PHP2Shell: PHP में गंभीर खामियां वैश्विक पैच जल्दबाजी और साइट शटडाउन को ट्रिगर करती हैं

21 अक्टूबर 2026 को, PHP प्रोजेक्ट ने आपातकालीन अपडेट जारी किए—संस्करण 8.5.12, 8.4.27, 8.3.36 और 8.2.35—दो गंभीर सुरक्षा खामियों को ठीक करने के लिए जिन्हें सुरक्षा शोधकर्ताओं और विक्रेताओं ने 'PHP2Shell' नाम दिया है, Help Net Security और कनाडाई साइबर सुरक्षा केंद्र के अनुसार। ये खामियां CVE-2026-109618 और CVE-2026-109619 के रूप में ट्रैक की जाती हैं, दोनों को गंभीर-गंभीरता मुद्दों के रूप में वर्णित किया गया है; इस लेख की समीक्षा के लिए उपयोग किए गए स्रोतों ने कोई आधिकारिक संख्यात्मक CVSS स्कोर नहीं दिया।

खामी क्या करती है

दोनों खामियां PHP में मेमोरी-सुरक्षा बग हैं कि PHP असामान्य स्थितियों के तहत अनुरोधों को कैसे संभालता है, Bleeping Computer और Help Net Security ने रिपोर्ट किया। CVE-2026-109618 तब होता है जब आउट-ऑफ-मेमोरी त्रुटि PHP को बाधित करती है जबकि आंतरिक अनुरोध डेटा केवल आंशिक रूप से सेट किया जाता है, इसलिए क्लीनअप रूटीन बाद में उस अधूरे डेटा को मान्य के रूप में मानते हैं। CVE-2026-109619 एक stale-state खामी है: एक अनुरोध से जुड़ी मेमोरी को मुक्त किया जा सकता है और फिर एक ही कार्यकर्ता पर बाद के अनुरोध द्वारा दोबारा उपयोग किया जा सकता है इससे पहले कि इसे सही तरीके से रीसेट किया जाए, जो डेटा को उजागर कर सकता है या कोड निष्पादन की अनुमति दे सकता है।

कनाडा के साइबर सुरक्षा केंद्र ने दोनों को Use-After-Free खामियों (CWE-416) के रूप में वर्गीकृत किया है और कहा कि एक सफल हमला एक अप्रमाणित हमलावर को सर्वर पर मनमानी कोड चलाने देता है, बिना पासवर्ड या उपयोगकर्ता से किसी कार्रवाई की आवश्यकता के। एजेंसी ने कहा कि mod_php तैनाती को सबसे अधिक जोखिम का सामना करना पड़ता है, क्योंकि एक प्रदर्शित शोषण किसी भी एप्लिकेशन कोड को चलने का मौका देने से पहले बग को ट्रिगर कर सकता है — एक विवरण जो PHP सुरक्षा टीम द्वारा भी उपयोग किया जाता है, Bleeping Computer के अनुसार।

यह बग हर PHP इंस्टॉलेशन को प्रभावित करता है जो वेब अनुरोधों को सेवा देता है, PHP-FPM, Apache के mod_php, php-cgi, FrankenPHP और LiteSpeed सहित, Bleeping Computer और कनाडाई सलाह के अनुसार। अंतर्निहित कोड एक दशक से अधिक समय से PHP में मौजूद था, Fortune ने रिपोर्ट किया, हालांकि 8.2–8.5 शाखाओं के लिए आधिकारिक फिक्स जारी किए गए थे, 7.4 के माध्यम से 8.1 तक source-level backports उपलब्ध कराए गए, जो अपने end-of-life सपोर्ट की तारीख से आगे निकल गए हैं।

यह कैसे मिली, और यहां AI क्यों महत्वपूर्ण है

Fortune के अनुसार, खामीयुक्त कोड एक दशक से अधिक समय से PHP में मौजूद था, लेकिन तीन अलग-अलग पार्टियां अगस्त 2026 में इस पर आईं: सुरक्षा फर्म Wiz, एक कंपनी जिसे Calif कहा जाता है, और OpenAI, PHP फाउंडेशन के साथ एक फिक्स और समन्वित प्रकटीकरण पर काम कर रहे हैं। Fortune ने रिपोर्ट किया कि Wiz ने AI मॉडल का उपयोग किया जिसमें OpenAI के GPT-5.6 Sol और Google के Gemini 4 Argon शामिल हैं कमजोरी को समझने और इसे एक कार्यशील शोषण में बदलने में मदद करने के लिए। Wiz ने Fortune को बताया कि यह मामला AI द्वारा संचालित एक बदलाव का प्रतिनिधित्व करता है, यह कहते हुए कि जबकि खामीयुक्त कोड एक दशक से अधिक समय से मौजूद था, जो बदल गया वह शोधकर्ताओं की AI का उपयोग करके कमजोरियों को समझने और उन्हें कार्यशील शोषण में बदलने की क्षमता थी।

Fortune ने यह भी रिपोर्ट किया कि OpenAI ने, अपने बयान में, कहा कि यह एपिसोड दिखाता है कि कैसे AI इंटरनेट-स्केल प्रभाव के साथ सुरक्षा खामियों को उजागर करने में मदद कर सकता है, जबकि यह भी स्वीकार किया कि एक ही AI क्षमताएं हमलावरों को आक्रामक उपकरण और शोषण अधिक तेजी से विकसित करने में मदद कर सकती हैं।

शोषण के प्रयास और Cloudflare की जल्दबाजी में प्रतिक्रिया

Cloudflare ने अपने ब्लॉग पर कहा कि इसने 21 अक्टूबर को 03:02 UTC पर Web Application Firewall नियमों को सक्रिय किया, जिसे इसने खामियों के सार्वजनिक प्रकटीकरण से लगभग नौ घंटे पहले वर्णित किया। कंपनी ने मुफ्त-स्तर ग्राहकों के लिए सात 'Generic Rules – Anomalous Execution' और एक अलग सेट सात समकक्ष नियमों को रोल आउट किया, साथ ही एक अतिरिक्त नियम जो एक ही लेनदेन के भीतर अनुरोध और प्रतिक्रिया दोनों की जांच करता है, Cloudflare के पोस्ट के अनुसार जैसा कि ppc.land द्वारा सारांशित किया गया है। एक ही पोस्ट ने कहा कि Cloudflare ने देखा कि हमलावर बाद में अपने शोषण पेलोड को संशोधित कर रहे हैं स्पष्ट रूप से नए नियमों से बचने के प्रयास में, हालांकि इसने सटीक हमले-मात्रा आंकड़े प्रकाशित नहीं किए।

अलग से, Amazon की Threat Intelligence टीम ने कहा कि इसने सार्वजनिक पैच से चार दिन पहले 17 अक्टूबर 2026 को शुरू होने वाली खामियों के विरुद्ध शोषण के प्रयास देखे हैं, Bleeping Computer के अनुसार, यह सुझाव देते हुए कि कुछ खतरे के अभिनेताओं को सामान्य प्रकटीकरण से पहले शोषण विवरण तक पहुंच थी। इसके विपरीत, कनाडा के साइबर सुरक्षा केंद्र की सलाह में कहा गया कि, जब इसे लिखा गया था, इसने सक्रिय शोषण की पहचान नहीं की थी, जबकि चेतावनी दी कि स्थिति तेजी से बदल सकती है। दोनों आकलन विभिन्न प्रेक्षण बिंदुओं और समय को प्रतिबिंबित करते हैं वास्तविक तथ्यात्मक विरोधाभास के बजाय।

जापान: सरकार पैच या शटडाउन का आग्रह करती है

यह खामी विशेष रूप से जापान में तीव्र ध्यान खींचती है। जापान का राष्ट्रीय साइबर सुरक्षा कार्यालय, NISC के एक उत्तराधिकारी निकाय जो जुलाई 2025 में पुनर्गठित किया गया था, ने एक सलाह जारी की जिसमें ऑपरेटरों से आग्रह किया गया कि वे जांचें कि क्या उनकी वेबसाइटें PHP चलाती हैं और तेजी से कार्य करें, BigGo Finance रिपोर्ट के अनुसार एजेंसी के बयान पर। प्रधानमंत्री Sanae Takaichi ने X पर पोस्ट किया जिसमें इसे 'आज रात सभी के लिए जवाब देने की तत्काल अपील' कहा, और कहा कि अस्थायी रूप से किसी वेबसाइट को निलंबित करना तुरंत पैचिंग संभव न होने की स्थिति में जोखिम को कम करने का एक प्रभावी तरीका हो सकता है, BigGo Finance ने रिपोर्ट किया।

इस मार्गदर्शन का पालन करते हुए, कई जापानी ऑनलाइन सेवाएं 21 अक्टूबर की रात को आपातकालीन रखरखाव में चली गईं, जिसमें childcare management platform CoDMON, कार्ड गेम Shadowverse: Worlds Beyond, ऑनलाइन स्टोर बिल्डर BASE, और होस्टिंग प्रदाता Sakura Internet शामिल हैं, BigGo Finance रिपोर्ट के अनुसार। PHP के आधिकारिक पैच जापानी समय में लगभग 10:40 p.m. पर जारी किए गए, शुरुआत में घोषित 11 p.m. लक्ष्य से पहले, एक ही रिपोर्ट में कहा गया।

अलग से, Internet Watch (Impress) ने रिपोर्ट किया कि जापानी संचार प्रदाता Baltec ने लगभग 23 सेवाओं को निलंबित कर दिया—क्लाउड, आरक्षण, बिक्रय में मुद्रा और व्यय-प्रबंधन उपकरणों को कवर करते हुए—अनधिकृत पहुंच का पता लगाने के बाद व्यक्तिगत डेटा की संभावित जोखिम के साथ। Baltec ने शुरुआत में PHP खामी को लक्षित करने वाले साइबर हमले के लिए इस घटना को जिम्मेदार ठहराया, लेकिन कंपनी ने एक ही दिन सुधार जारी किया जिसमें कहा गया कि वास्तविक कारण PHP खामी नहीं बल्कि इसकी अपनी सेवा में एक खामी थी, इसने कहा कि PHP-संबंधित सुरक्षा उपायों की समीक्षा करते समय इसने दोनों मुद्दों को भ्रमित कर दिया। Baltec ने सेवा बहाली के लिए 26 अक्टूबर को लक्ष्य किया, Internet Watch ने रिपोर्ट किया।

जोखिम का स्केल

PHP दुनिया भर की लगभग 70% वेबसाइटों को शक्ति देता है, जिसमें WordPress साइटें, Wikipedia, Microsoft.com और Archive.org शामिल हैं, Fortune ने रिपोर्ट किया, यह हवाला देते हुए कि सभी वेबसाइटों का लगभग 40% WordPress पर चलता है, जो स्वयं PHP पर निर्भर है। Fortune ने यह भी हवाला दिया कि एक प्रारंभिक स्कैन ने इंटरनेट के लिए उजागर 22.6 मिलियन संभावित रूप से असुरक्षित PHP इंस्टेंस की पहचान की।

अभी भी क्या अज्ञात है

उपलब्ध रिपोर्टिंग के अनुसार, कोई स्रोत PHP2Shell शोषण के सीधे कारण से सफल बड़े पैमाने पर उल्लंघन की पुष्टि नहीं करता है, जैसा कि सावधानीपूर्वक शटडाउन के विपरीत है। कुल शोषण के प्रयासों पर आंकड़े स्रोत और माप विंडो द्वारा भिन्न होते हैं: Cloudflare के CEO को जापानी कवरेज में Yahoo! News के माध्यम से उद्धृत किया गया जैसा कि प्रकटीकरण से पहले हजारों से शुरू होने वाले प्रयास 45 मिनट के भीतर दसियों हजार तक और दो घंटे के भीतर सैकड़ों हजार तक पहुंचते हैं, कुल उस रिपोर्ट के समय लाखों तक पहुंचते हुए कहा जाता है; Cloudflare के अपने ब्लॉग पोस्ट ने ये विशिष्ट आंकड़े दोहराए नहीं। पाठकों को सटीक हमले-मात्रा संख्याओं को प्रारंभिक के रूप में मानना चाहिए और उन्हें ट्रैक करने वाली संगठनों द्वारा संशोधन के अधीन।