बुधवार को, एक दर्जनों वर्षों पुरानी ओपन सोर्स नेटवर्क तकनीक PHP, दो विभेदों के कारण जिन्हें शोधकर्ताओं ने कई वर्षों तक सोए हुए रहने के बाद हाल ही में दुरुपयोग करने का तरीका खोज लिया, के कारण इंटरनेट को लगभग अक्षम कर दिया।
इन दो दुर्भावनापूर्ण बग्स को PHP2Shell कहा जाता है, और इनके आधिकारिक नंबर CVE-2026-109618 और CVE-2026-109619 हैं। सरल शब्दों में, ये दुर्भावनापूर्ण बग्स किसी भी ऐसे व्यक्ति को अनधिकृत पहुँच प्रदान करते हैं जो उनका दुरुपयोग करना जानता हो, जिससे वह PHP चला रहे ऑनलाइन सिस्टम, जैसे कि वेबसाइट या इंटरनेट-उन्मुख सर्वर, में बिना पासवर्ड के प्रवेश कर सकता है और उनमें मौजूद डेटा को एक्सेस या संशोधित कर सकता है।
इस घटना की गंभीरता को देखते हुए, यह काफी बड़ी थी, जिसने दुनिया भर के करोड़ों लोगों को दुष्ट हैकर्स के दुरुपयोग से पहले सिस्टम को पैच करने के लिए जल्दी करने पर मजबूर कर दिया।
PHP Foundation ने बुधवार को PHP नेटवर्क सॉफ्टवेयर के लिए एक अपडेट पैच जारी किया, जिसे स्थापित करने से वेब-संबंधित सर्वर्स पर हमलों को रोका जा सकता है। पहले ही, इस संस्थान ने PHP पर निर्भर करने वाली कुछ सबसे बड़ी इंटरनेट कंपनियों और वेब होस्टिंग प्रदाताओं को इस अपडेट की पहले से सूचना दे दी थी।
कई सप्ताहों के पीछे के संवाद और उद्योग में सावधानी से समन्वय के कारण, विश्व भर में विशाल इंटरनेट दुरुपयोग को अब तक रोका गया है। बुधवार से, विभिन्न सरकारें नागरिकों और वेबसाइट रखने वाले उद्यमों को अपने जोखिम को कम करने के लिए कार्रवाई करने के लिए प्रेरित करने लगी हैं। बैंक, खुदरा व्यापारी, गेमिंग वेबसाइट्स, ऑनलाइन स्टोर, अस्पताल और कुछ सरकारी संस्थानों ने हमलों से बचने के लिए सर्वर्स को बंद कर दिया है।
लेकिन सुरक्षा शोधकर्ताओं ने चेतावनी दी है कि यह मामला अभी समाप्त नहीं हुआ है, और विश्वभर में अभी भी कई सिस्टम अपडेट नहीं किए गए हैं और हमलों और डेटा चोरी के लिए अभी भी सुलभ हैं।
यह भी संभवतः अंतिम बड़ी इंटरनेट सॉफ्टवेयर संकट नहीं होगा। कुछ लोगों का मानना है कि कृत्रिम बुद्धिमत्ता के आगमन से अभी तक पहचाने न जा चुके, खोजे जाने का इंतजार कर रहे और दुरुपयोग के लिए तैयार अधिक वल्नरेबिलिटीज़ जल्दी ही पाए जाएंगे।
What happened?
कैलिफ के सुरक्षा शोधकर्ताओं ने PHP में दो विफलताएँ खोजीं। PHP एक प्रोग्रामिंग भाषा है जिसका वैश्विक स्तर पर वेबसाइटों और वेब एप्लिकेशन बनाने के लिए उपयोग किया जाता है, जो इंटरनेट के साथ-साथ कंपनी के नेटवर्क में स्थानीय रूप से होस्ट किए गए सिस्टम, जैसे इन्ट्रानेट और आंतरिक वेबसाइट्स के लिए भी उपयोग की जाती है।
ये दोनों दुर्बलताएँ सबसे पहले 2024 में खोजी गई थीं, लेकिन उस समय उन्हें दुरुपयोग के योग्य नहीं माना गया था, इसलिए उनकी मरम्मत नहीं की गई थी। हाल ही में सुरक्षा शोधकर्ताओं ने उनका दुरुपयोग करने का तरीका खोज लिया है, और इसलिए सॉफ्टवेयर विकासकर्ताओं को जल्द से जल्द उन्हें ठीक करने की सलाह दी गई है।
Calif ने PHP Foundation को सूचित किया, जिसने तुरंत विफलता को ठीक करना शुरू कर दिया और उसकी घोषणा का समन्वय किया। फाउंडेशन ने विशिष्ट समय सीमा से पहले गोपनीयता के अंतर्गत सूचना और पैच प्रदान करके बड़ी कंपनियों को ठीक करने के लिए पहले से अपडेट करने का मौका दिया।
Why are these vulnerabilities so severe?
PHP2Shell का गंभीर होने का कारण यह है कि इसे इंटरनेट के माध्यम से रिमोटली दुरुपयोग किया जा सकता है, और पीड़ित को लिंक पर क्लिक करने या फाइल खोलने की आवश्यकता नहीं होती। इसे रिमोट कोड एक्सीक्यूशन कहा जाता है, जो सबसे विनाशकारी वल्नरेबिलिटी प्रकारों में से एक है, क्योंकि ये दुनिया भर के हैकर्स को प्रभावित और अपडेट नहीं किए गए सिस्टम पर लगभग पूर्ण नियंत्रण प्रदान कर सकते हैं।
इससे भी बुरी बात यह है कि ये विशिष्ट PHP दुर्बलताएँ हमलावरों को किसी पासवर्ड या अन्य प्रमाणीकरण जानकारी के बिना इंटरनेट के माध्यम से किसी भी अपडेट नहीं किए गए सिस्टम में प्रवेश करने की अनुमति देती हैं, जिसे अनाधिकृत पहुँच कहा जाता है।
यह दुष्ट हैकर्स को कंप्यूटर पर मैलवेयर इंस्टॉल करने की अनुमति देगा, जैसे कि डेटा चोरी करना, या केवल भविष्य में वापस आने के लिए एक लंबे समय तक का बेस के रूप में बने रहना।
क्यों 70% वेबपेज प्रभावित हो रहे हैं?
PHP केवल एक ऐसी पुरानी तकनीक है जो अभी भी सही तरीके से काम कर रही है, जिसने इंटरनेट के कई चक्रों और पीढ़ियों को देखा है और आज यह लगभग इंटरनेट के अधिकांश कार्यों को संभालने वाले सीलिंग की तरह है। अक्सर, इन उपकरणों को ओपन सोर्स मेंटेनर्स द्वारा विकसित किया जाता है, जो इस कार्य के लिए भुगतान नहीं प्राप्त करते हैं, इसलिए तीसरे पक्ष की सुरक्षा समीक्षा करवाने की क्षमता नहीं रखते—लेकिन व्यवसाय अभी भी इन प्रोजेक्ट्स पर भरोसा करते हैं, जबकि उन्हें वित्तीय समर्थन प्रदान नहीं करते।
Were these vulnerabilities discovered by artificial intelligence?
Calif को इस साल शुरू में PHP कोड की सुरक्षा ऑडिट के दौरान इन दुर्बलताओं की खोज के लिए सम्मानित किया गया। Calif ने OpenAI और क्लाउड सुरक्षा विशेषज्ञ Wiz द्वारा शुरू किए गए "Hack the Planet" कार्यक्रम में भाग लिया, जिसने बाद में Calif द्वारा बनाए गए प्रूफ-ऑफ-कॉन्सेप्ट एक्सप्लॉइट को सत्यापित किया।
Calif के विवरण लेख में (जिसमें कार्टून भी शामिल हैं—बहुत अच्छा, देखने लायक), शोधकर्ताओं ने स्पष्ट किया कि इस दुर्बलता का लाभ उठाने में कृत्रिम बुद्धिमत्ता का उपयोग किया गया, लेकिन अधिकांश कार्य अभी भी शोधकर्ताओं के पहले से मौजूद ज्ञान और PHP कोडबेस तथा दुर्बलता दोहराने के इतिहास की परिचितता पर निर्भर करता है।
कैलिफ ने लिखा: "कोई भी मॉडल केवल सरल प्रॉम्प्ट के आधार पर अभी तक 'सभी वल्वर्स' को सीधे खोद नहीं सकता।"
इन विफलताओं का उपयोग उनके खुलासे से पहले ही क्यों किया गया?
हालांकि सभी पक्षों ने वेबनेड के विवरण को बुधवार तक गोपनीय रखने के लिए प्रयास किए, लेकिन ऐसा लगता है कि पैच जारी होने से पहले PHP2Shell के कुछ दुरुपयोग हो चुके हैं।
चूंकि इसका विशाल आकार और अत्यधिक दृश्यता है, अमेज़न के पास ऑनलाइन खतरों के बारे में विशाल जानकारी है। कंपनी एक ब्लॉग पोस्ट में बताती है कि उसने PHP पैच जारी होने से लगभग एक सप्ताह पहले PHP2Shell के दुरुपयोग के संकेतों का पता लगा लिया, जिससे यह सूचित होता है कि कहीं न कहीं किसी ने दरारों की विस्तृत जानकारी सार्वजनिक होने से पहले ही उनका दुरुपयोग करना सीख लिया था। अमेज़न के अनुसार, हैकर्स को ये दरारें कैसे पता चलीं, यह अभी अज्ञात है, लेकिन रक्षाकर्मियों को 17 अक्टूबर से दुरुपयोग के सबूतों की तलाश करनी चाहिए।
घटना के बारे में कई विवरण हैं। जैसे ही दरार को ठीक कर दिया जाता है, वैसे ही पैच के विवरण स्पष्ट हो सकते हैं, खासकर PHP जैसे ओपन सोर्स कोड में, जहां कोई भी इसे सार्वजनिक रूप से देख सकता है। इन दरारों का दुरुपयोग करना आसान नहीं हो सकता, लेकिन दरार कहाँ है और इसे कैसे ठीक किया गया, यह जानने से दुष्ट हैकर्स को लक्ष्य चुनने और दुरुपयोग कोड का विकास करने में मदद मिल सकती है।
यह भी संभव है कि प्रतिबंध के दौरान कहीं रिसाव हुआ हो या संचार टूट गया हो। ओपन सोर्स समुदाय बहुत बड़ा है, और इस तरह से जानकारी को नियंत्रित करना सभी पक्षों की ईमानदारी पर निर्भर करता है।
इसके अलावा, हैकर्स ने इन दुर्बलताओं को पहले से ही स्वतंत्र रूप से खोज लिया हो सकता है, या जासूसी गतिविधियों के माध्यम से उनके बारे में जान लिया हो सकता है।
शोधकर्ताओं का कहना है कि इन दुर्बलताओं को वास्तविक रूप से उपयोग के लिए तैयार करने के लिए बहुत सारा काम करना पड़ता है, दुर्बलता को हथियार बनाना हमेशा एक चुनौती रही है—लेकिन असंभव नहीं—और इसीलिए हम अब तक व्यापक दुरुपयोग के मामले नहीं देख पाए हैं।
इंटरनेट में व्यापक बंदी हुई है, लेकिन यह वापसी पर है। क्या हमने सबसे खराब स्थिति से बच लिया है?
अभी निष्कर्ष निकालना जल्दबाजी होगी, लेकिन अभी तक व्यापक दुरुपयोग के कोई संकेत नहीं मिले हैं, जो कम से कम एक प्रेरक संकेत है—हालांकि हम अभी खतरे के क्षेत्र से पूरी तरह बाहर नहीं निकले हैं।
साइबर सुरक्षा और मॉनिटरिंग कंपनी Cloudflare के सीईओ मैथ्यू प्रिंस ने इस हफ्ते कहा कि कंपनी ने देखा कि दरार के खुलासे के बाद इन दरारों का दुरुपयोग करने के प्रयासों की संख्या घातीय रूप से बढ़ गई है। इससे यह भी स्पष्ट होता है कि दुर्भावनापूर्ण अभ्यासकर्ता इन दोषों का लाभ उठाने के लिए कितनी तेजी से प्रयास कर रहे हैं।
PHP केवल वेब सर्वर के लिए ही उपयोग नहीं किया जाता, बल्कि डेवलपमेंट टूल्स, कमांड लाइन और टर्मिनल पैकेज, और राउटर, स्टोरेज डिवाइस और एंटरप्राइज सुरक्षा डिवाइस (जैसे फायरवॉल और VPN) द्वारा उपयोग किए जाने वाले अन्य सॉफ्टवेयर कंपोनेंट्स के लिए भी उपयोग किया जाता है।
यह अपेक्षा की जा सकती है कि PHP2Shell के दुरुपयोग भविष्य में भी देखे जाएंगे, क्योंकि छोटे आईटी टीमें और स्वतंत्र डेवलपर्स संभवतः अपडेट करने में धीमे होंगे। इसी बीच, कई कंपनियाँ जो PHP को अपने उत्पादों और सॉफ्टवेयर में एकीकृत करती हैं, को भी अपडेट करना होगा, जिससे एक संक्रमण अवधि होगी।
जैसे-जैसे अधिक उपकरण और प्रणालियाँ अपडेट होती जाएँगी, हमले का क्षेत्र धीरे-धीरे कम होता जाएगा। लेकिन इन दुर्बलताओं का श्रृंखलाबद्ध प्रभाव अभी भी कई वर्षों तक चल सकता है, खासकर उन पुरानी प्रणालियों में जिन्हें अपडेट नहीं किया जा सकता।
Will this happen again?
मेरे सुरक्षा जर्नलिस्ट के रूप में इन वर्षों में, यह एक दुर्लभ दिन था जिसने इंटरनेट को रोक दिया। 2016 में, विशाल ज़ॉम्बी नेटवर्क ने इंटरनेट रजिस्ट्रार Dyn पर स्पैम ट्रैफ़िक हमला किया, जिससे कई प्रमुख वेबसाइटों की सेवाएँ लगभग बंद हो गईं। 2017 में, उत्तर कोरिया ने संयुक्त राज्य अमेरिका की सरकारी हैकर टूल्स का उपयोग करके ब्रिटिश स्वास्थ्य प्रणाली को संक्रमित किया और रैनसमवेयर फैलाया। 2024 में, CrowdStrike के एक खराब अपडेट के कारण वैश्विक स्तर पर व्यापक बंदी हुई, जिससे दुनिया भर के अधिकांश Windows कंप्यूटर एक साथ क्रैश हो गए।
PHP2Shell के माध्यम से, इंटरनेट एक ऐसे दिन से बच गया जो अन्यथा बहुत दर्दनाक और विनाशकारी हो सकता था। लेकिन यह भविष्य में नेटवर्क को प्रभावित करने वाली अंतिम घटना नहीं होगी, और यह पुरानी तकनीक की कमजोरियों का उपयोग करने वाली एक श्रृंखला की शुरुआत हो सकती है। इसका मुख्य कारण यह है कि इन पुराने, लेकिन सर्वव्यापी सॉफ़्टवेयर में मूल रूप से दोष हैं, जिन्हें अभी तक खोजा नहीं गया है, और साथ ही, AI उपकरणों के कारण दोषों की खोज आसान हो गई है।
PHP और दशकों पहले की अन्य वेब प्रोग्रामिंग भाषाएँ और तकनीकें “मेमोरी असुरक्षित” सॉफ़्टवेयर की श्रेणी में आती हैं, जिसका अर्थ है कि वे संवेदनशील डेटा के लीक या मेमोरी स्टोरेज से ओवरफ्लो होने के लिए एक पूरी श्रेणी के दुर्बलताओं का शिकार हो सकती हैं। अमेरिकी राष्ट्रीय सुरक्षा एजेंसी के अनुसार, लगभग 75% सक्रिय रूप से दुरुपयोग किए जा रहे दुर्बलताएँ मेमोरी-संबंधित दोषों का दुरुपयोग करती हैं, जिसका अर्थ है कि हैकर्स अक्सर इस प्रकार की दुर्बलताओं का उपयोग करते हैं।
इसने उद्योग को Python, Rust और Swift जैसी मेमोरी सुरक्षित भाषाओं की ओर धकेला, जो मेमोरी दोषों के दुरुपयोग के लिए इतनी संवेदनशील नहीं हैं। इसलिए, ये भाषाएँ अभी भी अपने पूर्ववर्तियों को प्रभावित कर रहे बड़ी संख्या में दोषों से बहुत अधिक सुरक्षित हैं।
लेकिन इससे अभी भी इंटरनेट का काफी बड़ा हिस्सा बच जाता है, जो PHP, मीडिया और वीडियो कोडेक, संपीड़न पुस्तकालय, और अन्य कई दशक पुराने सॉफ्टवेयर पर चलता है—और जब ये तकनीकें समस्याएँ पैदा करती हैं, तो पूरे नेटवर्क पर भारी प्रभाव पड़ता है।