीं हैं: ओपन-सोर्स रिपोजिटरी F-Droid, अनाम Google Play क्लाइंट Aurora Store, अपडेट ट्रैकर Obtainium, और Shizuku-आधारित कैटलॉग ShizuStore वह ऐप्स वितरित करते हैं जिन्हें आधिकारिक स्टोर सूचीबद्ध नहीं करता या अनुमति नहीं देता। यहाँ नौ स्टोर और यूटिलिटीज हैं जो जानने योग्य हैं, उनकी अपनी सूचियों और MakeUseOf और Pocket-lint से रिपोर्टिंग के आधार पर।
प्रौद्योगिकीलेख
PHP2Shell: दो गंभीर PHP कमजोरियाँ जिनके कारण सरकारें ऑफलाइन हुईं
PHP2Shell दो गंभीर, प्रमाणित नहीं दूरस्थ कोड निष्पादन कमजोरियों का उपनाम है जो PHP प्रोग्रामिंग भाषा में हैं — CVE-2026-109618 और CVE-2026-109619 — जिन्हें 20–21 अक्टूबर 2026 को प्रकट किया गया। चूंकि PHP दुनिया की अधिकांश वेबसाइटों को शक्ति प्रदान करता है, इन कमजोरियों ने कई सरकारों को सावधानी के रूप में सार्वजनिक साइटों को ऑफलाइन ले जाने के लिए प्रेरित किया। आधिकारिक समाधान PHP को अपग्रेड करना है; अंतरिम सर्वर-साइड शमन मौजूद हैं, लेकिन एक व्यक्तिगत पाठक के लिए उल्लंघन सूचनाओं को देखने और मजबूत, अद्वितीय पासवर्ड का उपयोग करने के अलावा कुछ नहीं है।
प्रौद्योगिकीतुलना
iPhone Duo बनाम Samsung Galaxy Z Fold7: Foldable Phones की तुलना
Apple का पहला foldable, iPhone Duo, 23 अक्टूबर 2026 को $1,999 की शुरुआती कीमत पर बिक्री के लिए आया — Samsung के Galaxy Z Fold7 ($1,999.99) से एक सेंट कम। ये दोनों book-style foldables मुख्य रूप से स्क्रीन के आकार, कैमरा हार्डवेयर, वजन और चार्जिंग गति में भिन्न हैं, जबकि एक साल से अधिक के अंतराल पर लगभग समान प्रवेश मूल्य पर आते हैं।
प्रौद्योगिकीसमाचार
PHP2Shell: दो गंभीर PHP खामियाँ वैश्विक साइट शटडाउन का कारण बनती हैं
PHP भाषा में दो गंभीर दूरस्थ कोड निष्पादन खामियाँ, जो CVE-2026-109618 और CVE-2026-109619 के रूप में ट्रैक की गई हैं और "PHP2Shell" का नाम दिया गया है, अप्रमाणित हमलावरों को कमजोर सर्वर पर कोड चलाने देती हैं। PHP ने 21 अक्टूबर 2026 को पैच जारी किए, इसके बाद शोषण विवरण जल्दी लीक हुए, और सुरक्षा शोधकर्ताओं का कहना है कि हमले फिक्स की डिलीवरी से पहले शुरू हो गए, जिससे कई संगठन सावधानी के तौर पर साइटों को ऑफलाइन कर गए।