PHP2Shell खामी से सर्वर सुरक्षा पर वैश्विक चिंता
PHP2Shell नाम से पहचानी गई दो गंभीर सुरक्षा खामियों ने दुनिया भर में वेबसाइट संचालकों और साइबर सुरक्षा एजेंसियों को सतर्क कर दिया है। ये खामियां PHP के 5.4 से 8.5 तक के संस्करणों को प्रभावित करती हैं और इनके जरिए बिना लॉगिन किए दूर से सर्वर पर कोड चलाया जा सकता है। इनका सार्वजनिक खुलासा 20 अक्टूबर 2026 को हुआ।
बिना अनुमति सर्वर तक पहुंच का खतरा
PHP एक सर्वर-पक्षीय प्रोग्रामिंग भाषा है, जिसका इस्तेमाल वेब अनुरोधों को संसाधित करने और सर्वर पर कार्य चलाने के लिए किया जाता है। PHP2Shell के तहत हमलावर को प्रभावित सर्वर पर हमला करने के लिए उपयोगकर्ता नाम या पासवर्ड की जरूरत नहीं होती। सफल हमले से संवेदनशील डेटा उजागर हो सकता है या हमलावर को सिस्टम के कुछ हिस्सों तक पहुंच मिल सकती है।
इन दोनों खामियों के पहचानकर्ता CVE-2026-109618 और CVE-2026-109619 हैं। CVSS संस्करण 4.0 के पैमाने पर इन्हें 10 में से 9.2 अंक मिले हैं, जो इनके अत्यधिक गंभीर जोखिम को दर्शाता है। हालांकि, किसी खामी का मौजूद होना अपने आप में यह साबित नहीं करता कि हर प्रभावित सर्वर पर सफल हमला हुआ है।
समय से पहले जारी किए गए सुरक्षा अपडेट
PHP Foundation ने तय कार्यक्रम से एक दिन पहले, 21 अक्टूबर को सुरक्षा सुधार जारी किए। अपडेटेड संस्करण PHP 8.2.35, 8.3.36, 8.4.27 और 8.5.12 हैं। यह कदम खामी की जानकारी लीक होने और इसके दुरुपयोग का तरीका दिखाने वाला एक वीडियो गलती से सार्वजनिक होने के बाद उठाया गया।
अमेरिका की राष्ट्रीय सुरक्षा एजेंसी, साइबर सुरक्षा एवं अवसंरचना सुरक्षा एजेंसी और यूरोपीय संघ की कंप्यूटर आपात प्रतिक्रिया टीम ने संस्थाओं को अपडेट लगाने या प्रभावित सिस्टम को नेटवर्क से हटाने की सलाह दी। सुरक्षा शोधकर्ताओं ने इन खामियों की पहचान अगस्त 2026 के मध्य में स्वतंत्र रूप से की थी। अमेजन थ्रेट इंटेलिजेंस के अनुसार, उसके MadPot निगरानी नेटवर्क ने 17 अक्टूबर को ही एक शोषण प्रयास दर्ज किया था।
वेबसाइटों पर एहतियाती कदम और निगरानी
21 और 22 अक्टूबर को जर्मनी, फ्रांस, बेल्जियम, नीदरलैंड, फिनलैंड और ब्रिटेन में सरकारी, स्कूल तथा अस्पतालों की कुछ वेबसाइटें एहतियात के तौर पर अस्थायी रूप से ऑफलाइन की गईं। जर्मनी, नीदरलैंड और जापान के अधिकारियों ने कहा कि उन्हें सफल सेंधमारी के प्रमाण नहीं मिले। क्लाउडफ्लेयर ने सार्वजनिक खुलासे से पहले के दस घंटों में हजारों और उसके बाद लाखों शोषण प्रयास दर्ज किए।
खबर से जुड़े जीके तथ्य
- PHP2Shell से जुड़ी खामियों के पहचानकर्ता CVE-2026-109618 और CVE-2026-109619 हैं।
- CVSS साइबर सुरक्षा खामियों की गंभीरता का आकलन करने वाला मानक है; यहां संस्करण 4.0 का उपयोग हुआ।
- PHP Foundation ने 21 अक्टूबर 2026 को PHP की चार संस्करण शाखाओं के लिए सुरक्षा अपडेट जारी किए।
- अमेजन के MadPot टेलीमेट्री नेटवर्क ने 17 अक्टूबर 2026 को एक शोषण प्रयास दर्ज किया।
अपडेट के बाद भी जांच जरूरी
PHP Foundation ने 2024 में सामने आई समान मूल वाली खामी को समय पर ठीक न कर पाने को सुरक्षा-टीम के फैसलों और सीमित संसाधनों से जुड़ी व्यवस्था की विफलता बताया। पैच लगाने से यह स्पष्ट नहीं होता कि उससे पहले सर्वर से छेड़छाड़ हुई थी या नहीं। इसलिए संस्थाओं को लॉग और सिस्टम गतिविधियों की जांच भी करनी चाहिए।
PHP2Shell का मामला दिखाता है कि सुरक्षा अपडेट के साथ-साथ पुराने सिस्टम की निगरानी और संभावित घुसपैठ की जांच भी जरूरी है।