मुख्य बातें
- क्रिप्टो समाचार इसमें Binance के संस्थापक चांगपेंग झाओ की ओर से दो गंभीर PHP कमज़ोरियों (vulnerabilities) पर चेतावनी शामिल है।
- कमजोरी के विवरण ऑनलाइन लीक होने के बाद PHP डेवलपर्स ने सुरक्षा पैच को 21 अक्टूबर तक आगे बढ़ा दिया।
- शोधकर्ताओं ने शोषण (exploitation) के प्रयासों का पता लगाया है, लेकिन कोई पुष्टि वॉलेट या एक्सचेंज घटनाएँ इन कमियों से जुड़ी हैं।
Binance के संस्थापक चांगपेंग झाओ द्वारा दो गंभीर PHP कमज़ोरियों के बारे में उपयोगकर्ताओं को चेतावनी देने के बाद क्रिप्टो समाचारों ने वेबसाइट सुरक्षा पर ध्यान आकर्षित किया। 22 अक्टूबर को, उन्होंने आने वाले दिनों में ब्राउज़ करते समय सावधानी बरतने का आग्रह किया।
ये कमियाँ हमलावरों को बिना प्रमाणीकरण (authentication) के कमज़ोर सर्वर पर कोड निष्पादित करने की अनुमति दे सकती हैं। प्रभावित इंस्टॉलेशन में सपोर्ट WordPress, Magento, Drupal और Joomla सहित प्लेटफ़ॉर्म शामिल हैं।
नियोजित खुलासे से पहले जानकारी लीक होने के बाद डेवलपर्स ने 21 अक्टूबर को आपातकालीन पैच जारी किए। शोधकर्ताओं ने शोषण के प्रयासों का पता लगाया है, जबकि कुछ प्रशासकों को अभी भी अपने सिस्टम को अपडेट करने की आवश्यकता हो सकती है। कोई पुष्टि क्रिप्टोकरेंसी एक्सचेंजों या उपयोगकर्ता वॉलेट से जुड़ी कोई भी घटना सीधे तौर पर हाल ही में सामने आई कमज़ोरियों से नहीं जुड़ी है।
क्रिप्टो समाचार चेतावनी बिना पैच वाली वेबसाइटों के जोखिमों को उजागर करती है
चांगपेंग झाओ ने अपनी क्रिप्टो समाचार चेतावनी को उन वेबसाइट प्रशासकों से जोड़ा जिन्होंने नवीनतम सुरक्षा अपडेट इंस्टॉल नहीं किए होंगे। उनकी चेतावनी उन वेबसाइटों के संबंध में थी जिन्हें हमलावर कमज़ोर PHP इंस्टॉलेशन के माध्यम से खतरे में डाल सकते थे।
PHP दुनिया भर में लाखों वेबसाइटों पर चलता है। ये कमियाँ सर्वर बुनियादी ढाँचे (infrastructure) को प्रभावित करती हैं, जिनका उपयोग हमलावर संवेदनशील जानकारी तक पहुँचने या सामग्री को संशोधित करने के लिए कर सकते हैं।
क्रिप्टो समाचार पाठकों के लिए, यह अंतर इस बात से जुड़ा है कि हमला कहाँ से शुरू होता है। PHP वेबसाइट पर जाने से कोई डिवाइस या क्रिप्टोकरेंसी वॉलेट अपने आप खतरे में नहीं पड़ता है।
हालांकि, सर्वर को नियंत्रित करने वाले हमलावर लॉगिन पेज बदल सकते हैं या फर्जी वॉलेट कनेक्शन अनुरोध पेश कर सकते हैं। परिणामी जोखिम उनके द्वारा प्राप्त की गई पहुँच पर निर्भर करेगा।
Binance के संस्थापक ने क्रिप्टोकरेंसी उपयोगकर्ताओं को लक्षित करने वाले फ़िशिंग अभियानों की पृष्ठभूमि में अपनी चेतावनी जारी की। पिछली रिपोर्टों में रिकवरी वाक्यांशों की तलाश करने वाली नकली Ledger वेबसाइटों और से कमज़ोर बुनियादी ढाँचे के माध्यम से वितरित Trezor फ़िशिंग ईमेल का वर्णन किया गया था।
इनमें से कोई भी घटना हाल ही में सामने आई PHP कमियों से कोई संबंध स्थापित नहीं करती है।
गंभीर PHP कमियों ने त्वरित सुरक्षा रिलीज़ को ट्रिगर किया
PHP फाउंडेशन ने इन कमज़ोरियों की पहचान CVE-2026-109618 और CVE-2026-109619 के रूप में की है। दोनों को 10 में से 9.2 का गंभीरता स्कोर प्राप्त हुआ।
पहला मामला कुछ ऑपरेशनों के दौरान PHP के अपनी कॉन्फ़िगर की गई मेमोरी सीमा तक पहुँचने पर मेमोरी करप्शन से जुड़ा है। विशिष्ट परिस्थितियों में, आंशिक रूप से प्रारंभ किए गए डेटा को गलत तरीके से संभालने से अनधिकृत कोड निष्पादन की अनुमति मिल सकती है।
दूसरा मामला PHP द्वारा संबंधित मेमोरी जारी करने के बाद भी आंतरिक संदर्भों के सुलभ बने रहने से जुड़ा है। शोधकर्ताओं ने प्रभावित सर्वर पर चलने वाले अनुप्रयोगों के खिलाफ कोड निष्पादन का प्रदर्शन किया।
फाउंडेशन पुष्टि mod_php का उपयोग करने वाले डिफ़ॉल्ट Apache कॉन्फ़िगरेशन के तहत शोषण। शोधकर्ताओं ने PHP-FPM से जुड़े हमलावर रास्तों को भी प्रदर्शित किया।
डेवलपर्स ने 21 अक्टूबर को PHP संस्करण 8.2.35, 8.3.36, 8.4.27 और 8.5.12 जारी किए। आधिकारिक सलाह में तत्काल अपडेट का आग्रह किया गया क्योंकि अस्थायी सुरक्षा उपाय जोखिम को पूरी तरह से समाप्त नहीं कर सके।
असमर्थित PHP शाखाएँ होस्टिंग प्रदाताओं या सॉफ़्टवेयर विक्रेताओं से अलग सुधारों पर निर्भर हो सकती हैं।
समन्वित खुलासे से पहले लीक के बाद क्रिप्टो समाचार चेतावनी
कमजोरी के पहचानकर्ता 20 अक्टूबर को फ़อ럼 और सोशल मीडिया पर दिखाई दिए। उन पोस्ट में 10.0 का गलत गंभीरता स्कोर और एक गलत रिलीज़ शेड्यूल था।
शुरुआती लीक में कोई तकनीकी शोषण निर्देश नहीं था। क्रिप्टो समाचार चेतावनी एक ऐसी खुलासा प्रक्रिया के बाद आई जो आगे की सामग्री से बाधित हुई थी सर्कुलेटिंग ऑनलाइन।
सुरक्षा कंपनी Calif ने बाद में गलती से एक प्रूफ-ऑफ़-कांसेप्ट वीडियो प्रकाशित कर दिया। इसे हटाने के बाद प्रतियां प्रसारित हुईं, और शोधकर्ताओं ने अतिरिक्त शोषण प्रदर्शन विकसित किए।
PHP टीम ने अपने निर्धारित 22 अक्टूबर के रिलीज़ को एक दिन आगे बढ़ा दिया। इससे सॉफ़्टवेयर वितरकों को अपडेट तैयार करने का समय मिल गया, जबकि उस अवधि को सीमित कर दिया गया जब उपलब्ध पैच के बिना तकनीकी विवरण प्रसारित हुए थे। फाउंडेशन ने समन्वित खुलासे से छह घंटे से अधिक पहले पैच किए गए सॉफ़्टवेयर इमेज जारी करने के लिए Chainguard की भी आलोचना की।
इसमें कहा गया कि हमलावर सार्वजनिक घोषणा से पहले उन बदलावों की जाँच कर सकते थे। Cloudflare ने OpenAI, Wiz और अन्य संगठनों के शोधकर्ताओं के साथ मिलकर खुलासे से पहले फ़ायरवॉल सुरक्षा तैनात की।
Cloudflare ने इन कमजोरियों को PHP2Shell कहा और दूरस्थ कोड निष्पादन, सेवा व्यवधान और संवेदनशील डेटा जोखिम सहित जोखिमों की पहचान की।
कैनेडियन सेंटर फॉर साइबर सिक्योरिटी ने इंटरनेट-सामने आने वाले PHP एप्लिकेशन चलाने वाले संगठनों से आग्रह किया कि वे संवेदनशील इंस्टॉलेशन की पहचान करें और उपलब्ध अपडेट लागू करें।
