---
title: PHP ने रिमोट कोड निष्पादन की अनुमति देने वाली दो गंभीर सुरक्षा खामियों को सुधारा
url: https://www.dataloco.com/hi/php-na-ramata-kada-nashhapathana-ka-anamata-thana-val-tha-gabhara-sarakashha-khamaya-ka-sathhara
published: 2026-10-24T04:21:41+00:00
language: hi
section: सुरक्षा
source: https://gihyo.jp/article/2026/10/php-critical-security-release?utm_source=feed
organizations: PHP, PHP Foundation, Wiz, Calif, Cloudflare, OpenAI
publisher: Dataloco
---

# PHP ने रिमोट कोड निष्पादन की अनुमति देने वाली दो गंभीर सुरक्षा खामियों को सुधारा

PHP विकास टीम ने 21 अक्टूबर को सुरक्षा अपडेट जारी किए हैं जिनमें दो गंभीर कमजोरियों को ठीक किया गया है। ये खामियां हमलावरों को बिना किसी प्रमाणीकरण के दूरस्थ रूप से कोड निष्पादित करने की अनुमति दे सकती हैं। टीम ने सभी उपयोगकर्ताओं को तुरंत अपडेट करने की जोरदार सलाह दी है।

इन दोनों कमजोरियों को CVSS v4.0 के तहत 9.2 का स्कोर दिया गया है। प्रभावित संस्करणों के लिए PHP 8.5.12, 8.4.27, 8.3.36 और 8.2.35 जारी किए गए हैं। इसके अतिरिक्त, गंभीरता को देखते हुए PHP 7.4, 8.0 और 8.1 के लिए भी स्रोत कोड के रूप में न्यूनतम सुधार प्रदान किए गए हैं, क्योंकि इन संस्करणों का आधिकारिक समर्थन समाप्त हो चुका है।

जोखिम में वे सभी PHP वातावरण शामिल हैं जो वेब अनुरोधों को संसाधित करते हैं, जिनमें PHP-FPM, Apache का mod_php, php-cgi, FrankenPHP और LiteSpeed शामिल हैं। mod_php में जोखिम सबसे अधिक है, जहां एप्लिकेशन कोड चलने से पहले ही बिना प्रमाणीकरण के अनुरोध के माध्यम से हमला सफल हो सकता है। यह हमला वेब अनुरोध संसाधित करने वाली प्रक्रिया के विशेषाधिकारों के साथ कोड निष्पादित करता है।

CVE-2026-109618 मेमोरी की कमी के दौरान प्रसंस्करण से संबंधित है। यदि आंतरिक डेटा को प्रारंभ करते समय मेमोरी आवंटन विफल हो जाता है, तो अधूरा डेटा रह जाता है, जिससे बाद के अनुरोध समापन प्रसंस्करण के दौरान रिमोट कोड निष्पादन हो सकता है। CVE-2026-109619 एक ऐसी खामी है जहां पिछले अनुरोध की आंतरिक स्थिति बनी रहती है। यदि घातक त्रुटि के कारण आंतरिक जानकारी नहीं हटाई जाती है, तो अगले अनुरोध के दौरान मुक्त की गई मेमोरी तक पहुंच संभव हो जाती है, जिससे कोड निष्पादन हो सकता है।

PHP Foundation ने स्वीकार किया है कि संरचनात्मक समस्याओं, निर्णय लेने की प्रक्रिया में कमी और कुशल इंजीनियरों की कमी के कारण इन सुधारों में देरी हुई। यह समस्या 2024 के एक बाहरी सुरक्षा ऑडिट में संकेतित हुई थी, लेकिन विशिष्ट हमले के रास्ते न मिलने के कारण इसे प्राथमिकता नहीं दी गई। अगस्त 2026 में Calif और OpenAI द्वारा रिपोर्ट किए जाने के बाद इसे सर्वोच्च प्राथमिकता दी गई।

तत्काल अपडेट न कर पाने वालों के लिए कुछ सीमित राहत उपाय दिए गए हैं। मेमोरी संबंधी खामी के लिए memory_limit=-1 का सुझाव दिया गया है, जबकि आंतरिक स्थिति वाली खामी के लिए session.upload_progress.enabled=0 और PHP 8.5 में fatal_error_backtraces=0 को अक्षम करने की सलाह दी गई है। हालांकि, पूर्ण सुरक्षा के लिए केवल अपडेट ही एकमात्र समाधान है।

## This story in other languages

- [Svenska](https://www.dataloco.com/sv/php-slapper-kritiska-sakerhetsuppdateringar-for-att-stoppa-fjarrkorning-av-kod)
- [English](https://www.dataloco.com/en/php-releases-urgent-patches-for-two-critical-remote-code-execution-flaws)
- [ไทย](https://www.dataloco.com/th/php)