प्रौद्योगिकी · समाचार
PHP2Shell: दो गंभीर PHP खामियाँ वैश्विक साइट शटडाउन का कारण बनती हैं
प्रकाशित:
संक्षेप में
PHP भाषा में दो गंभीर दूरस्थ कोड निष्पादन खामियाँ, जो CVE-2026-109618 और CVE-2026-109619 के रूप में ट्रैक की गई हैं और "PHP2Shell" का नाम दिया गया है, अप्रमाणित हमलावरों को कमजोर सर्वर पर कोड चलाने देती हैं। PHP ने 21 अक्टूबर 2026 को पैच जारी किए, इसके बाद शोषण विवरण जल्दी लीक हुए, और सुरक्षा शोधकर्ताओं का कहना है कि हमले फिक्स की डिलीवरी से पहले शुरू हो गए, जिससे कई संगठन सावधानी के तौर पर साइटों को ऑफलाइन कर गए।
यह संस्करण मूल पाठ (English) का मशीनी अनुवाद है। मूल पाठ पढ़ें
PHP, वह स्क्रिप्टिंग भाषा जो वेब के सर्वर-साइड कोड का एक बड़ा हिस्सा चलाती है, अक्टूबर 2026 में दो गंभीर सुरक्षा खामियों से प्रभावित हुई। सामूहिक रूप से "PHP2Shell" का नाम दिया गया और CVE-2026-109618 और CVE-2026-109619 के रूप में ट्रैक किया गया, ये बग किसी भी खाते या पासवर्ड के बिना एक हमलावर को प्रभावित वेब सर्वर पर मनमाना कोड निष्पादित करने देते हैं।
खामियाँ क्या करती हैं
सुरक्षा फर्म watchTowr के अनुसार, CVE-2026-109618 तब होती है जब PHP आने वाली अनुरोध को सेट करने के बीच में मेमोरी से बाहर हो जाता है, जिससे आंतरिक अनुरोध डेटा केवल आंशिक रूप से शुरू हो जाता है; PHP की सफाई दिनचर्या तब गलती से उस अमान्य डेटा को मान्य के रूप में मानती है। CVE-2026-109619 एक अनुरोध से जुड़ी आंतरिक स्थिति से संबंधित है जो उस मेमोरी में बनी रहती है जिसे पहले से ही मुक्त कर दिया गया है, तो बाद में एक ही वर्कर प्रक्रिया द्वारा संभाली गई अनुरोध सामान्य आरंभीकरण इसे फिर से सेट करने से पहले उस पुरानी स्थिति का उपयोग कर सकती है।
अनुसंधान फर्म Wiz, जिसने खामियों की जांच की, ने Help Net Security को बताया कि ये मुद्दे वर्षों से नज़रअंदाज़ रहे हैं और भाषा में कभी पाई जानेवाली सबसे गंभीर खामियों में शामिल हैं। पूर्ण दूरस्थ कोड निष्पादन से परे, watchTowr ने कहा कि ये बग PHP वर्कर प्रक्रियाओं को क्रैश कर सकते हैं, मनमानी फाइल पढ़ने की अनुमति दे सकते हैं, या सर्वर मेमोरी को लीक कर सकते हैं।
इसे किसने और कब पाया
ये दोनों खामियाँ अलग-अलग शोध प्रयासों के माध्यम से रिपोर्ट की गईं। WatchTowr की सलाह Calif में सुरक्षा अनुसंधान दल को खोज का श्रेय देती है, जबकि Help Net Security की कवरेज Wiz में शोधकर्ताओं द्वारा पहचान और प्रकटीकरण का कारण बनती है। प्रकटीकरण की समयरेखा असामान्य थी: विवरण जो एम्बर्गो के तहत रहने के लिए थे, 20 अक्टूबर 2026 को सार्वजनिक रूप से लीक हुए, और watchTowr ने लीक की गई जानकारी की पुष्टि की। PHP के रखरखाव करने वालों ने 21 अक्टूबर 2026 को 14:00 UTC पर मूल रूप से निर्धारित 22 अक्टूबर की तारीख से एक दिन पहले पैच जारी करके प्रतिक्रिया दी।
दायरा: कौन PHP चलाता है
PHP वेब पर सबसे व्यापक रूप से उपयोग की जाने वाली सर्वर-साइड भाषाओं में से एक बना हुआ है, और खामियाँ किसी भी सेटअप को प्रभावित कर सकती हैं जो इसके माध्यम से आने वाले HTTP अनुरोधों को संसाधित करता है। प्रभावित सेटअप में PHP-FPM, Apache with mod_php, php-cgi, FrankenPHP और LiteSpeed शामिल हैं, watchTowr के अनुसार, जिसका अर्थ है कि बग सर्वर परत में ही रहता है न कि किसी एकल एप्लिकेशन में।
| PHP शाखा | असुरक्षित संस्करण | निर्धारित संस्करण |
|---|---|---|
| 8.5.x | 8.5.12 से नीचे | 8.5.12 |
| 8.4.x | 8.4.27 से नीचे | 8.4.27 |
| 8.3.x | 8.3.36 से नीचे | 8.3.36 |
| 8.2.x | 8.2.35 से नीचे | 8.2.35 |
| 7.4, 8.0, 8.1 | सभी संस्करण | कोई आधिकारिक PHP कोर पैच नहीं; वितरण/LTS विक्रेता बैकपोर्ट या समर्थित शाखा में जाएँ |
| 7.3 और पुराना | सभी संस्करण | कोई फिक्स उपलब्ध नहीं; समर्थित शाखा में अपग्रेड आवश्यक है |
क्योंकि PHP 7.4, 8.0 और 8.1 अब आधिकारिक रूप से समर्थित नहीं हैं, watchTowr कहता है कि अभी भी उन शाखाओं को चलाने वाली साइटों के लिए PHP कोर प्रोजेक्ट से कोई पैच नहीं है, हालांकि Linux वितरण या दीर्घकालीन समर्थन विक्रेता बैकपोर्ट एक अंतरिम विकल्प के रूप में उपलब्ध हो सकते हैं; अन्यथा उन इंस्टॉलेशन को एक समर्थित शाखा में जाना होगा। PHP 7.3 और पुराना watchTowr के अनुसार कोई फिक्स नहीं है। PHP की सलाह में कहा गया है कि कोई भी कॉन्फ़िगरेशन परिवर्तन सॉफ्टवेयर को अपडेट करने के अलावा खामियों को पूरी तरह से बंद नहीं करता है।
प्रभाव और शोषण
Help Net Security ने रिपोर्ट किया कि Amazon द्वारा चलाए गए एक हनीपॉट नेटवर्क ने 17 अक्टूबर 2026 को शोषण प्रयासों का पता लगाया — सार्वजनिक पैच से चार दिन पहले — यह सुझाता है कि कुछ हमलावरों के पास शोषण विवरणों तक जल्दी पहुंच थी। WatchTowr ने कहा कि इसका अपना "Attacker Eye" हनीपॉट नेटवर्क 21 अक्टूबर के पैच रिलीज के बाद भी जंगली में सक्रिय शोषण को देख रहा था। PHP पर निर्मित कंटेंट प्रबंधन प्रणालियाँ, जिनमें WordPress, Drupal और Joomla शामिल हैं, साथ ही Laravel-आधारित एप्लिकेशन और ई-कॉमर्स प्लेटफॉर्म, सभी प्रभावित पदचिह्न के भीतर हैं क्योंकि वे असुरक्षित PHP इंजन के शीर्ष पर चलते हैं।
जैसे-जैसे पैचिंग शुरू हुई, सरकारी एजेंसियां, ऑनलाइन फोरम, गेमिंग प्लेटफॉर्म और कुछ बुनियादी ढांचे-संबंधित साइटों को सावधानी के तौर पर ऑफलाइन ले जाया गया जबकि ऑपरेटर फिक्स लागू करते थे, PHP2Shell विकिपीडिया प्रविष्टि पर सारांशित कवरेज के अनुसार। यूके के National Cyber Security Centre ने उन संगठनों से कहा जो तुरंत पैच नहीं कर सके कि बजाय इसके असुरक्षित सिस्टम को ऑफलाइन ले जाएँ, Help Net Security ने रिपोर्ट किया।
ये निष्कर्ष PHP में सबसे गंभीर खामियों में शामिल हैं, और तर्कसंगत रूप से सॉफ्टवेयर के इतिहास में।
गंभीरता रेटिंग और साइट ऑपरेटरों को क्या करना चाहिए
PHP के अपने डेवलपरों ने दोनों खामियों को CVSS v4.0 स्केल पर 9.2 में से 10 पर रेट किया, watchTowr की सलाह के अनुसार एक "गंभीर" स्कोर। स्पष्ट उपचार पथ, PHP की सलाह और watchTowr दोनों के अनुसार, PHP 8.5.12, 8.4.27, 8.3.36 या 8.2.35 में अपडेट करना है, यह इस पर निर्भर करता है कि कोई सर्वर कौन सी शाखा चलाता है; 7.4, 8.0 या 8.1 पर साइटों को वितरण बैकपोर्ट का उपयोग करना चाहिए या एक समर्थित शाखा में जाना चाहिए, जबकि 7.3 या पुराने सर्वरों के लिए कोई फिक्स उपलब्ध नहीं है और अपग्रेड की आवश्यकता है।
प्रश्न
- PHP2Shell क्या है?
- PHP2Shell दो गंभीर PHP खामियों, CVE-2026-109618 और CVE-2026-109619 के लिए उपनाम है, जो लॉगिन क्रेडेंशियल के बिना किसी हमलावर को PHP चलाने वाले वेब सर्वर पर कोड निष्पादित करने देता है।
- कौन से PHP संस्करण प्रभावित हैं?
- 8.2.35, 8.3.36, 8.4.27 और 8.5.12 से पहले के संस्करण असुरक्षित हैं और आधिकारिक फिक्स हैं। PHP 7.4, 8.0 और 8.1 भी प्रभावित हैं; चूंकि वे शाखाएँ असमर्थित हैं, इसलिए कोई आधिकारिक PHP कोर पैच नहीं है, हालांकि watchTowr के अनुसार वितरण या LTS विक्रेता बैकपोर्ट उपलब्ध हो सकते हैं। PHP 7.3 और पुराने के लिए कोई फिक्स उपलब्ध नहीं है।
- क्या PHP2Shell सक्रिय रूप से शोषण किया जा रहा है?
- हाँ। Help Net Security ने 17 अक्टूबर 2026 को Amazon हनीपॉट के माध्यम से शोषण प्रयासों की सूचना दी, और watchTowr ने कहा कि इसके हनीपॉट नेटवर्क ने 21 अक्टूबर के पैच के बाद भी जंगली में सक्रिय शोषण देखा।
- कितनी वेबसाइटें प्रभावित हो सकती हैं?
- PHP वेब पर सबसे व्यापक रूप से उपयोग की जाने वाली सर्वर-साइड भाषाओं में से एक है, जिसमें WordPress, Drupal और Joomla पर निर्मित साइटें भी शामिल हैं, इसलिए दोनों खामियों की व्यापक संभावित पहुंच है, watchTowr और PHP2Shell विकिपीडिया प्रविष्टि पर सारांश के अनुसार।
- वेबसाइट ऑपरेटर इसे कैसे ठीक कर सकते हैं?
- PHP की सलाह और watchTowr दोनों कहते हैं कि एकमात्र संपूर्ण फिक्स एक पैच रिलीज में अपडेट करना है — 8.5.12, 8.4.27, 8.3.36 या 8.2.35 शाखा के आधार पर — क्योंकि कोई कॉन्फ़िगरेशन परिवर्तन खामियों को पूरी तरह से बंद नहीं करता है। असमर्थित शाखाओं (7.4, 8.0, 8.1, या 7.3 और पुराना) पर साइटों को विक्रेता बैकपोर्ट का उपयोग करना होगा जहां उपलब्ध हों या एक समर्थित शाखा में अपग्रेड करना होगा।
स्रोत
यह लेख कृत्रिम बुद्धिमत्ता से तैयार किया गया और प्रकाशन से पहले स्वचालित स्रोत-जाँच से गुज़रा। कोई गलती दिखे तो सुधार का अनुरोध करें। सुधार या उत्तर का अनुरोध करें · हम कैसे काम करते हैं
संबंधित लेख
प्रौद्योगिकीलेख
भारत का WhatsApp सिम बाइंडिंग नियम: जनवरी 2027 से क्या बदलेगा
भारत के दूरसंचार विभाग ने WhatsApp, Telegram और छह अन्य मेसेजिंग ऐप्स को उपयोगकर्ता के खातों को साइन-अप के समय उपयोग किए गए सिम कार्ड से स्थायी रूप से जोड़ा रखने का आदेश दिया है, जिसका प्रवर्तन 1 जनवरी 2027 से शुरू होगा। जो कोई भी सिम को हटाता है, निष्क्रिय करता है या इसे विदेश ले जाता है, उसे उस खाते पर ऐप तक पहुंच खोने का जोखिम है। यह नियम नवंबर 2025 में जारी किया गया था और साइबर धोखाधड़ी को रोकने के लिए है जो उन खातों से की जाती है जिनके मूल सिम अब उपयोग में नहीं हैं।
प्रौद्योगिकीलेख
Apple का iPhone Duo फोल्डेबल: विशेषताएं, कीमत और Samsung के साथ तुलना
Apple का पहला फोल्डेबल iPhone, iPhone Duo, 23 अक्टूबर 2026 को बिक्री के लिए आया, $1,999 से शुरू होकर, प्री-ऑर्डर की तीव्र मांग ने कुछ मिनटों में शिपिंग अनुमान को 2027 में धकेल दिया। यह किताब-शैली डिवाइस titanium hinge और IP68 जल प्रतिरोध—इस प्रकार के फोल्डेबल के लिए पहली बार—को Samsung Display पैनल के साथ जोड़ता है, जो Samsung की Galaxy Z Fold लाइन के साथ प्रतिस्पर्धा को तीव्र कर रहा है।
प्रौद्योगिकीसमाचार
अमेरिकी बैंकें कहती हैं कि सत्यापित नहीं किए गए AI एजेंट ग्राहक खातों में लॉग इन कर रहे हैं
बड़ी अमेरिकी बैंकें जिनमें JPMorgan Chase, Bank of America और Charles Schwab शामिल हैं, कह रही हैं कि वे तीसरे पक्ष के AI एजेंटों को ग्राहक खातों तक पहुंचने के लिए देख रही हैं जो उपयोगकर्ताओं ने स्वयं हस्तांतरित किए गए क्रेडेंशियल का उपयोग कर रहे हैं, Axios ने 22 अक्टूबर 2026 को रिपोर्ट किया। बैंकें कहती हैं कि कुछ एजेंटों ने कार्य किए हैं, जैसे धन स्थानांतरित करना, जो किसी विशिष्ट उपयोगकर्ता निर्देश से अलग दिखाई देते हैं, और अब इस अभ्यास को अवरुद्ध या प्रतिबंधित कर रहे हैं।
प्रौद्योगिकीलेख
एनवीडिया के जेनसन हुआंग 2029 में मेमोरी चिप की अधिकता के डर को खारिज करते हैं
एनवीडिया के सीईओ जेनसन हुआंग ने 22 अक्टूबर 2026 को सीएनबीसी को बताया कि वह 2029 तक मेमोरी चिप की अधिक आपूर्ति का कोई संकेत नहीं देखते हैं, एक सिद्धांत को खारिज करते हुए जो सैमसंग, एसके हाइनिक्स और माइक्रोन के शेयरों में तीव्र बिकवाली को ट्रिगर करने में मदद करता था। बर्लिन में एनवीडिया के जीटीसी सम्मेलन में बोलते हुए, हुआंग ने कहा कि उच्च-बैंडविड्थ मेमोरी (एचबीएम) की मांग बढ़ती रहेगी और अधिक मेमोरी उपलब्ध होना जोखिम भरा नहीं बल्कि लाभप्रद है।