PHP में गंभीर RCE कमजोरियों का पता चला, PHP2Shell के तहत हमले की कोशिशें

man wearing black sweater using smartphone — Jonas Leupe / Unsplash

एक व्यापक रूप से उपयोग की जाने वाली प्रोग्रामिंग भाषा PHP में ऐसी गंभीर कमजोरियां पाई गई हैं, जिनके माध्यम से बिना प्रमाणीकरण के दूरस्थ रूप से कोड निष्पादित किया जा सकता है। इसके परिणामस्वरूप हमलों का प्रयास पहले ही देखा जा चुका है। इस स्थिति के प्रति जागरूक रहने की आवश्यकता है क्योंकि इसका प्रूफ ऑफ कॉन्सेप्ट भी सार्वजनिक किया गया है।

PHP विकास टीम ने 21 अक्टूबर 2026 को एक अपडेट जारी किया, जिसमें दो कमजोरियों, CVE-2026-109618 और CVE-2026-109619, का समाधान किया गया। इन कमजोरियों को PHP2Shell के नाम से भी जाना जाता है और इनके प्रभाव को लेकर चिंताएं व्यक्त की जा रही हैं।

PHP विकास टीम ने PHP 8.5.12, 8.4.27, 8.3.36 और 8.2.35 का अद्यतन जारी किया, जिसमें कमजोरियों को ठीक किया गया है। हालांकि, मुख्य समाधान केवल अपडेट ही है, इसके साथ ही प्रभाव को कम करने के लिए कुछ उपाय भी साझा किए गए हैं।

किसी भी प्रकार के अनुप्रयोग को इस कमजोरी का खतरा हो सकता है, और यदि इसका दुरुपयोग किया जाता है, तो यह जानकारी की चोरी या किसी भी कोड के निष्पादन का कारण बन सकता है।

Wiz ने बताया कि WordPress, Drupal और Joomla जैसे प्लेटफार्मों पर प्रमाणीकरण की आवश्यकता के बिना कोड निष्पादित करने की क्षमता का प्रदर्शन किया गया है। यह भी बताया गया कि PHP 5.4 और उसके बाद के संस्करण प्रभावित हो सकते हैं।