PHP सुरक्षा चेतावनी: वर्डप्रेस समेत कई वेबसाइटों पर साइबर हमले का खतरा

इंटरनेट पर साइबर हमलों का खतरा बढ़ सकता है। इंटरनेट की बड़ी संख्या में वेबसाइटों और डिजिटल सेवाओं को चलाने वाली प्रोग्रामिंग भाषा PHP में दो गंभीर सुरक्षा खामियों की जानकारी सामने आई है। इन खामियों से जुड़े संभावित जोखिम को देखते हुए PHP की सुरक्षा टीम ने एक महत्वपूर्ण सुरक्षा अपडेट जारी करने की घोषणा की है। टीम ने वेबसाइट संचालकों और डेवलपर्स को सलाह दी है कि वे अपडेट उपलब्ध होते ही अपने सिस्टम को सुरक्षित करने के लिए इसे जल्द से जल्द इंस्टॉल करें।

PHP की आधिकारिक वेबसाइट PHP website पर प्रकाशित जानकारी के अनुसार, सुरक्षा अपडेट 21 अक्टूबर को दोपहर 2 बजे UTC यानी भारतीय समयानुसार शाम 7:30 बजे जारी करने की योजना बनाई गई थी। PHP टीम ने दोनों खामियों को CVSS v4.0 सुरक्षा रेटिंग प्रणाली पर 10 में से 9.2 अंक दिए हैं। यह रेटिंग गंभीर जोखिम का संकेत देती है और बताती है कि इन खामियों को नजरअंदाज करना वेबसाइटों तथा सर्वर की सुरक्षा के लिए नुकसानदायक हो सकता है।

टीम ने अभी तक यह स्पष्ट नहीं किया है कि इन खामियों की तकनीकी प्रकृति क्या है और PHP के कौन-कौन से संस्करण इनसे प्रभावित हैं। हालांकि, उसने सभी उपयोगकर्ताओं से पहले से तैयारी रखने को कहा है, ताकि अपडेट जारी होते ही वे अपने सिस्टम को सुरक्षित कर सकें।

क्या PHP की सुरक्षा खामियों की जानकारी लीक हुई थी? (Were PHP Security Flaws Leaked?)

PHP ने शुरुआत में इन खामियों की तकनीकी जानकारी सार्वजनिक नहीं की थी। हालांकि, मीडिया रिपोर्टों के अनुसार, 20 अक्टूबर को ही इंटरनेट पर इन कमजोरियों से जुड़ी जानकारी सामने आने लगी थी। सुरक्षा विशेषज्ञों ने इन खामियों को रिमोट कोड एग्जीक्यूशन (Remote Code Execution) से जुड़ा बताया है।

इन दोनों कमजोरियों को CVE-2026-109618 और CVE-2026-109619 नाम से दर्ज किया गया है। रिमोट कोड एग्जीक्यूशन का मतलब है कि कोई हमलावर दूर बैठे ही किसी कमजोर सर्वर पर अपना कोड चला सकता है। यदि हमला सफल हो जाए, तो वह सर्वर पर मौजूद डेटा या सेवाओं को नुकसान पहुंचाने की कोशिश कर सकता है।

PHP2Shell टूल से जुड़े दावे (Claims About the PHP2Shell Tool)

रिपोर्टों में PHP2Shell नाम के एक टूल का भी उल्लेख किया गया। इसके स्क्रीनशॉट और वीडियो सामने आने का दावा किया गया, जिनमें इस टूल को PHP का इस्तेमाल करने वाले सर्वरों पर कोड चलाते हुए दिखाया गया था। इस टूल का श्रेय Calif.IO को दिया गया।

बताया गया कि यह टूल WordPress, MediaWiki, phpBB, Magento, Joomla, Laravel, Symfony, Drupal और WHMCS जैसे प्लेटफॉर्म पर चलने वाले सर्वरों को निशाना बनाने में सक्षम हो सकता है। इसके बैनर में PHP 5.4.0 और उसके बाद के संस्करणों के साथ काम करने का दावा किया गया था। हालांकि, शुरुआती रिपोर्टों में इसकी वास्तविक पहुंच और प्रभावित संस्करणों की पूरी पुष्टि नहीं हुई थी।

साइबर सुरक्षा कंपनी WatchTowr ने एक अपुष्ट रिपोर्ट का हवाला देते हुए कहा कि इस खामी के जरिए हमलावर PHP चलाने वाले सर्वर पर अपना कोड चला सकता है और संभावित रूप से उसका नियंत्रण हासिल कर सकता है।

WordPress और दूसरी वेबसाइटों पर क्या होगा असर? (Potential Impact on WordPress and Other Websites)

PHP का इस्तेमाल दुनिया भर में वेबसाइटों, वेब एप्लिकेशन और ऑनलाइन सेवाओं को बनाने तथा चलाने में किया जाता है। WordPress पर आधारित अनेक वेबसाइटें PHP का उपयोग करती हैं। Wikipedia और कई अन्य डिजिटल प्लेटफॉर्म भी PHP तकनीक का इस्तेमाल करते हैं।

इसलिए, यदि किसी वेबसाइट का सर्वर प्रभावित PHP संस्करण पर चल रहा है और उसकी सुरक्षा खामी का फायदा उठाया जाता है, तो वेबसाइट की सुरक्षा खतरे में पड़ सकती है। संभावित नुकसान में वेबसाइट पर अनधिकृत नियंत्रण, डेटा तक पहुंच और सेवाओं में बाधा शामिल हो सकती है। हालांकि, किसी वेबसाइट पर वास्तविक असर इस बात पर निर्भर करेगा कि वह कौन-सा PHP संस्करण और सर्वर व्यवस्था इस्तेमाल कर रही है।

साइबर हमलों की तेजी से बढ़ने की आशंका (Concerns Over a Rapid Rise in Cyberattacks)

सुरक्षा कंपनी Sansec ने आशंका जताई थी कि अपडेट और तकनीकी जानकारी सार्वजनिक होने के बाद हमले बहुत तेजी से शुरू हो सकते हैं। कंपनी के अनुसार, रिलीज के 15 मिनट के भीतर बड़े पैमाने पर हमले शुरू होने की आशंका थी।

साइबर सुरक्षा कंपनी Wordfence ने भी WordPress वेबसाइट संचालकों को सतर्क रहने की सलाह दी। इसका कारण यह है कि WordPress वेबसाइटें ऐसे सर्वर पर चलती हैं, जिनमें PHP स्थापित होता है। इसलिए वेबसाइट संचालकों को केवल WordPress के प्लगइन या थीम अपडेट करने के बजाय सर्वर पर चल रहे PHP संस्करण की भी जांच करनी चाहिए।

PHP ने सुरक्षा अपडेट जारी किया, तुरंत अपग्रेड करने की सलाह (PHP Releases Security Updates and Urges Immediate Upgrades)

अपडेट: 21 अक्टूबर 2026 को PHP की सुरक्षा टीम ने दोनों गंभीर कमजोरियों को ठीक करने के लिए सुरक्षा अपडेट जारी कर दिए। आधिकारिक जानकारी के अनुसार, PHP 8.5.12, 8.4.27, 8.3.36 और 8.2.35 में इन खामियों को ठीक किया गया है। PHP टीम ने सभी उपयोगकर्ताओं से जल्द से जल्द अपडेट इंस्टॉल करने की अपील की है।

वेबसाइट संचालकों को क्या करना चाहिए? (What Website Owners Should Do)

वेबसाइट संचालकों और डेवलपर्स को अपने सर्वर पर चल रहे PHP संस्करण की पहचान करनी चाहिए और संबंधित सुरक्षा अपडेट इंस्टॉल करना चाहिए। विशेष रूप से इंटरनेट से सीधे जुड़े सर्वरों को प्राथमिकता देनी चाहिए, क्योंकि उन तक बाहरी हमलावर पहुंचने की कोशिश कर सकते हैं।

यदि वेबसाइट किसी होस्टिंग कंपनी या प्रबंधित सर्वर सेवा पर चलती है, तो उसके सहायता दल से यह पुष्टि करना उपयोगी होगा कि सुरक्षा पैच लागू कर दिया गया है या नहीं। पुराने PHP संस्करणों का उपयोग करने वालों को भी सावधान रहना चाहिए, क्योंकि कुछ पुराने संस्करणों के लिए आधिकारिक सुरक्षा अपडेट उपलब्ध नहीं हो सकते। ऐसे मामलों में होस्टिंग प्रदाता से सुरक्षित संस्करण या अपग्रेड के विकल्पों के बारे में जानकारी लेनी चाहिए।

AI और साइबर सुरक्षा को लेकर बढ़ती चिंता (Growing Concerns About AI and Cybersecurity)

PHP की इन कमजोरियों से जुड़ी खबर ऐसे समय में आई है, जब साइबर सुरक्षा को लेकर दुनिया भर में चिंता बढ़ रही है। अधिक सक्षम AI टूल्स के आने से साइबर हमलों की पहचान करने और उनसे बचाव करने के तरीके बदल रहे हैं। साथ ही, इन तकनीकों के संभावित दुरुपयोग को लेकर भी सवाल उठ रहे हैं।

इस मामले में Google Cloud ने बताया कि PHP की कमजोरियों की खोज, उनका समाधान तैयार करने और सुरक्षा पैच की जांच में AI की भूमिका रही। कंपनी के अनुसार, Gemini 4 Argon ने कमजोरियों की पहचान और उनके समाधान की पुष्टि करने में योगदान दिया। यह जानकारी Google Cloud के बयान पर आधारित है।

इस घटना से स्पष्ट होता है कि वेबसाइटों की सुरक्षा बनाए रखने के लिए नियमित अपडेट, सर्वर की निगरानी और समय पर तकनीकी सुधार जरूरी हैं। केवल सुरक्षा खामी की जानकारी होना पर्याप्त नहीं है; वेबसाइट संचालकों को यह भी सुनिश्चित करना होगा कि उनके सिस्टम पर उसका समाधान लागू हो चुका है।