क्या दुनिया की 70% वेबसाइटें हैं खतरे में? PHP के सिक्योरिटी बग ने बढ़ाई चिंता

PHP प्रोग्रामिंग भाषा में सामने आईं दो गंभीर सुरक्षा कमजोरियों को ठीक करने के लिए विकास टीम ने सिक्योरिटी पैच जारी कर दिए हैं। 22 अक्टूबर की शाम को सामने आई जानकारी के मुताबिक, इन कमजोरियों को CVE-2026-109618 और CVE-2026-109619 नाम दिए गए हैं। दोनों को CVSS v4.0 स्केल पर 9.2 की गंभीरता रेटिंग मिली है। इन खामियों का फायदा उठाकर हमलावर बिना लॉगिन किए प्रभावित PHP सर्वर पर रिमोट कोड एक्जीक्यूशन (RCE) कर सकते हैं।

हालांकि, आम इंटरनेट यूजर्स के लिए फिलहाल घबराने की जरूरत नहीं है। ये कमजोरियां मुख्य रूप से वेबसाइट के सर्वर से जुड़ी हैं, न कि सीधे यूजर्स के मोबाइल, कंप्यूटर या ब्राउजर से। ऐसे में सामान्य तौर पर वेबसाइट ब्राउज करने, ऑनलाइन खरीदारी करने या डिजिटल सेवाओं का इस्तेमाल करने वाले लोगों को अपनी गतिविधियां बंद करने की आवश्यकता नहीं है। दूसरी ओर, PHP पर आधारित वेबसाइटों और एप्लिकेशन का संचालन करने वाले संगठनों को अपने सिस्टम की जांच कर जल्द से जल्द सुरक्षा अपडेट इंस्टॉल करने की सलाह दी गई है।

21 अक्टूबर को जारी हुए सिक्योरिटी पैच

PHP दुनिया की लोकप्रिय प्रोग्रामिंग भाषाओं में से एक है। इसका इस्तेमाल ई-कॉमर्स वेबसाइटों, कंटेंट मैनेजमेंट सिस्टम, ऑनलाइन पोर्टल और विभिन्न वेब एप्लिकेशन को चलाने के लिए किया जाता है।

PHP डेवलपमेंट टीम ने 21 अक्टूबर को इन दोनों कमजोरियों को दूर करने के लिए अपडेट जारी किए। सुरक्षा विशेषज्ञों के मुताबिक, इन खामियों का फायदा उठाने के लिए हमलावरों को विशेष रूप से तैयार किए गए रिक्वेस्ट भेजने और सर्वर की मेमोरी से जुड़ी स्थितियों का फायदा उठाने की जरूरत हो सकती है।

सुरक्षा कंपनी Wiz और कई शोध समूहों ने AI टूल्स की मदद से इन कमजोरियों का पता लगाया था। सार्वजनिक रूप से जानकारी सामने आने से पहले इस बारे में PHP डेवलपमेंट टीम को सूचित किया गया, ताकि समस्या को ठीक करने के लिए आवश्यक कदम उठाए जा सकें।

किन PHP वर्जन में जारी हुआ अपडेट?

सुरक्षा खामियों को ठीक करने के लिए PHP के कई संस्करणों में पैच उपलब्ध कराए गए हैं। इनमें PHP 8.5.12, 8.4.27, 8.3.36 और 8.2.35 शामिल हैं।

PHP 7.4, 8.0 और 8.1 जैसे पुराने संस्करणों के लिए, जिनका आधिकारिक समर्थन समाप्त हो चुका है, सोर्स कोड में सुधार उपलब्ध कराए गए हैं। इसके अलावा AlmaLinux, Red Hat, Debian और Ubuntu जैसे कई Linux वितरणों तथा अन्य दीर्घकालिक समर्थन प्रदाताओं ने भी अपडेट पैकेज जारी किए हैं।

वहीं, PHP 7.3 और इससे पुराने संस्करणों के लिए संबंधित सुरक्षा पैच उपलब्ध नहीं कराए गए हैं। ऐसे में इन संस्करणों का इस्तेमाल करने वाले संगठनों को समर्थित और सुरक्षित संस्करण पर अपग्रेड करने की योजना बनानी चाहिए।

क्या सभी PHP वेबसाइटें खतरे में हैं?

इन कमजोरियों की जानकारी सामने आने का मतलब यह नहीं है कि PHP पर चलने वाली हर वेबसाइट असुरक्षित है। वास्तविक जोखिम कई बातों पर निर्भर करता है, जैसे वेबसाइट पर इस्तेमाल हो रहा PHP वर्जन, सर्वर की सेटिंग्स, एप्लिकेशन का डिजाइन और नेटवर्क सुरक्षा व्यवस्था।

विशेष रूप से तैयार किए गए रिक्वेस्ट के जरिए इन खामियों का फायदा उठाने की कोशिश की जा सकती है। हालांकि, सही तरीके से कॉन्फिगर किया गया वेब एप्लिकेशन फायरवॉल (WAF) संदिग्ध ट्रैफिक और असामान्य रिक्वेस्ट को रोकने में मदद कर सकता है। फिर भी, केवल WAF पर निर्भर रहना पर्याप्त नहीं है। प्रभावित सिस्टम की पहचान और पैच इंस्टॉलेशन सबसे जरूरी कदम हैं।

जानकारी सार्वजनिक होने के बाद कई वेब होस्टिंग और क्लाउड इंफ्रास्ट्रक्चर प्रदाताओं ने अपने सर्वरों को अपडेट करने और संभावित हमलों को रोकने के लिए WAF नियमों में बदलाव करने की दिशा में कदम उठाए हैं। होस्टिंग सेवाओं का इस्तेमाल करने वाले ग्राहकों को अपने प्रदाता से संपर्क करके PHP वर्जन और सुरक्षा अपडेट की स्थिति की पुष्टि करनी चाहिए।

वेबसाइट संचालक तुरंत करें ये काम

अपने सर्वर पर PHP का इस्तेमाल करने वाले संगठनों और व्यवसायों को सुरक्षा के लिए कुछ जरूरी कदम उठाने चाहिए।

1. सभी सर्वरों की जांच करें: PHP इस्तेमाल करने वाले सर्वर, वेबसाइट, एप्लिकेशन, कंटेनर और टेस्टिंग एनवायरनमेंट की सूची तैयार करें। प्रत्येक सिस्टम में चल रहे PHP वर्जन की जानकारी भी दर्ज करें।

2. सिक्योरिटी पैच इंस्टॉल करें: प्रभावित सिस्टम को उपलब्ध पैच वाले संस्करण पर अपडेट करें। जिन पुराने संस्करणों को आधिकारिक समर्थन नहीं मिल रहा है, उनके लिए अपने Linux वितरण या संबंधित सपोर्ट प्रदाता से उपलब्ध सुरक्षा अपडेट की जानकारी लें।

3. WAF और सर्वर सेटिंग्स मजबूत करें: वेब एप्लिकेशन फायरवॉल के नियमों को अपडेट करें। जरूरत के अनुसार रिक्वेस्ट के आकार और उनकी संख्या पर सीमाएं तय करें। PHP की मेमोरी लिमिट और अन्य संबंधित सेटिंग्स की समीक्षा भी करें। किसी भी बदलाव को लागू करने से पहले परीक्षण जरूर करें, ताकि वेबसाइट के सामान्य संचालन पर असर न पड़े।

4. सर्वर लॉग पर नजर रखें: असामान्य रूप से बड़े या बार-बार भेजे जाने वाले रिक्वेस्ट, मेमोरी से जुड़ी बार-बार होने वाली त्रुटियां, PHP प्रोसेस का अचानक बंद होना और सर्वर पर अनजान फाइलें दिखाई देने जैसी गतिविधियों की जांच करें। किसी संदिग्ध गतिविधि के संकेत मिलने पर तुरंत तकनीकी जांच शुरू करें।

इंटरनेट यूजर्स को क्या करना चाहिए?

इन कमजोरियों का संबंध वेबसाइट के सर्वर से है, इसलिए सामान्य यूजर्स को केवल इस खबर के आधार पर ऑनलाइन सेवाओं का इस्तेमाल बंद करने की जरूरत नहीं है। हालांकि, साइबर सुरक्षा से जुड़ी बुनियादी सावधानियां अपनाना हमेशा जरूरी है।

बैंकिंग, ईमेल, सोशल मीडिया और डिजिटल वॉलेट जैसे महत्वपूर्ण खातों पर टू-फैक्टर ऑथेंटिकेशन (2FA) चालू रखें। प्रत्येक अकाउंट के लिए अलग और मजबूत पासवर्ड इस्तेमाल करें। पासवर्ड मैनेजर की मदद से पासवर्ड को सुरक्षित तरीके से संभाला जा सकता है।

इसके अलावा, ऐसे ईमेल, मैसेज या संदिग्ध लिंक से सावधान रहें जो सुरक्षा खामी का डर दिखाकर व्यक्तिगत जानकारी, पासवर्ड या OTP मांगते हैं। किसी भी अनजान स्रोत के साथ संवेदनशील जानकारी साझा न करें।

निष्कर्ष: PHP की इन दो गंभीर सुरक्षा कमजोरियों को ठीक करने के लिए अपडेट जारी किए जा चुके हैं। आम इंटरनेट यूजर्स के लिए तत्काल किसी बड़े बदलाव की जरूरत नहीं है, लेकिन वेबसाइट मालिकों, डेवलपर्स और सर्वर एडमिनिस्ट्रेटर्स को अपने सिस्टम की जांच कर आवश्यक पैच जल्द से जल्द लागू करने चाहिए।