यह भाषा मशीन द्वारा अनुवादित है और किसी मानव द्वारा समीक्षा नहीं की गई है।

NIVΞCTOR
समाचारसहयोग

काउंटर अभी शुरू नहीं हुआ है

प्रौद्योगिकी · लेख

PHP2Shell: दो गंभीर PHP कमजोरियाँ जिनके कारण सरकारें ऑफलाइन हुईं

प्रकाशित:

संक्षेप में

PHP2Shell दो गंभीर, प्रमाणित नहीं दूरस्थ कोड निष्पादन कमजोरियों का उपनाम है जो PHP प्रोग्रामिंग भाषा में हैं — CVE-2026-109618 और CVE-2026-109619 — जिन्हें 20–21 अक्टूबर 2026 को प्रकट किया गया। चूंकि PHP दुनिया की अधिकांश वेबसाइटों को शक्ति प्रदान करता है, इन कमजोरियों ने कई सरकारों को सावधानी के रूप में सार्वजनिक साइटों को ऑफलाइन ले जाने के लिए प्रेरित किया। आधिकारिक समाधान PHP को अपग्रेड करना है; अंतरिम सर्वर-साइड शमन मौजूद हैं, लेकिन एक व्यक्तिगत पाठक के लिए उल्लंघन सूचनाओं को देखने और मजबूत, अद्वितीय पासवर्ड का उपयोग करने के अलावा कुछ नहीं है।

यह संस्करण मूल पाठ (English) का मशीनी अनुवाद है। मूल पाठ पढ़ें

PHP2Shell PHP प्रोग्रामिंग भाषा में कमजोरियों का उपनाम है, किसी एक वेबसाइट या ऐप में नहीं। उन्हें CVE-2026-109618 और CVE-2026-109619 के रूप में ट्रैक किया जाता है, और PHP की अपनी सुरक्षा टीम ने दोनों को CVSS v4.0 पैमाने पर 9.2 की रेटिंग दी है, जो इसका 'महत्वपूर्ण' स्तर है, PHP प्रोजेक्ट के आधिकारिक 2026 आर्काइव पृष्ठ के अनुसार।

दोनों कमजोरियाँ वास्तव में क्या करती हैं

PHP प्रोजेक्ट की अपनी सलाह के अनुसार, CVE-2026-109618 तब ट्रिगर होता है जब PHP एक वेब अनुरोध को संभालते समय मेमोरी से बाहर चला जाता है। आउट-ऑफ-मेमोरी त्रुटि PHP को बाधित कर सकती है इससे पहले कि आंतरिक अनुरोध डेटा पूरी तरह सेट अप हो, और उसके बाद की सफाई प्रक्रिया उस अधूरे डेटा को वैध के रूप में मान सकती है, जिससे मेमोरी भ्रष्टाचार और दूरस्थ कोड निष्पादन हो सकता है।

CVE-2026-109619 को PHP एक 'पुरानी वैश्विक स्थिति' बग के रूप में वर्णित करता है: एक दर्शक के अनुरोध से जुड़ा डेटा सर्वर की मेमोरी में रह सकता है इसके बाद इसे साफ़ किया जाना चाहिए, और अगले दर्शक का अनुरोध जो एक ही कर्मचारी प्रक्रिया द्वारा संभाला जाता है उन अवशेषों पर कार्य कर सकता है। सुरक्षा फर्म watchTowr, जो निगरानी प्रणालियों का एक वैश्विक नेटवर्क चलाता है, ने कहा कि दोनों बग एक हमलावर को कोई लॉगिन आवश्यक किए बिना कोड चलाने की अनुमति देते हैं, एक वेबसाइट के अपने कोड के निष्पादन से भी पहले।

डच सुरक्षा फर्म Sansec ने आगे की तकनीकी जानकारी जोड़ी, कहते हुए कि शोषण के एक रास्ते PHP के सेशन 'अपलोड प्रगति' सुविधा के माध्यम से चलता है और पासवर्ड, API कुंजी और एन्क्रिप्शन कुंजी जैसे डेटा को उजागर कर सकता है जो अन्य, असंबंधित अनुरोधों से सर्वर की मेमोरी में बैठे थे।

इतनी सारी वेबसाइटें क्यों उजागर हुईं

बग PHP इंजन के अंदर हैं, इसलिए PHP के साथ बनाई गई कोई भी वेबसाइट या ऐप संभावित रूप से उजागर है, भले ही कोई भी सामग्री प्रणाली इसके शीर्ष पर चले। इसमें व्यापक रूप से उपयोग की जाने वाली प्लेटफॉर्म जैसे WordPress, Drupal, Joomla, Magento और Nextcloud शामिल हैं, Sansec के अनुसार। PHP वेब पर सबसे व्यापक रूप से उपयोग की जाने वाली सर्वर-साइड प्रोग्रामिंग भाषाओं में से एक बनी हुई है, जो इस कारण का एक हिस्सा है कि कमजोरियों को व्यापक, बड़े पैमाने के जोखिम के रूप में माना जाता था।

Wiz के सुरक्षा शोधकर्ताओं ने कमजोरियों की खोज की, और Help Net Security ने रिपोर्ट किया कि शोधकर्ताओं ने कहा कि सीमांत AI उपकरणों म���ं प्रगति ने एक लंबे समय से ज्ञात, मुश्किल से शोषक स्मृति संभालने मुद्दे को एक कार्यशील शोषण में बदलने के लिए तकनीकी बाधा को महत्वपूर्ण रूप से कम कर दिया है।

सरकारों ने साइटों को ऑफलाइन क्यों ले लिया

कमजोरियों की तकनीकी जानकारी PHP के आधिकारिक पैच से पहले लीक हो गई, रक्षकों को पैच के सार्वजनिक होने से पहले आमतौर पर मिलने वाली शुरुआत में कमी आई। सुरक्षा ब्लॉग Safeguard की रिपोर्ट के अनुसार, 21 अक्टूबर 2026 को, नीदरलैंड ने Overheid.nl सहित सेवाओं को बंद कर दिया, इसके राष्ट्रीय साइबर सुरक्षा केंद्र की अपनी साइट, प्रतिनिधि सभा की वेबसाइट और सावधानी के रूप में कई अस्पताल और राजनीतिक पार्टी साइटें। फिनलैंड के राज्य IT प्रदाता Valtori ने सावधानी के कदम के रूप में सरकारी नेटवर्क सेवाओं को ऑफलाइन ले लिया, और डेनमार्क की नगरपालिका IT कंपनी Kombit ने कई सेवाओं को बंद कर दिया जिसमें एक राष्ट्रीय स्कूल संचार मंच शामिल है। फ्रांस के आंतरिक मंत्रालय ने अस्थायी रूप से प्रीफेक्चर और स्थानीय प्रशासनिक साइटों को बंद कर दिया, कहते हुए कि यह PHP पैच को लागू किए जाने की प्रतीक्षा कर रहा था। जर्मनी के संघीय IT प्रदाता ITZBund और बेल्जियम के विदेश मंत्रालय ने भी साइटों को ऑफलाइन ले लिया, हालांकि Safeguard की रिपोर्ट के अनुसार उन्होंने विभिन्न कारण दिए: ITZBund ने कहा कि उन्हें कोई सुरक्षा घटना की जानकारी नहीं है, जबकि बेल्जियम के विदेश मंत्रालय ने हमलों की रिपोर्ट का हवाला दिया।

watchTowr ने कहा कि इसका हनीपॉट नेटवर्क, Attacker Eye, ने 21 अक्टूबर 2026 से शुरू होने वाले वास्तविक दुनिया के शोषण प्रयासों को रिकॉर्ड किया, लीक के एक दिन बाद और उसी दिन PHP ने अपना पैच प्रकाशित किया।

दोनों कमजोरियों की तुलना

CVE-2026-109618 बनाम CVE-2026-109619
CVE-2026-109618CVE-2026-109619
CVSS v4.0 स्कोर9.2 (महत्वपूर्ण)
मूल कारणमेमोरी से बाहर संभालने से अनुरोध डेटा आंशिक रूप से शुरू रहता है
प्रमाणीकरण आवश्यकनहीं
में तय किया गयाPHP 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35
उच्चतम जोखिम वाले सेटअपApache पर mod_php, watchTowr के अनुसार

अपनी साइट और अपने डेटा की सुरक्षा कैसे करें

  1. यदि आप PHP पर एक वेबसाइट चलाते हैं: एक तय किए गए संस्करण में अपग्रेड करें — PHP 8.5.12, 8.4.27, 8.3.36 या 8.2.35 — और उसके बाद सभी PHP कर्मचारी प्रक्रियाओं को फिर से शुरू करें, जैसा कि PHP की सलाह और runZero दोनों पर जोर दिया जाता है कि अपग्रेड करना एकमात्र पूर्ण समाधान है।
  2. यदि आप अभी भी PHP 7.4, 8.0 या 8.1 पर हैं, जिन्हें अब आधिकारिक अपडेट नहीं मिलते, अपनी Linux वितरण या होस्टिंग प्रदाता से एक backported सुरक्षा पैच प्राप्त करें, क्योंकि PHP के अपने प्रोजेक्ट ने उन शाखाओं को बनाए रखना बंद कर दिया है, PHP आर्काइव पृष्ठ के अनुसार।
  3. जब तक आप पैच नहीं लगा सकते, runZero सर्वर या प्रॉक्सी स्तर पर अंतरिम कदमों की सिफारिश करता है: मेमोरी सीमाओं को सीमित करें ताकि अनुप्रयोग उन्हें ओवरराइड न कर सकें, कम अनुरोध-आकार और मल्टीपार्ट-अपलोड सीमाएं लागू करें, और सेशन 'अपलोड प्रगति' सुविधा को अक्षम करें।
  4. असामान्य multipart/form-data POST अनुरोधों के लिए अपनी वेब सर्वर एक्सेस लॉग की जाँच करें, जो Sansec कहते हैं ज्ञात शोषण प्रयासों के लिए सामान्य हैं, और अप्रत्याशित PHP मेमोरी स्पाइक्स या घातक त्रुटियों के लिए देखें।
  5. एक रोजमर्रा के इंटरनेट उपयोगकर्ता के रूप में, आप उन सर्वरों को पैच नहीं कर सकते जिन्हें आप नियंत्रित नहीं करते, लेकिन आप उन सेवाओं से उल्लंघन सूचनाओं के लिए देख सकते हैं जो आप उपयोग करते हैं, प्रत्येक खाते के लिए एक अद्वितीय पासवर्ड का उपयोग कर सकते हैं, और दो-कारक प्रमाणीकरण को चालू कर सकते हैं ताकि एक लीक किया गया पासवर्ड अकेले आपके खातों तक पहुंचने के लिए पर्याप्त न हो।

PHP बताता है कि कोई भी कॉन्फ़िगरेशन परिवर्तन इन कमजोरियों को पूरी तरह कम नहीं करता है।

— watchTowr FAQ on CVE-2026-109618

क्या अभी भी स्पष्ट नहीं है

रिपोर्टिंग की समीक्षा के अनुसार, विशेषज्ञों के बीच सक्रिय शोषण कितना व्यापक था, इस बारे में असहमति थी जब कई सरकारों ने साइटों को ऑफलाइन ले जाने का फैसला किया; Safeguard ने रिपोर्ट किया कि डच सरकार ने कहा कि जब उसने कार्रवाई की तो उसे सक्रिय शोषण के कोई संकेत नहीं थे, जबकि watchTowr ने अलग से अगले दिन अपने हनीपॉट्स के खिलाफ वास्तविक हमले की पुष्टि की।

प्रश्न

PHP2Shell क्या है?
PHP2Shell दो महत्वपूर्ण PHP कमजोरियों को दिया गया नाम है, CVE-2026-109618 और CVE-2026-109619, जो एक प्रमाणित नहीं हमलावर को वेब सर्वर पर कोड चलाने की अनुमति देते हैं, PHP की अपनी 2026 सुरक्षा सलाह और watchTowr के विश्लेषण के अनुसार।
कौन से PHP संस्करण प्रभावित हैं?
PHP संस्करण 7.4 से 8.5 अक्टूबर 2026 की मरम्मत से पहले प्रभावित हैं; तय किए गए संस्करण 8.5.12, 8.4.27, 8.3.36 और 8.2.35 हैं, PHP के आधिकारिक आर्काइव पृष्ठ और watchTowr के अनुसार।
क्या PHP2Shell के कारण मेरा व्यक्तिगत डेटा जोखिम में है?
आपका डेटा जोखिम में हो सकता है यदि कोई सेवा जो आप उपयोग करते हैं एक तय न किए गए PHP सर्वर को चलाती है; Sansec ने रिपोर्ट किया कि कमजोरियों में से एक सर्वर की मेमोरी में बैठे पासवर्ड, API कुंजी और एन्क्रिप्शन कुंजी को उजागर कर सकती है, लेकिन व्यक्तिगत उपयोगकर्ता इसे स्वयं ठीक नहीं कर सकते — केवल साइट ऑपरेटर पैच द्वारा कर सकते हैं।
सरकारों ने वेबसाइटों को ऑफलाइन क्यों ले लिया?
नीदरलैंड, फिनलैंड, डेनमार्क, फ्रांस, जर्मनी और बेल्जियम सहित कई सरकारों ने सावधानी के रूप में सार्वजनिक साइटों को ऑफलाइन ले लिया क्योंकि तकनीकी विवरण PHP के आधिकारिक पैच से पहले लीक हो गए, सुरक्षा ब्लॉग Safeguard की रिपोर्ट के अनुसार।
क्या मेरे ब्राउज़र या एंटीवायरस को अपडेट करना PHP2Shell से सुरक्षा प्रदान करता है?
नहीं — PHP2Shell एक सर्वर-साइड कमजोरी है जो वेबसाइटों द्वारा उपयोग की जाने वाली PHP भाषा में है, इसलिए सुरक्षा साइट ऑपरेटर के अपनी PHP इंस्टॉलेशन को अपडेट करने पर निर्भर करती है, न कि उपयोगकर्ता के अपने डिवाइस पर परिवर्तन पर।

स्रोत

  1. PHP.net — Archive 2026 (security release details, CVE-2026-109618 & CVE-2026-109619)
  2. Help Net Security — PHP2Shell: Critical PHP vulnerabilities patched, update now!
  3. watchTowr — PHP2Shell FAQ: CVE-2026-109618 & CVE-2026-109619 Fixes
  4. Sansec — PHP2Shell: PHP RCE (CVE-2026-109618, CVE-2026-109619)
  5. Safeguard — PHP2Shell: Why Governments Took Websites Offline on 21 October
  6. runZero — Critical RCE vulnerability in PHP: Find impacted assets
  7. W3Techs — Usage statistics of PHP for websites

यह लेख कृत्रिम बुद्धिमत्ता से तैयार किया गया और प्रकाशन से पहले स्वचालित स्रोत-जाँच से गुज़रा। कोई गलती दिखे तो सुधार का अनुरोध करें। सुधार या उत्तर का अनुरोध करें · हम कैसे काम करते हैं

संबंधित लेख