N環球 N GLOBE
वैश्विक प्रौद्योगिकी

"PHP2Shell": PHP दो महत्वपूर्ण CVSS-9.2 खामियों के लिए आपातकालीन पैच भेजता है जो अप्रमाणित रिमोट कोड निष्पादन को सक्षम बनाता है

· N GLOBE

PHP ने 21 अक्टूबर को आपातकालीन अपडेट जारी किया, जिसमें विज़, कैलिफ़ोर्निया और ओपनएआई के शोधकर्ताओं द्वारा सामूहिक रूप से पाई गई PHP2Shell (CVE-2026-109618, CVE-2026-109619) नामक दो महत्वपूर्ण खामियों को ठीक किया गया। समन्वित प्रकटीकरण से पहले विवरण लीक हो गए, और क्लाउडफ़ेयर ने पैच भेजे जाने से पहले वास्तविक हमलों को देखा। वेब अनुरोधों को प्रस्तुत करने वाला प्रत्येक PHP इंस्टालेशन प्रभावित होता है।

यह क्यों मायने रखता है?

यह वर्षों में सबसे गंभीर वेब कमजोरियों में से एक है। PHP दुनिया की वेबसाइटों (वर्डप्रेस, ड्रुपल, जूमला) के एक बड़े हिस्से को संचालित करती है, और इस बार दोष भाषा इंजन में ही है - यहां तक ​​कि एक पूरी तरह से लिखी गई साइट भी कोई सुरक्षा प्रदान नहीं करती है। एक हमलावर को किसी खाते की आवश्यकता नहीं है; एक एकल अनुरोध सर्वर पर कोड निष्पादन उत्पन्न कर सकता है।

यह सुरक्षा अनुसंधान में एआई की दोहरी भूमिका का अब तक का सबसे स्पष्ट उदाहरण है: विज़ का कहना है कि खामियां दशकों से छिपी हुई थीं, और शोषण क्षमता का प्रदर्शन करने के लिए एक श्रृंखला की आवश्यकता थी 'मानव शोधकर्ता व्यावहारिक रूप से क्या हासिल कर सकते थे।' फ्रंटियर एआई मॉडल ने उस बाधा को काफी हद तक कम कर दिया, जिससे लंबे समय से चली आ रही खामी को कामकाजी शोषण में बदल दिया गया।

पूरी रिपोर्ट

PHP की सुरक्षा टीम ने 21 अक्टूबर को CVE-2026-109618 और CVE-2026-109619 को ठीक करते हुए आपातकालीन अपडेट जारी किया, दोनों को CVSS v4.0 9.2 रेटिंग दी गई और सामूहिक रूप से PHP2Shell नाम दिया गया। जब कोई अनुरोध असामान्य रूप से समाप्त होता है तो दोनों दूषित मेमोरी स्थिति से उत्पन्न होते हैं, और रिमोट कोड निष्पादन प्राप्त करने के लिए अप्रमाणित हमलावरों द्वारा दोनों का शोषण किया जा सकता है।

वेब अनुरोधों को प्रस्तुत करने वाला प्रत्येक PHP इंस्टॉलेशन प्रभावित होता है, जिसमें PHP-FPM, Apache mod_php, php-cgi, FrancenPHP और LiteSpeed ​​शामिल हैं। टीम का कहना है कि mod_php के लिए जोखिम सबसे अधिक है, जहां किसी भी एप्लिकेशन कोड के चलने से पहले प्रदर्शित शोषण ट्रिगर हो जाता है। एक दोष यह भी हो सकता है कि एक हमलावर अन्य अनुरोधों के पासवर्ड, टोकन और एपीआई कुंजियाँ रखते हुए कार्यकर्ता मेमोरी को पढ़ सके।

विज़, कैलिफ़ोर्निया, ओपनएआई (इसके पैच द प्लैनेट कार्यक्रम में एक भागीदार) और क्वार्कस्लैब के शोधकर्ताओं द्वारा खामियां पाई गईं। नियोजित समन्वित प्रकटीकरण से पहले 20 अक्टूबर को तकनीकी विवरण लीक हो गए, जिससे PHP को एक दिन पहले रिलीज़ करना पड़ा। क्लाउडफ्लेयर ने कहा कि उसने पैच शिप किए जाने से पहले अपने ग्राहकों के खिलाफ हमले के ट्रैफ़िक को देखा और 21 अक्टूबर को WAF नियमों को सक्रिय किया। एहतियात के तौर पर कई डच और जापानी साइटें (डच डिजीडी सेवा और प्रतिनिधि सभा की वेबसाइट सहित) ऑफ़लाइन हो गईं।

व्यवस्थापकों से आग्रह किया जाता है कि वे तुरंत PHP 8.5.12, 8.4.27, 8.3.36 या 8.2.35 पर अपडेट करें; PHP 7 और इससे पहले के संस्करणों को अब आधिकारिक अपडेट प्राप्त नहीं होंगे।

💬 Comments

No comments yet. Be the first!