PHP में गंभीर सुरक्षा खामी, अमेरिकी NSA की चेतावनी—अपडेट करें या सर्वर बंद करें

इंटरनेट की सुरक्षा को लेकर एक बड़ी चिंता सामने आई है। वेबसाइट बनाने और चलाने में इस्तेमाल होने वाली लोकप्रिय प्रोग्रामिंग भाषा PHP में दो गंभीर साइबर सुरक्षा खामियों का पता चला है। इन खामियों का फायदा उठाकर हैकर प्रभावित वेब सर्वर पर दूर से नियंत्रण हासिल कर सकते हैं। स्थिति की गंभीरता को देखते हुए अमेरिका की राष्ट्रीय सुरक्षा एजेंसी (NSA) ने संगठनों को चेतावनी दी है कि यदि वे अपने सिस्टम को नवीनतम सुरक्षा अपडेट से सुरक्षित नहीं कर सकते, तो उन्हें अस्थायी रूप से ऑफलाइन कर देना चाहिए।

राष्ट्रीय सुरक्षा एजेंसी (NSA) National Security Agency (NSA) ने अपनी सलाह में कहा कि यदि तुरंत अपडेट करना संभव नहीं है, तो सिस्टम को तब तक ऑफलाइन रखना चाहिए, जब तक सुरक्षा खामी का प्रभावी समाधान नहीं हो जाता। इन दोनों खामियों को सामूहिक रूप से “PHP2Shell” नाम दिया गया है। इनके जरिए हमलावर बिना पहले से सिस्टम तक पहुंच या किसी तरह के प्रमाणीकरण के प्रभावित सर्वर पर नियंत्रण हासिल करने की कोशिश कर सकते हैं। अमेरिकी संघीय जांच ब्यूरो (FBI) ने भी इसी तरह की चेतावनी जारी की है।

PHP Foundation ने 21 अक्टूबर 2026 को इन खामियों को ठीक करने के लिए आपातकालीन सुरक्षा अपडेट जारी किया। रिपोर्टों के अनुसार, ये कमजोरियां एक दशक से भी अधिक समय तक पहचान में नहीं आई थीं। शोधकर्ताओं ने कई सप्ताह तक उन्नत AI टूल्स की मदद से जांच करने के बाद इनका पता लगाया।

PHP क्या है और यह इतना महत्वपूर्ण क्यों है? (What Is PHP and Why Is It Important?)

PHP का पूरा नाम PHP: Hypertext Preprocessor है। यह एक प्रोग्रामिंग भाषा है, जिसका इस्तेमाल वेबसाइटों को चलाने और उनके लिए सामग्री तैयार करने में किया जाता है। जब कोई यूजर वेबसाइट खोलता है, तो PHP पर चलने वाला सर्वर जरूरी जानकारी को एक साथ जोड़ता है और तैयार वेबपेज ब्राउजर तक भेजता है।

PHP एक ओपन-सोर्स भाषा है, यानी इसके कोड को सार्वजनिक रूप से देखा और इस्तेमाल किया जा सकता है। इसके विकास और रखरखाव में स्वयंसेवकों सहित कई योगदानकर्ता हिस्सा लेते हैं।

वेबसाइटों के तकनीकी इस्तेमाल पर नजर रखने वाली संस्था W3Techs के अनुसार, जिन वेबसाइटों की प्रोग्रामिंग भाषा की पहचान की जा सकती है, उनमें से लगभग 70% वेबसाइट PHP का इस्तेमाल करती हैं। इसका मतलब है कि PHP में मौजूद सुरक्षा खामियां इंटरनेट के बड़े हिस्से को जोखिम में डाल सकती हैं। इसमें Wikipedia जैसी वेबसाइटें और WordPress पर होस्ट की गई वेबसाइटें भी शामिल हो सकती हैं।

PHP2Shell से क्या खतरा है? (What Is the Risk From PHP2Shell?)

PHP2Shell का फायदा उठाकर हमलावर किसी प्रभावित सर्वर के फाइल सिस्टम या डेटाबेस तक पहुंचने की कोशिश कर सकते हैं। ऐसी पहुंच मिलने पर वे संवेदनशील जानकारी चुरा सकते हैं, वेबसाइट या ऑनलाइन सेवाओं को बाधित कर सकते हैं, नुकसान पहुंचाने वाले सॉफ्टवेयर इंस्टॉल कर सकते हैं या नेटवर्क के दूसरे हिस्सों तक पहुंचने की कोशिश कर सकते हैं।

NSA के मुताबिक, ये खामियां PHP की अपनी तकनीक में मौजूद थीं, न कि केवल किसी वेबसाइट पर इस्तेमाल किए गए ऐप या उसकी सेटिंग में। इसलिए प्रभावित संस्करण चलाने वाले सर्वर खतरे में हो सकते हैं, भले ही समस्या किसी खास वेबसाइट के कॉन्फिगरेशन से जुड़ी न हो।

PHP Foundation ने इन कमजोरियों की गंभीरता को 10 में से 9.2 अंक दिए हैं। यह स्कोर बताता है कि समस्या को गंभीरता से लेने और जल्द से जल्द सुरक्षा उपाय करने की जरूरत है।

Path in AI Technologies के CEO डॉ. कनिष्क अग्रवाल ने India Today Tech से कहा कि PHP में ऐसी खामियां इंटरनेट पर कई सेवाओं को एक साथ प्रभावित कर सकती हैं। खासकर तब, जब संगठन पुराने सॉफ्टवेयर संस्करणों का इस्तेमाल कर रहे हों या नेटवर्क पर ऐसी सेवाएं उपलब्ध हों, जिनमें सुरक्षा की कमी हो।

OpenAI का दावा, ChatGPT ने खोजीं PHP की सुरक्षा खामियां (OpenAI Says ChatGPT Found the PHP Vulnerabilities)

OpenAI ने बताया कि उसके AI मॉडल्स ने इन सुरक्षा खामियों की खोज में महत्वपूर्ण भूमिका निभाई। कंपनी ने सोशल मीडिया प्लेटफॉर्म X पर कहा कि इन कमजोरियों की गंभीरता और PHP के व्यापक इस्तेमाल को देखते हुए यह हाल के वर्षों की सबसे प्रभावशाली सुरक्षा खामियों में से एक हो सकती है।

रिपोर्ट के अनुसार, कैलिफोर्निया स्थित Calif.IO ने GPT-5.6 Sol की मदद से एक गंभीर खामी की पहचान की। वहीं, साइबर सुरक्षा कंपनी Wiz ने स्वतंत्र रूप से दोनों कमजोरियों का पता लगाकर उनकी जानकारी संबंधित पक्षों को दी। PHP के रखरखाव से जुड़ी टीम ने सुरक्षा सुधार तैयार करने का नेतृत्व किया। इस काम में OpenAI, Wiz, Cloudflare और अन्य सहयोगियों ने भी मदद की।

सुरक्षा अपडेट तैयार करने में लगे लगभग दो महीने (Nearly Two Months to Develop the Security Fixes)

OpenAI के अनुसार, इन समस्याओं को ठीक करने के काम में लगभग दो महीने लगे। इसके लिए PHP इंजन में बड़े बदलाव करने पड़े। कंपनी ने Codex के लिए एक PHP संस्करण जांचने वाला टूल भी जारी किया है, जो सिस्टम संचालकों को यह पहचानने में मदद कर सकता है कि उनके सर्वर पर इस्तेमाल हो रहा PHP संस्करण जोखिम में है या नहीं।

OpenAI ने यह भी कहा कि वह उन संगठनों को सब्सिडी वाली पहुंच उपलब्ध कराने के लिए 1 अरब डॉलर की प्रतिबद्धता जता रही है, जिनके पास आवश्यक सेवाओं की सुरक्षा के लिए सीमित संसाधन हैं। इसका उद्देश्य ऐसे संगठनों को सुरक्षा संबंधी काम में मदद देना है, जो महंगे तकनीकी साधनों या विशेषज्ञों की कमी के कारण जोखिमों से निपटने में कठिनाई महसूस करते हैं।

जापान समेत कई देशों में बढ़ी चिंता, वेबसाइटें की गईं बंद (Japan and Other Countries Raise Concerns as Websites Go Offline)

PHP की इन कमजोरियों को लेकर कई देशों में चिंता बढ़ गई है। जापान की प्रधानमंत्री साने ताकाइची ने सार्वजनिक रूप से तत्काल कदम उठाने की अपील की। वहीं, एहतियात के तौर पर फिनलैंड, नीदरलैंड और ब्रिटेन में कुछ सार्वजनिक सेवाओं तथा वेबसाइटों को अस्थायी रूप से ऑफलाइन किया गया।

जापान की प्रधानमंत्री ने X पर लिखा कि सभी संस्थानों को अपनी सार्वजनिक वेबसाइटों की जांच करनी चाहिए कि वे PHP का इस्तेमाल करती हैं या नहीं। उन्होंने 21 अक्टूबर को रात 11 बजे जापान के समय के अनुसार जारी होने वाले सुरक्षा पैच को जल्द से जल्द लागू करने की तैयारी करने की सलाह दी। उन्होंने यह भी कहा कि यदि तुरंत पैच लगाना संभव नहीं है, तो वेबसाइटों को कुछ समय के लिए बंद करना जोखिम कम करने का प्रभावी तरीका हो सकता है।

फिनलैंड, नीदरलैंड और विकिमीडिया ने उठाए एहतियाती कदम (Precautionary Measures in Finland, the Netherlands and Wikimedia)

फिनलैंड ने सरकारी सार्वजनिक वेब सेवाओं को अस्थायी रूप से बंद कर दिया। नीदरलैंड की साइबर सुरक्षा एजेंसी ने भी अपनी वेबसाइट ऑफलाइन कर दी। इसके अलावा, डच सार्वजनिक स्वास्थ्य संस्थान और वहां की संसद के निचले सदन की वेबसाइटें भी कुछ समय के लिए उपलब्ध नहीं रहीं।

विकिमीडिया फाउंडेशन ने कहा कि सुरक्षित तरीके से पैच लगाए जाने तक उसने एहतियात के तौर पर कई सिस्टम बंद कर दिए हैं। इस कदम के कारण Wikipedia की कुछ सेवाओं तक पहुंच प्रभावित हुई।

ब्रिटेन, यूरोपीय संघ, ऑस्ट्रेलिया और जापान की साइबर सुरक्षा एजेंसियों ने भी उपयोगकर्ताओं और संस्थानों को सुरक्षा अपडेट लगाने की सलाह दी। CERT-EU के अनुसार, इन कमजोरियों का असर PHP के पुराने संस्करणों पर भी हो सकता है, जिनमें वर्ष 2004 में जारी PHP 5 शामिल है। हालांकि, PHP Foundation ने अपडेट केवल नए संस्करणों के लिए जारी किए और PHP 8.1 या उससे पुराने संस्करण इस्तेमाल करने वालों को अपग्रेड करने की सलाह दी।

हैकरों ने शुरू किए हमले, Cloudflare ने दी चेतावनी (Hackers Begin Exploitation Attempts, Cloudflare Issues Warning)

इन खामियों की जानकारी सोशल मीडिया पर लीक होने के बाद PHP Foundation को अपनी घोषणा तय समय से पहले जारी करनी पड़ी। इस घटनाक्रम ने सुरक्षा विशेषज्ञों की चिंता बढ़ा दी, क्योंकि किसी खामी का सार्वजनिक होना हमलावरों को उसका फायदा उठाने का अवसर दे सकता है।

Cloudflare के CEO मैथ्यू प्रिंस ने बताया कि कंपनी के नेटवर्क पर इन कमजोरियों का फायदा उठाने की हजारों कोशिशें देखी गईं। उन्होंने X पर लिखा कि सार्वजनिक घोषणा से पहले के 10 घंटों में हजारों हमले के प्रयास दर्ज किए गए। घोषणा के बाद 45 मिनट के भीतर यह संख्या बढ़कर हजारों से दसियों हजार हो गई। दो घंटे के अंदर प्रयासों की संख्या लाखों तक पहुंच गई और बाद में यह और बढ़ गई।

Acronis के जनरल मैनेजर राजेश छाबड़ा ने कहा कि AI टूल्स ने सुरक्षा कमजोरियों को खोजने की प्रक्रिया आसान बना दी है, लेकिन इसका दूसरा पहलू भी है। अब किसी खामी का पता चलने और उसका फायदा उठाने वाला तरीका तैयार होने के बीच का समय कम हो सकता है। इसलिए सुरक्षा पैच लगाना तत्काल जरूरी काम माना जाना चाहिए।

उन्होंने चेताया कि इन कमजोरियों का फायदा उठाने वाला हमलावर सर्वर पर कमांड चला सकता है, डेटा चुरा सकता है, वेब शेल इंस्टॉल कर सकता है और जुड़े हुए अन्य सिस्टम तक पहुंचने की कोशिश कर सकता है।

भारत में भी सामने आए साइबर सुरक्षा से जुड़े मामले (Cybersecurity Incidents Also Reported in India)

PHP की कमजोरियों से जुड़ा यह मामला ऐसे समय सामने आया है, जब भारत में भी साइबर सुरक्षा को लेकर अन्य चिंताएं सामने आई हैं। हाल ही में खबर आई थी कि डिजिटल सर्टिफिकेट से जुड़ी सेवाएं देने वाली भारतीय कंपनी eMudhra ने कमजोर सुरक्षा कुंजियों का इस्तेमाल किया था। इस मामले के सामने आने के बाद Google और Apple ने उन्हें ब्लॉक करने के लिए कदम उठाए।

इसके अलावा, भारतीय स्टेट बैंक (SBI) ने भी इसी सप्ताह साइबर हमले का सामना करने की पुष्टि की थी। रिपोर्ट के अनुसार, 3,897 ग्राहकों के रिकॉर्ड चुराए गए और उन्हें डार्क वेब पर डाला गया।

ये घटनाएं दिखाती हैं कि डिजिटल सेवाओं की सुरक्षा के लिए नियमित जांच, समय पर सॉफ्टवेयर अपडेट और मजबूत सुरक्षा व्यवस्था कितनी जरूरी है। PHP का इस्तेमाल करने वाले संगठनों के लिए भी अपने सर्वर की जांच करना और संबंधित सुरक्षा पैच लागू करना महत्वपूर्ण है।

निष्कर्ष (Conclusion)

PHP में सामने आई PHP2Shell सुरक्षा कमजोरियों ने दुनिया भर में वेबसाइटों और ऑनलाइन सेवाओं की सुरक्षा को लेकर गंभीर चिंता पैदा की है। चूंकि PHP का इस्तेमाल बड़ी संख्या में वेबसाइटों पर होता है, इसलिए प्रभावित संस्करणों को समय पर अपडेट करना जरूरी है। अमेरिकी NSA और FBI सहित कई साइबर सुरक्षा एजेंसियों ने जोखिम को कम करने के लिए तत्काल कदम उठाने की सलाह दी है।

विशेषज्ञों के अनुसार, संगठनों को अपने PHP संस्करण की जांच करनी चाहिए, उपलब्ध सुरक्षा पैच लागू करना चाहिए और अपडेट संभव न होने पर प्रभावित सिस्टम को अस्थायी रूप से ऑफलाइन रखने पर विचार करना चाहिए। AI जहां सुरक्षा खामियों की पहचान करने में मदद कर रहा है, वहीं हमलावर भी इन कमजोरियों का फायदा तेजी से उठाने की कोशिश कर सकते हैं। ऐसे में समय पर कार्रवाई और लगातार निगरानी ही जोखिम कम करने के महत्वपूर्ण उपाय हैं।