टेक्नोलॉजी

पीएचपी (PHP) ने दो गंभीर 'PHP2Shell' आरसीई कमजोरियों के लिए जारी किए आपातकालीन पैच

30 Oct 2026, 07:33 AM IST · GlobeWire Daily Tech Desk · Source: thehackernews.com

चित्र: The Hacker News — Creative Commons

मुख्य बातें परिचय और पृष्ठभूमि पीएचपी (PHP) टीम ने भाषा के रनटाइम में मौजूद दो गंभीर सुरक्षा कमियों को दूर करने के लिए आपातकालीन अपडेट जारी किए हैं। इन कमियों को सामूहिक रूप से 'PHP2Shell' नाम दिया गया है। ये कमजोरियां किसी वेबसाइट के अपने कोड में नहीं, बल्कि सीधे पीएचपी इंजन में

परिचय और पृष्ठभूमि

पीएचपी (PHP) टीम ने भाषा के रनटाइम में मौजूद दो गंभीर सुरक्षा कमियों को दूर करने के लिए आपातकालीन अपडेट जारी किए हैं। इन कमियों को सामूहिक रूप से 'PHP2Shell' नाम दिया गया है। ये कमजोरियां किसी वेबसाइट के अपने कोड में नहीं, बल्कि सीधे पीएचपी इंजन में मौजूद हैं, जिससे बिना किसी अकाउंट के हमलावर को वेब सर्वर पर कोड चलाने की अनुमति मिल सकती है।

ये दोनों कमजोरियां सीवीएसएस (CVSS v4.0) स्केल पर 9.2 की उच्च रेटिंग रखती हैं और इन्हें CVE-2026-109618 तथा CVE-2026-109619 पहचानकर्ताओं (Identifiers) से सूचीबद्ध किया गया है। इन्हें Wiz, Calif और OpenAI के शोधकर्ताओं द्वारा खोजा गया था, और यह समस्या PHP 5.4 से लेकर लगभग सभी पुराने संस्करणों को प्रभावित करती है।

तकनीकी विवरण और प्रभाव

सुरक्षा सलाह के अनुसार, वेब अनुरोधों को पूरा करने वाला हर पीएचपी इंस्टॉलेशन खतरे में है, जिसमें PHP-FPM, Apache mod_php, php-cgi, FrankenPHP और LiteSpeed शामिल हैं। Apache mod_php का उपयोग करने वाले सर्वर सबसे अधिक जोखिम में हैं, क्योंकि वहां कोई भी एप्लिकेशन कोड चलने से पहले ही हमलावर एक अनधिकृत अनुरोध के माध्यम से सफल हमला कर सकते हैं। इसके अलावा, हमलावर बिना कोड निष्पादित किए सीधे पीएचपी वर्कर प्रक्रिया से मेमोरी भी पढ़ सकते हैं, जिसमें अन्य अनुरोधों से संबंधित पासवर्ड, टोकन और एपीआई कुंजियाँ शामिल हो सकती हैं।

व्यावहारिक निहितार्थ और क्या करें

पीएचपी डेवलपर्स और सर्वर प्रशासकों के लिए एकमात्र पूर्ण समाधान पीएचपी रनटाइम को अपडेट करना है। यह अपडेट PHP 8.5.12, 8.4.27, 8.3.36 और 8.2.35 संस्करणों में उपलब्ध कराया गया है। केवल वर्डप्रेस या किसी अन्य एप्लिकेशन को अपडेट करने से अंतर्निहित पीएचपी रनटाइम अपडेट नहीं होता है; इसके लिए सर्वर पैकेज या कंटेनर इमेज को अपडेट करना आवश्यक है।

क्या पुष्टि की गई है और क्या अज्ञात है

पुष्टि की गई बातें: क्लाउडफेयर (Cloudflare) और watchTowr जैसे सुरक्षा संगठनों ने सक्रिय शोषण प्रयासों (Active exploitation attempts) को देखा है, और कुछ संगठनों ने एहतियात के तौर पर अपनी सेवाएं अस्थायी रूप से ऑफलाइन भी कर ली हैं।
अज्ञात बातें: रिपोर्ट के अनुसार, किसी विशिष्ट सर्वर के सफल उल्लंघन (Successful break-in) की आधिकारिक पुष्टि किसी भी स्रोत द्वारा नहीं की गई है।

पाठक मूल घोषणा की जाँच कैसे कर सकते हैं

पाठक और सर्वर प्रशासक अधिक तकनीकी विवरण, आधिकारिक पैच और सुरक्षा सलाह की पुष्टि के लिए [The Hacker News की मूल रिपोर्ट](https://thehackernews.com/2026/10/php-issues-emergency-patches-for-two.html) पर जा सकते हैं।

संबंधित विषय

मूल स्रोत पढ़ें: PHP Issues Emergency Patches for Two Critical PHP2Shell RCE Flaws as Exploit Attempts Emerge

AI की सहायता से तैयार रिपोर्ट; मूल स्रोत के दावों की स्वतंत्र पुष्टि नहीं की गई है।