इंटरनेट की दुनिया में हड़कंप, 10 साल पुराने PHP बग से वेबसाइट्स पर मंडराया बड़ा खतरा

PHP2Shell ने बढ़ाई डिजिटल सुरक्षा की चिंता

इंटरनेट की आधारशिला रखने वाली प्रोग्रामिंग भाषाओं में से एक PHP अब साइबर अपराधियों के निशाने पर है। हाल ही में सामने आया है कि इस भाषा में दो बेहद गंभीर सुरक्षा खामियां मौजूद हैं, जिन्हें सामूहिक रूप से PHP2Shell का नाम दिया गया है। यह समस्या इतनी व्यापक है कि यह एक दशक से भी ज्यादा पुराने सॉफ्टवेयर संस्करणों को प्रभावित कर सकती है। साइबर सुरक्षा क्षेत्र की दिग्गज कंपनी Wiz रिसर्च ने 21 अक्टूबर 2026 को इन खामियों का खुलासा किया, जिसने पूरी दुनिया में तकनीकी विशेषज्ञों को सतर्क कर दिया है।

वेबसाइट्स और ऑनलाइन शॉपिंग प्लेटफॉर्म्स के बैकएंड पर काम करने वाली यह तकनीक अब खुद एक सुरक्षा कवच के बजाय जोखिम का कारण बन गई है। इन खामियों का फायदा उठाकर हैकर्स सीधे सर्वर तक पहुंच बना सकते हैं, सेंसिटिव डेटा की चोरी कर सकते हैं और पूरे सिस्टम पर अपना नियंत्रण स्थापित कर सकते हैं। चिंताजनक बात यह है कि हैकर्स बिना अनुमति के सर्वर पर अपना खतरनाक कोड चला सकते हैं, जिससे वेबसाइट की पूरी अखंडता दांव पर लग जाती है।

क्या है PHP2Shell और क्यों है यह खतरनाक?

PHP एक अत्यंत लोकप्रिय सर्वर-साइड स्क्रिप्टिंग भाषा है। यह वेबसाइटों को यूजर से मिली जानकारी को प्रोसेस करने और डेटाबेस के साथ संवाद करने की अनुमति देती है। Wiz रिसर्च के अनुसार, PHP के कोर इंजन में दो महत्वपूर्ण सुरक्षा खामियां मिली हैं, जिन्हें तकनीकी भाषा में CVE-2026-109618 और CVE-2026-109619 के तौर पर सूचीबद्ध किया गया है। ये मेमोरी प्रबंधन से जुड़ी सुरक्षा कमजोरियां हैं।

इन खामियों का सबसे खतरनाक पहलू रिमोट कोड एक्जीक्यूशन की क्षमता है। इसका सीधा सा अर्थ यह है कि हमलावर कहीं दूर बैठकर भी प्रभावित सिस्टम में अपना कोड डाल सकता है और उसे संचालित कर सकता है। यदि किसी वेबसाइट के सर्वर पर यह कोड चल जाता है, तो वहां मौजूद हर तरह की जानकारी असुरक्षित हो जाती है। यह न केवल डेटा चोरी की समस्या खड़ी करता है, बल्कि पूरे सर्वर की कार्यप्रणाली को ठप करने की ताकत भी रखता है।

कौन सी वेबसाइट्स हैं निशाने पर?

यह खतरा किसी एक विशिष्ट वेबसाइट या किसी खास कंटेंट मैनेजमेंट सिस्टम (CMS) तक सीमित नहीं है, क्योंकि यह खामी सीधे PHP के कोर इंजन में मौजूद है। इसका मतलब है कि जो भी वेबसाइट PHP के उन प्रभावित संस्करणों का उपयोग कर रही है, वह खतरे में है। शोधकर्ताओं ने अपने परीक्षण के दौरान वर्डप्रेस, ड्रुपल और जूमला जैसे लोकप्रिय प्लेटफॉर्म्स पर इन हमलों को सफलतापूर्वक अंजाम देकर दिखाया है।

हालांकि, इसका यह मतलब बिल्कुल नहीं है कि इन प्लेटफॉर्म्स की अपनी कोडिंग में कोई कमी है। खतरा पूरी तरह से उस PHP संस्करण पर टिका है, जिस पर वे वेबसाइटें रन हो रही हैं। रिपोर्ट के अनुसार, PHP 5.4 जैसे पुराने संस्करण भी इस जोखिम की जद में हैं। जो संस्थाएं या कंपनियां लंबे समय से अपने सर्वर को अपडेट नहीं कर पाई हैं, उनके लिए यह खतरा और भी ज्यादा गंभीर हो जाता है। किसी वेबसाइट की सुरक्षा का निर्धारण केवल उसके प्लेटफॉर्म के नाम से नहीं, बल्कि उसके बैकएंड पर चल रहे PHP वर्जन और सुरक्षा पैच की स्थिति से होता है।

हैकर्स की नजरें किस तरह के डेटा पर हैं?

जब कोई हमलावर इन खामियों का सफलतापूर्वक उपयोग करता है, तो उसे सर्वर की मेमोरी में मौजूद सारी गोपनीय जानकारी का एक्सेस मिल सकता है। इसमें सबसे महत्वपूर्ण हैं पासवर्ड, ऑथेंटिकेशन टोकन और API की। ये वे चाबियां हैं जो अलग-अलग सॉफ्टवेयर सेवाओं को एक-दूसरे से जोड़ती हैं। यदि ये जानकारी गलत हाथों में पड़ती है, तो हैकर्स एक साथ कई अकाउंट्स और अन्य सिस्टम्स तक अपनी पहुंच बना सकते हैं।

इसके अलावा, सर्वर पर अपना कोड चलाने में सफल होने के बाद हमलावर वेबसाइट के डेटा में अनधिकृत बदलाव कर सकते हैं या सेवाओं को बाधित कर सकते हैं। इसलिए, सभी वेबसाइट प्रशासकों और डेवलपर्स को सलाह दी गई है कि वे बिना देरी किए अपने सिस्टम की सुरक्षा जांच करें और नवीनतम सुरक्षा अपडेट्स लागू करें।

आर्टिफिशियल इंटेलिजेंस की दोधारी तलवार

इस पूरी खोज प्रक्रिया में आर्टिफिशियल इंटेलिजेंस की भूमिका क्रांतिकारी रही है। Wiz रिसर्च ने खुलासा किया है कि जटिल मेमोरी दोषों को समझने और उनका विश्लेषण करने के लिए उन्नत AI मॉडल का उपयोग किया गया। शोध में Wiz Atlas, गूगल का Gemini 4 Argon और OpenAI का GPT-5.6 Sol जैसे उपकरणों का इस्तेमाल किया गया। इन टूल्स ने मैनुअल टेस्टिंग में लगने वाले हफ्तों के काम को कुछ ही घंटों में पूरा कर दिया और सुरक्षा पैच की टेस्टिंग को तेज कर दिया।

लेकिन AI का यह विकास एक नई चुनौती भी लेकर आया है। जिस तरह AI साइबर सुरक्षा विशेषज्ञों को कमजोरियां ढूंढने में मदद कर रहा है, उसी तरह अपराधी भी इसी तकनीक का उपयोग अपने हमलों को और अधिक घातक और सटीक बनाने के लिए कर रहे हैं। साइबर हमलों को अंजाम देने की प्रक्रिया अब और भी आसान हो गई है, जो सॉफ्टवेयर कंपनियों के लिए एक गंभीर चिंता का विषय है।

हमले के प्रयास पहले ही शुरू हो चुके थे

इस पूरे मामले में सबसे डरावना खुलासा अमेजन की तरफ से आया। कंपनी के MadPot थ्रेट इंटेलिजेंस सिस्टम ने यह पाया कि इन खामियों के बारे में सार्वजनिक रूप से जानकारी लीक होने से पहले ही हैकर्स इनका इस्तेमाल करने की कोशिश कर रहे थे। MadPot इंटरनेट से जुड़े सिस्टम्स पर संदिग्ध गतिविधियों पर नजर रखता है। हालांकि अमेजन ने यह स्पष्ट नहीं किया कि हैकर्स को इन गुप्त खामियों का पता पहले कैसे चला, लेकिन यह घटना साबित करती है कि इंटरनेट पर किसी भी गंभीर कमजोरी के सामने आने का इंतजार करना सुरक्षित नहीं है। डेवलपर्स को हर समय सतर्क रहने की जरूरत है।