सुरक्षा · 4 नवम्बर 2026
PHP में गंभीर सुरक्षा खामियां पाई गईं, जिससे सर्वर पर अनधिकृत प्रोग्राम चलाने का जोखिम है
प्रोग्रामिंग भाषा PHP में गंभीर सुरक्षा खामियों का पता चला है, जिन्हें PHP2Shell के नाम से जाना जाता है। इन खामियों के कारण, यदि कुछ शर्तें पूरी होती हैं, तो बिना लॉगिन किए कोई भी बाहरी व्यक्ति सर्वर पर प्रोग्राम चला सकता है। इस खतरे के कारण, सुरक्षा की पुष्टि करने के लिए कुछ सेवाओं को अस्थायी रूप से बंद कर दिया गया था।
PHP2Shell वास्तव में दो खामियों, CVE-2026-109618 और CVE-2026-109619 का एक समूह है। ये खामियां किसी विशिष्ट वेबसाइट या प्लगइन में नहीं, बल्कि PHP के मुख्य आधार में हैं, जिससे प्रभावित होने वाला दायरा बहुत व्यापक है। PHP विकास टीम ने इन खामियों की गंभीरता को CVSS v4.0 पैमाने पर 9.2 के स्कोर के साथ आपातकालीन श्रेणी में रखा है।
PHP विकास टीम ने 21 अक्टूबर को इसके समाधान के लिए संशोधित संस्करण 8.5.12, 8.4.27, 8.3.36 और 8.2.35 जारी किए। अमेरिका के CISA ने संगठनों से तुरंत इन सुधारों को लागू करने का आग्रह किया है। इसी तरह, जापान के IPA और JPCERT/CC ने भी इस संबंध में चेतावनी जारी की है।
इन खामियों का प्रभाव गंभीर है क्योंकि हमलावर लॉगिन प्रक्रिया से पहले ही सिस्टम तक पहुँच सकते हैं। PHP विकास टीम के अनुसार, CVE-2026-109618 के मामले में Apache के mod_php के माध्यम से एप्लिकेशन कोड शुरू होने से पहले ही पहुँच का रास्ता मिल गया है। वहीं, PHP-FPM में एप्लिकेशन कोड के माध्यम से रिमोट कोड निष्पादन की पुष्टि हुई है। इसके अलावा, शोधकर्ताओं ने बताया है कि प्रोग्राम चलाने के बिना भी, मेमोरी से पासवर्ड, प्रमाणीकरण टोकन और API कुंजी जैसी संवेदनशील जानकारी चोरी हो सकती है।
CISA ने 23 अक्टूबर तक वास्तविक वातावरण में किसी सफल हमले की पुष्टि नहीं की थी, लेकिन 26 अक्टूबर को इन दोनों खामियों को Known Exploited Vulnerabilities सूची में शामिल कर लिया। यह सूची दर्शाती है कि वास्तविक वातावरण में हमले के प्रयास या सफलता के विश्वसनीय प्रमाण मौजूद हैं। अमेरिकी संघीय एजेंसियों के लिए 29 अक्टूबर तक सुधार लागू करने की समय सीमा तय की गई थी।
जापान में, कई सेवाओं ने एहतियात के तौर पर अपने कामकाज रोके। इनमें क्षेत्रीय बैंकों की वेबसाइट और ऐप, नगर पालिकाओं की दस्तावेज़ खोज प्रणाली, और कुछ होस्टिंग प्रदाताओं की सेवाएँ शामिल थीं। इन सभी मामलों में यह स्पष्ट किया गया कि यह कदम किसी हमले के कारण नहीं, बल्कि बचाव के लिए उठाए गए थे।