PHP की सुरक्षा खामियां: दुनिया भर में वेबसाइटें क्यों ऑफलाइन करनी पड़ीं
अक्टूबर 2026 में PHP की दो गंभीर सुरक्षा खामियों से साइबर सुरक्षा के क्षेत्र में तत्काल कार्रवाई शुरू हो गई, जिसके चलते कई देशों में संगठनों को आपात अपडेट लागू करने पड़े और कुछ वेबसाइटें अस्थायी रूप से ऑफलाइन करनी पड़ीं। इन खामियों ने चिंता इसलिए बढ़ाई, क्योंकि PHP का इस्तेमाल वेबसाइटें, ऑनलाइन सेवाएं और कंटेंट मैनेजमेंट सिस्टम चलाने के लिए बड़े पैमाने पर होता है।
CVE-2026-109618 और CVE-2026-109619 के रूप में पहचानी गई इन खामियों के जरिये रिमोट हमलावर बिना लॉगिन किए कमजोर सर्वरों पर दुर्भावनापूर्ण कोड चला सकते थे। PHP डेवलपमेंट टीम ने 21 अक्टूबर को सुरक्षा अपडेट जारी किए, जबकि साइबर सुरक्षा एजेंसियों ने संगठनों को प्रभावित सिस्टम पहचानने और जल्द से जल्द फिक्स इंस्टॉल करने की सलाह दी।
PHP क्या है और यह क्यों अहम है?
PHP एक ओपन-सोर्स प्रोग्रामिंग भाषा है, जिसका इस्तेमाल मुख्य रूप से सर्वर-साइड वेब डेवलपमेंट के लिए होता है। इसकी मदद से वेबसाइटें यूजर के अनुरोध प्रोसेस करती हैं, डेटाबेस से संवाद करती हैं, अकाउंट की जानकारी संभालती हैं और डायनामिक वेब पेज बनाती हैं।
कई वेबसाइटें सीधे PHP पर या इसके ऊपर बने सॉफ्टवेयर पर निर्भर हैं। दुनिया के सबसे ज्यादा इस्तेमाल होने वाले कंटेंट मैनेजमेंट सिस्टमों में से एक वर्डप्रेस PHP का भरपूर इस्तेमाल करता है। इस भाषा का उपयोग कारोबार, सार्वजनिक संस्थान, ऑनलाइन प्रकाशक और ई-कॉमर्स प्लेटफॉर्म भी करते हैं।
PHP पर्दे के पीछे काम करता है, इसलिए वेबसाइट पर आने वालों को शायद पता न हो कि कोई सेवा इस पर निर्भर है या नहीं। कुछ एप्लिकेशन और थर्ड-पार्टी उत्पादों में PHP कंपोनेंट भी शामिल होते हैं, जिसका जिक्र इन्हें इस्तेमाल करने वाले संगठन के सामने साफ तौर पर नहीं होता।
इस व्यापक इस्तेमाल का मतलब था कि नई उजागर हुई खामियों पर वेबसाइट एडमिनिस्ट्रेटरों, होस्टिंग प्रदाताओं, सॉफ्टवेयर डेवलपरों और सरकारी साइबर सुरक्षा टीमों का ध्यान जरूरी था।
दो गंभीर खामियां क्या हैं?
दोनों खामियों को CVE-2026-109618 और CVE-2026-109619 पहचान संख्या दी गई। भारत की कंप्यूटर इमरजेंसी रिस्पांस टीम, जिसे CERT-In कहा जाता है, ने 21 अक्टूबर को गंभीर सुरक्षा एडवाइजरी जारी की, जिसमें चेतावनी दी गई कि इन खामियों से रिमोट हमलावर प्रभावित सिस्टमों पर मनमाना कोड चला सकते हैं।
एडवाइजरी के अनुसार, खामियां मेमोरी करप्शन और संसाधनों पर अनुचित नियंत्रण से जुड़ी हैं। हमलावर किसी कमजोर सर्वर को खास तरह से तैयार किया गया अनुरोध भेज सकता है और PHP के अनुरोध संभालने के तरीके का फायदा उठा सकता है।
सफल हमले के बाद हमलावर प्रभावित सिस्टम पर अनधिकृत निर्देश चला सकता है। सर्वर के कॉन्फ़िगरेशन और हमलावर को मिली अनुमतियों के आधार पर इससे डेटा चोरी, वेबसाइट बिगाड़ने, अनधिकृत पहुंच या सर्वर पर व्यापक सेंध की नौबत आ सकती है।
दोनों खामियों को 10 में से 9.2 का CVSS v4.0 गंभीरता स्कोर मिला, जो जोखिम के गंभीर स्तर का संकेत है।
ये खामियां खास तौर पर इसलिए चिंताजनक हैं, क्योंकि इनके इस्तेमाल के लिए ऑथेंटिकेशन की जरूरत नहीं पड़ सकती। व्यावहारिक रूप से इंटरनेट से जुड़ी कमजोर सेवा तब भी जोखिम में हो सकती है, जब हमलावर के पास वैध अकाउंट न हो।
हालांकि, किसी खामी के होने का यह मतलब नहीं कि PHP इस्तेमाल करने वाली हर वेबसाइट से सेंध लग चुकी है। असल जोखिम सॉफ्टवेयर वर्जन, सिस्टम कॉन्फ़िगरेशन, एक्सपोजर और संबंधित सुरक्षा अपडेट इंस्टॉल हुए हैं या नहीं, इस पर निर्भर करता है।
वेबसाइटें ऑफलाइन क्यों की गईं?
खुलासे के बाद कुछ संगठनों ने एहतियात के तौर पर वेबसाइटें या ऑनलाइन सेवाएं अस्थायी रूप से बंद कर दीं। इन फैसलों का मकसद एडमिनिस्ट्रेटरों के सुरक्षा फिक्स तैयार करने या लागू करने के दौरान हमलों का जोखिम घटाना था।
रॉयटर्स ने बताया कि प्रभावित सेवाओं में सार्वजनिक संस्थानों और बड़े संगठनों से जुड़ी वेबसाइटें और प्लेटफॉर्म शामिल थे। एहतियाती तौर पर की गई बंदी ने दिखाया कि व्यापक रूप से इस्तेमाल होने वाले सॉफ्टवेयर की कमजोरी अलग-अलग देशों और उद्योगों की सेवाओं को कैसे प्रभावित कर सकती है।
साइबर सुरक्षा एजेंसियों ने संगठनों को उपलब्ध फिक्स तुरंत इंस्टॉल करने की सलाह दी। जहां एडमिनिस्ट्रेटर किसी कमजोर सिस्टम को तुरंत सुरक्षित नहीं कर सकते थे, वहां एजेंसियों ने उसे सार्वजनिक नेटवर्क से अस्थायी रूप से अलग करने पर विचार करने की सिफारिश की।
किसी वेबसाइट को ऑफलाइन करना इस बात की पुष्टि नहीं है कि वह हैक हो चुकी है। कई मामलों में यह एक निवारक कदम होता है, जिसका मकसद सिस्टम को अपडेट और जांचे जाने तक जोखिम घटाना होता है।
PHP को अपडेट करना भी जटिल हो सकता है। कुछ संगठन कई सर्वर, एप्लिकेशन और पुराने सिस्टम चलाते हैं। अन्य अंतर्निहित सॉफ्टवेयर के प्रबंधन के लिए होस्टिंग प्रदाताओं या थर्ड-पार्टी वेंडरों पर निर्भर रहते हैं। इन कारकों से हर प्रभावित इंस्टॉलेशन की पहचान और मरम्मत में देरी हो सकती है।
खामियों का पता कैसे चला?
इस खोज ने इसलिए भी ध्यान खींचा कि सुरक्षा शोध में आर्टिफिशियल इंटेलिजेंस टूल्स ने योगदान दिया।
OpenAI ने कहा कि सुरक्षा शोध कंपनी कैलिफ ने अपनी पैच द प्लैनेट पहल के तहत GPT-5.6 Sol की मदद से एक खामी की पहचान की। सुरक्षा कंपनी विज ने दोनों खामियों की स्वतंत्र रूप से खोज की और उनकी सूचना दी। शोधकर्ताओं, सॉफ्टवेयर मेंटेनरों और सुरक्षा साझेदारों ने सार्वजनिक खुलासे से पहले मुद्दों की जांच और फिक्स तैयार करने के लिए तालमेल से काम किया।
यह मामला दिखाता है कि AI सुरक्षा शोधकर्ताओं को सॉफ्टवेयर का विश्लेषण करने और ऐसी कमजोरियां पहचानने में कैसे मदद कर सकता है, जो शायद अनदेखी रह जातीं। यह एक संभावित चिंता भी उजागर करता है, क्योंकि ऐसी ही क्षमताएं दुर्भावनापूर्ण तत्वों को खामियों की पड़ताल करने और हमले तेजी से विकसित करने में मदद कर सकती हैं।
इसलिए जिम्मेदार खुलासा जरूरी है। सुरक्षा शोधकर्ता आमतौर पर गंभीर खामियों की सूचना सॉफ्टवेयर मेंटेनरों को देते हैं, ताकि विस्तृत तकनीकी जानकारी व्यापक रूप से उपलब्ध होने से पहले फिक्स तैयार और वितरित किए जा सकें।
इस मामले में खामियों की जानकारी मूल रूप से तय खुलासा समय-सीमा से पहले ही फैलने लगी। नतीजतन PHP टीम ने 21 अक्टूबर को सुरक्षा अपडेट जारी किए।
किन PHP वर्जनों को अपडेट की जरूरत है?
CERT-In ने इन प्रभावित PHP रिलीज की पहचान की:
PHP 8.5 के 8.5.12 से पहले के वर्जन।
PHP 8.4 के 8.4.27 से पहले के वर्जन।
PHP 8.3 के 8.3.36 से पहले के वर्जन।
PHP 8.2 के 8.2.35 से पहले के वर्जन।
PHP डेवलपमेंट टीम ने दोनों खामियों को दूर करने के लिए संबंधित सुरक्षा अपडेट जारी किए। एडमिनिस्ट्रेटरों को अपने सिस्टम के लिए सही अपडेट पहचानने हेतु आधिकारिक PHP सुरक्षा घोषणा और अपने होस्टिंग प्रदाता के निर्देश देखने चाहिए।
पुराने या असमर्थित PHP वर्जन इस्तेमाल करने वाले संगठनों को यह नहीं मान लेना चाहिए कि वे सुरक्षित हैं। उन्हें जांचना चाहिए कि उनके डिप्लॉयमेंट के लिए सुरक्षा फिक्स उपलब्ध है या नहीं, और जरूरत पड़ने पर समर्थित वर्जन पर जाने की योजना बनानी चाहिए।
वेबसाइट मालिक और यूजर सुरक्षित कैसे रहें?
वेबसाइट एडमिनिस्ट्रेटरों को सबसे पहले PHP चलाने वाले सभी सिस्टम पहचानने चाहिए, जिनमें वेबसाइटें, आंतरिक एप्लिकेशन और थर्ड-पार्टी सॉफ्टवेयर शामिल हैं। इंटरनेट से जुड़े सिस्टमों को प्राथमिकता मिलनी चाहिए, क्योंकि वे संभावित हमलावरों के लिए सीधे सुलभ हैं।
इसके बाद एडमिनिस्ट्रेटरों को उपयुक्त सुरक्षा अपडेट इंस्टॉल करने चाहिए, यह पुष्टि करनी चाहिए कि सुधारे गए वर्जन चल रहे हैं, और संदिग्ध गतिविधि के लिए लॉग की निगरानी करनी चाहिए। अगर किसी सिस्टम को तुरंत पैच नहीं किया जा सकता, तो उन्हें पहुंच सीमित करने या उसे अस्थायी रूप से अलग करने पर आधिकारिक दिशानिर्देशों का पालन करना चाहिए।
कारोबारों को एक्सेस परमिशन की समीक्षा करनी चाहिए, क्रेडेंशियल सुरक्षित रखने चाहिए, सुरक्षित बैकअप बनाए रखने चाहिए और असामान्य गतिविधि की जांच करनी चाहिए। पैच इंस्टॉल करना जरूरी है, लेकिन संगठनों को यह भी आंकना चाहिए कि अपडेट लागू होने से पहले कोई कमजोर सिस्टम एक्सपोज्ड था या नहीं।
आम इंटरनेट यूजर को PHP से बनी हर वेबसाइट का इस्तेमाल बंद करने की जरूरत नहीं है। यूजर को अपने डिवाइस और ब्राउजर अपडेट रखने चाहिए, मजबूत और अलग-अलग पासवर्ड इस्तेमाल करने चाहिए, जहां उपलब्ध हो वहां मल्टीफैक्टर ऑथेंटिकेशन चालू करना चाहिए और संदिग्ध लिंक या निजी जानकारी के अनचाहे अनुरोधों से बचना चाहिए।
निष्कर्ष
PHP की खामियां दिखाती हैं कि व्यापक रूप से इस्तेमाल होने वाले सॉफ्टवेयर की एक कमजोरी दुनिया भर के संगठनों के लिए तत्काल सुरक्षा चुनौतियां कैसे खड़ी कर सकती है। हालांकि कुछ सेवाएं एहतियात के तौर पर अस्थायी रूप से ऑफलाइन की गईं, लेकिन इस घटना का यह मतलब नहीं कि PHP पर बनी हर वेबसाइट से सेंध लग चुकी है।
तात्कालिक प्राथमिकता आधिकारिक सुरक्षा अपडेट इंस्टॉल करना, प्रभावित सिस्टमों की पुष्टि करना और अनधिकृत गतिविधि के संकेतों पर नजर रखना है। यह घटना साइबर सुरक्षा शोध में AI की बढ़ती भूमिका और शोधकर्ताओं, सॉफ्टवेयर डेवलपरों, होस्टिंग प्रदाताओं और सरकारी एजेंसियों के बीच सहयोग के महत्व को भी रेखांकित करती है।
