अमेरिकी साइबर सुरक्षा एजेंसी CISA ने पुष्टि की है कि हैकर्स व्यापक रूप से उपयोग किए जाने वाले PHP वेब सॉफ्टवेयर में दो गंभीर सुरक्षा दुर्बलताओं का लाभ उठा रहे हैं, और अमेरिकी सरकार के भीतर नागरिक संघीय एजेंसियों को अगले तीन दिनों में प्रणालियों को ठीक करने का आदेश दिया गया है।
इस आपातकालीन पैच चेतावनी के जारी होने से एक सप्ताह से भी कम समय पहले, लंबे समय से चल रहे PHP वेब प्रोग्रामिंग भाषा के रखरखावकर्ता ने इन दोनों दुर्बलताओं के लिए ठीक करने का अपडेट जारी किया था। ये दुर्बलताएँ हैकर्स को बिना पासवर्ड के इंटरनेट के माध्यम से दुर्बल प्रणालियों में दूरस्थ प्रवेश करने की अनुमति देती हैं। रिपोर्ट के अनुसार, PHP सॉफ़्टवेयर का उपयोग लगभग 70% वेब-आधारित सर्वर्स में किया जाता है, जिससे बड़ी संख्या में वेबसाइटें और ऐप्स खतरे में हैं। इन दुर्बलताओं की गंभीरता के कारण कुछ सरकारों और बड़ी कंपनियों ने ठीक करने के लिए अपनी वेबसाइटें ऑफ़लाइन कर दी हैं।
हालांकि इन दुर्भावनापूर्ण बिंदुओं को "गंभीर" के रूप में आंका गया है, जिसका अर्थ है कि इनका दुरुपयोग करने से गंभीर क्षति हो सकती है, सुरक्षा शोधकर्ताओं का कहना है कि प्रारंभिक रूप से उपयोगयोग्य हमले विकसित करना आसान नहीं है—लेकिन असंभव नहीं है। अब वास्तविक हमलों की पुष्टि होने से विभिन्न संगठनों पर अधिक दबाव पड़ा है कि वे दुर्भावनापूर्ण प्रवेश, सेवा विघटन और डेटा लीक को रोकने के लिए अपने प्रणालियों को जल्द से जल्द पैच करें।
CISA ने सोमवार के बयान में इन दुर्बलताओं का उपयोग करने वाले किसी के बारे में कोई विवरण नहीं दिया, लेकिन उनके बयान के ठीक पहले, सुरक्षा शोधकर्ताओं ने कहा था कि उन्होंने PHP दुर्बलता के उपयोग के सबूत पाए हैं।
इन्हें PHP2Shell कहा जाता है, ये सॉफ्टवेयर में वर्षों तक अनदेखी रही दोषों का दुरुपयोग करते हैं। इन्हें दो साल पहले खोजा गया था, लेकिन उस समय इस सॉफ्टवेयर के रखरखाव के लिए जिम्मेदार गैर-लाभकारी संस्थान ने कहा कि हैकर्स के पास इन दोषों का व्यावहारिक रूप से दुरुपयोग करने का कोई तरीका नहीं है, इसलिए इन्हें अब तक ठीक नहीं किया गया था। इस साल की शुरुआत में, सुरक्षा अनुसंधान कंपनी Calif के शोधकर्ताओं ने एक AI मॉडल की मदद से इन दोनों लंबे समय से छिपे हुए दोषों का दुरुपयोग करने का तरीका खोजा।
PHP में ये दो वैलिडिटी दोष, अभी तक अनाविष्कृत या कई वर्षों से प्राथमिकता निर्धारित नहीं किए गए दोषों का एक छोटा हिस्सा हैं; जैसे-जैसे AI मॉडल विभिन्न दोषों को जोड़कर दोषों की खोज और दुरुपयोग करने की क्षमता में सुधार कर रहे हैं, ये दोष अब जोखिम पैदा कर रहे हैं।
PHP इंटरनेट और आधुनिक तकनीक के काम करने के लिए आधारभूत पुरानी वेब तकनीकों में से एक है, लेकिन वर्षों तक इसके लिए संसाधन और वित्तीय समर्थन कम रहा है, जिससे PHP जैसे ओपन-सोर्स प्रोजेक्ट्स के लिए सुरक्षा समीक्षा कराना मुश्किल हो गया, जिससे वल्नरेबिलिटीज़ का पता पहले ही चल सकता था।