PHP Security Vulnerabilities: CVE-2026-109618 के बाद दुनिया भर में वेबसाइटों पर संकट, कई सेवाएं बंद

दुनिया भर में वेबसाइटों की सुरक्षा को लेकर गंभीर चिंता बढ़ गई है। PHP प्रोग्रामिंग भाषा में दो महत्वपूर्ण सुरक्षा खामियां सामने आने के बाद कई सरकारी विभागों और संस्थानों ने अपनी वेबसाइटें अस्थायी रूप से बंद कर दी हैं। इन कमजोरियों को CVE-2026-109618 और CVE-2026-109619 नाम दिए गए हैं। साइबर सुरक्षा शोधकर्ताओं ने इन्हें ‘PHP2Shell’ नाम से भी पहचाना है। 21 अक्टूबर 2026 को PHP की विकास टीम ने इन खामियों को दूर करने के लिए सुरक्षा अपडेट जारी किए। विशेषज्ञों ने वेबसाइट संचालकों को तत्काल पैच लगाने की सलाह दी है, क्योंकि इन कमजोरियों का फायदा उठाकर हमलावर बिना लॉगिन किए प्रभावित सर्वर पर दुर्भावनापूर्ण कोड चला सकते हैं।

क्या है CVE-2026-109618 और PHP Vulnerability का मामला?

PHP इंटरनेट पर वेबसाइट और वेब एप्लिकेशन बनाने में इस्तेमाल होने वाली प्रमुख प्रोग्रामिंग भाषाओं में से एक है। वर्डप्रेस, ड्रुपल और जूमला जैसे लोकप्रिय मंच भी PHP पर निर्भर हैं। इसलिए इसके मूल इंजन में मौजूद सुरक्षा खामी बड़ी संख्या में वेबसाइटों को प्रभावित कर सकती है।

साइबर सुरक्षा कंपनी Wiz और शोध संस्था Calif ने कृत्रिम बुद्धिमत्ता की मदद से PHP के मूल कोड में दो गंभीर कमजोरियों की पहचान की। ये खामियां लंबे समय से मौजूद थीं, लेकिन हालिया शोध में इनके संभावित दुरुपयोग का तरीका सामने आया।

CVE-2026-109618 में मेमोरी की कमी से जुड़ी प्रक्रिया के दौरान PHP के आंतरिक डेटा के अधूरे रूप में रह जाने का जोखिम है। दूसरी खामी, CVE-2026-109619, अनुरोध से जुड़ी कुछ जानकारी के मेमोरी से हटने के बाद भी इस्तेमाल किए जाने से संबंधित है। इन स्थितियों का फायदा उठाकर हमलावर सर्वर पर मनमाना कोड चलाने की कोशिश कर सकते हैं।

Websites Down: कई देशों में सेवाएं क्यों बंद हुईं?

21 अक्टूबर को सामने आई रिपोर्टों के अनुसार, यूरोप के कई देशों में सरकारी और सार्वजनिक वेबसाइटें एहतियात के तौर पर ऑफलाइन कर दी गईं। नीदरलैंड, फ्रांस, डेनमार्क और फिनलैंड में विभिन्न संस्थानों ने अपनी कुछ ऑनलाइन सेवाएं अस्थायी रूप से बंद कीं।

विकिपीडिया संचालित करने वाली विकिमीडिया फाउंडेशन और इंटरनेट आर्काइव ने भी कुछ प्रणालियों को सुरक्षा उपायों तथा अपडेट के लिए अस्थायी रूप से बंद किया। जापान में कुछ गेम कंपनियों ने भी सुरक्षा खामियों के बाद अपनी ऑनलाइन सेवाएं समाप्त करने की घोषणा की।

हालांकि, सभी बंद वेबसाइटों के हैक होने की पुष्टि नहीं हुई है। कई संस्थानों ने यह कदम संभावित हमलों से बचने और सिस्टम सुरक्षित करने के लिए उठाया। यही अंतर महत्वपूर्ण है: वेबसाइट बंद होना अपने आप में सफल साइबर हमले का प्रमाण नहीं है।

PHP Security Updates: किन संस्करणों में सुधार किया गया?

PHP की आधिकारिक विकास टीम ने 21 अक्टूबर को सुरक्षा अपडेट जारी किए। प्रमुख अपडेटेड संस्करण हैं:

• PHP 8.5.12
• PHP 8.4.27
• PHP 8.3.36
• PHP 8.2.35

PHP का कहना है कि वेब अनुरोधों को संभालने वाली सभी प्रभावित स्थापनाओं को जल्द अपडेट करना चाहिए। PHP 8.1 और उससे पुराने संस्करणों के लिए आधिकारिक PHP परियोजना अब नियमित सुरक्षा सुधार जारी नहीं करती, हालांकि कुछ वितरण और दीर्घकालिक सहायता देने वाले विक्रेता अलग से सुधार उपलब्ध करा सकते हैं।

वेबसाइट संचालकों और वर्डप्रेस उपयोगकर्ताओं को क्या करना चाहिए?

वेबसाइट मालिकों और सर्वर प्रशासकों को पहले यह पता लगाना चाहिए कि उनके सर्वर पर PHP का कौन-सा संस्करण चल रहा है। इसके बाद होस्टिंग कंपनी या तकनीकी प्रशासक की मदद से संबंधित सुरक्षा अपडेट लागू करना चाहिए। यदि तुरंत अपडेट संभव नहीं है, तो सार्वजनिक नेटवर्क से प्रभावित प्रणाली को अस्थायी रूप से अलग करने जैसे उपायों पर विचार करना चाहिए।

सिर्फ वर्डप्रेस थीम या प्लगइन अपडेट करना पर्याप्त नहीं हो सकता, क्योंकि ये कमजोरियां PHP के मूल इंजन से संबंधित हैं। होस्टिंग सर्वर पर PHP अपडेट होना भी जरूरी है। अपडेट के बाद संदिग्ध लॉगिन, असामान्य अनुरोधों और अनधिकृत बदलावों की जांच करना उपयोगी होगा।

PHP2Shell प्रकरण दिखाता है कि सॉफ्टवेयर की ऐसी कमजोरियां, जो वर्षों तक सामने नहीं आतीं, व्यापक डिजिटल सेवाओं के लिए बड़ा जोखिम बन सकती हैं। फिलहाल सबसे जरूरी कदम प्रभावित प्रणालियों को अपडेट करना और संभावित दुरुपयोग के संकेतों की जांच करना है।

अन्य ख़बरें !