साइबर सुरक्षा एजेंसियों ने 22 अक्टूबर को वेबसाइट संचालकों से PHP प्रणालियां सुरक्षित करने को कहा। इससे दो गंभीर खामियों पर वैश्विक कार्रवाई आगे बढ़ी। न्यूजीलैंड के राष्ट्रीय साइबर सुरक्षा केंद्र ने तुरंत पैच लगाने और दुरुपयोग की निगरानी करने की अपील की। यह चेतावनी 21 अक्टूबर के आपात सुधारों के बाद आई। इन खामियों से हमलावर बिना लॉगइन किए सर्वर पर कोड चला सकता है।
PHP परियोजना की सलाह के अनुसार वेब अनुरोध संभालने वाली सभी व्यवस्थाएं जोखिम में हैं, जिनमें PHP-FPM और mod_php वाला Apache शामिल हैं। परियोजना ने mod_php का जोखिम सबसे अधिक माना है, जहां शोधकर्ताओं ने एप्लिकेशन कोड चलने से पहले हमला करके दिखाया। PHP वेब पेज बनाता और सर्वर के काम संभालता है; इसलिए जोखिम सेवा के सॉफ्टवेयर और विन्यास पर निर्भर करता है।
परियोजना ने CVE-2026-109618 और CVE-2026-109619 खामियां ठीक करने के लिए PHP 8.5.12, 8.4.27, 8.3.36 और 8.2.35 जारी किए। सलाह में मेमोरी प्रबंधन तथा अनुरोधों के बीच बची रहने वाली आंतरिक स्थिति की समस्याएं बताई गई हैं। परियोजना ने कहा कि ऑपरेटिंग सिस्टम वितरकों या दीर्घकालिक सहायता प्रदाताओं के पैकेज इस्तेमाल करने वाले संचालक सुधरे संस्करणों के लिए उन्हीं से संपर्क करें।
PHP फाउंडेशन के अनुसार एक समस्या के शुरुआती संकेत 2024 के सुरक्षा ऑडिट के बाद के काम में मिले थे। Calif, OpenAI और Wiz की बाद की रिपोर्टों से उसका पूरा प्रभाव स्पष्ट हुआ और अगस्त में सुधार सर्वोच्च सुरक्षा प्राथमिकता बन गया। फाउंडेशन ने माना कि सीमित संसाधनों और अनुकूल सुधार चुनने की कठिनाई ने पहले काम में देरी की। उसने निर्णय प्रक्रिया बदलने की बात कही।
ब्रिटेन के राष्ट्रीय साइबर सुरक्षा केंद्र ने संस्थाओं से अपने बुनियादी ढांचे में PHP की पहचान करने और इंटरनेट से जुड़े तंत्रों को प्राथमिकता देने को कहा। निर्देशों के अनुसार तुरंत अपडेट या अस्थायी सुरक्षा उपाय लागू न कर पाने वाले संचालकों को प्रणालियां ऑफलाइन करने पर विचार करना चाहिए। ये सावधानियां जोखिम घटाती हैं; केवल वेबसाइट बंद होने से सफल घुसपैठ साबित नहीं होती।
न्यूजीलैंड की एजेंसी ने चेताया कि पैच लगाने से पहले हो चुका समझौता या घुसपैठ खत्म नहीं होता। ब्रिटिश निर्देश भी तत्काल अपडेट या बंद करना असंभव होने पर घुसपैठ के प्रमाण और हमलावरों के बनाए गुप्त रास्ते खोजने को कहते हैं। दोनों सलाहों में लगातार निगरानी शामिल है। ब्रिटिश एजेंसी ने PHP शामिल करने वाले अन्य कंपनियों के उत्पादों और सेवाओं के अपडेट पर भी ध्यान देने को कहा।
टिप्पणियाँ