दुनिया की बड़ी संख्या में वेबसाइटों को चलाने वाले सॉफ्टवेयर पीएचपी में मिली दो गंभीर खामियों से कोई हमलावर बिना पासवर्ड के वेबसाइट के सर्वर पर कब्जा कर सकता है. सुरक्षा फर्म विज ने इन खामियों को PHP2Shell नाम दिया है. 21 अक्टूबर को आपात पैच जारी किया गया और उसी दिन शोषण की कोशिशों की रिपोर्ट भी सामने आई. जिन वेबसाइट मालिकों ने अब तक अपडेट नहीं किया है, उनसे तुरंत पैच लगाने को कहा जा रहा है.

PHP2Shell क्या है

PHP2Shell कोई एक बग नहीं है. यह नाम विज रिसर्च ने पीएचपी के कोर कोड में मिली दो जुड़ी हुई मेमोरी सुरक्षा खामियों को दिया है, जिन्हें कैलिफ और आधुनिक एआई मॉडलों की मदद से खोजा गया और अगस्त 2026 में पीएचपी प्रोजेक्ट को निजी तौर पर बताया गया. ओपनएआई ने बाद में कहा कि कैलिफ के शोधकर्ताओं ने उसके पैच द प्लैनेट कार्यक्रम के तहत उसके टूल का इस्तेमाल किया था और उसने फिक्स की जांच करने तथा बुनियादी ढांचा प्रदाताओं के साथ प्रतिक्रिया का समन्वय करने में मदद की. दोनों खामियों की गंभीरता 10 में से 9.2 आंकी गई है.

पहली खामी, CVE-2026-109618, पीएचपी के सेशन अपलोड प्रोग्रेस को संभालने के तरीके में है. दूसरी खामी, CVE-2026-109619, एरर हैंडलिंग और पीएचपी साइटों की रफ्तार बढ़ाने वाले ओपीकैश सिस्टम से जुड़ी है. दोनों मामलों में समस्या तब शुरू होती है जब किसी रिक्वेस्ट के बीच में पीएचपी की मेमोरी खत्म हो जाती है या गंभीर एरर आ जाता है और अंदरूनी पुराना डेटा पीछे छूट जाता है, जिसका गलत इस्तेमाल बाद वाली रिक्वेस्ट कर सकती है.

हमला कैसे काम करता है, आसान शब्दों में

रिमोट कोड एक्जिक्यूशन, जिसे छोटे में आरसीई कहा जाता है, का मतलब है कि हमलावर दूर बैठे कंप्यूटर से अपनी पसंद के कमांड चलवा सकता है, मानो वह उसी के कीबोर्ड पर बैठा हो. यूज आफ्टर फ्री खामी का मतलब है कि कोई प्रोग्राम मेमोरी के उस हिस्से का इस्तेमाल करता रहता है जिसे खाली करके वापस लौटा दिया गया हो, इसलिए उसमें रखा डेटा भरोसे लायक नहीं रहता. PHP2Shell इन्हीं कमजोरियों को जोड़कर हमला बनाता है.

असल में हमलावर पहले एक खास तरह से बनाई गई रिक्वेस्ट भेजता है जो सर्वर को एरर में धकेल देती है, फिर दूसरी रिक्वेस्ट भेजकर पीएचपी को बचे हुए डेटा को सही मानने पर मजबूर करता है. विज ने ताजा वर्डप्रेस, ड्रूपल और जूमला इंस्टॉलेशन पर बिना लॉगिन वाले काम करते हमले दिखाए हैं. सेशन वाली खामी सर्वर की मेमोरी भी लीक कर सकती है, जिसमें साइट के या उस समय साइट इस्तेमाल कर रहे लोगों के पासवर्ड, लॉगिन टोकन, एपीआई की और सर्टिफिकेट हो सकते हैं.

साधारण वेबसाइट भी खतरे में क्यों है

खामी पीएचपी में है, उस पर बनी किसी एक ऐप में नहीं. विज का कहना है कि प्रभावित पीएचपी वर्जन पर चलने वाला साधारण हैलो वर्ल्ड पेज भी कमजोर कोड पर ही चलता है, क्योंकि कमजोरी इस बात में है कि पीएचपी रिक्वेस्ट, एरर और मेमोरी को कैसे संभालता है, इसमें नहीं कि वेबसाइट क्या करती है.

विज के अनुसार पिछले दस साल का हर पीएचपी वर्जन, पीएचपी 5.4 तक, दोनों में से कम से कम एक खामी से प्रभावित है. खतरे का आकार स्कैन से भी दिखता है: मोडैट ने करीब 18.8 लाख होस्ट पर 43.8 लाख से ज्यादा पीएचपी सेवाएं गिनीं और बड़ा हिस्सा पुराने, असमर्थित वर्जन पर था, जिनमें पीएचपी 7.4 सबसे बड़ा समूह था. असमर्थित वर्जन को आधिकारिक फिक्स नहीं मिलेगा.

21 अक्टूबर को पैच जारी, उसी दिन शोषण की रिपोर्ट

पीएचपी प्रोजेक्ट ने अपने सामान्य कार्यक्रम से हटकर 21 अक्टूबर 2026 को ठीक किए गए वर्जन जारी किए: पीएचपी 8.2.35, 8.3.36, 8.4.27 और 8.5.12. खामियों की तकनीकी जानकारी रिलीज से पहले ही लीक हो गई थी, जिससे वेबसाइट मालिकों को तैयारी का समय कम मिला.

कई साइटों के अपडेट करने से पहले ही शोषण की खबरें आईं. पैचस्टैक ने कहा कि 21 अक्टूबर को 07:34 यूटीसी पर उसे होस्टिंग साझेदारों से सक्रिय शोषण की घटनाओं की रिपोर्ट मिली, और क्लाउडफ्लेयर के मुख्य प्रौद्योगिकी अधिकारी डेन नेच्ट ने शुरुआती हमलों की जानकारी दी, जिसके बाद क्लाउडफ्लेयर ने अपने ग्राहकों के लिए वेब एप्लिकेशन फायरवॉल सुरक्षा चालू की. सफल सेंध का पूरा आंकड़ा अभी तय नहीं है, इसलिए इन रिपोर्टों को शोषण की गतिविधि की रिपोर्ट के रूप में पढ़ा जाए, सेंध लगी साइटों की पुष्ट संख्या के रूप में नहीं. थ्रेट इंटेलिजेंस फर्म वॉचटावर, जो वास्तविक हमलों के प्रयास भी देख रही थी, ने उस समय कहा कि तब तक कोई हमलावर सफल नहीं हुआ था, साथ ही यह भी कहा कि उसे उम्मीद नहीं है कि यह स्थिति लंबे समय तक रहेगी.

वेबसाइट मालिक अभी क्या करें

पैच ही एकमात्र पूरा इलाज है. मालिक अपने सर्वर का पीएचपी वर्जन जांचें या होस्टिंग प्रदाता से पूछें और 8.2.35, 8.3.36, 8.4.27 या 8.5.12 या उससे आगे के वर्जन पर जाएं. पीएचपी 8.1 या उससे नीचे चल रही साइटों को पहले समर्थित वर्जन पर जाना होगा, क्योंकि जीवनचक्र खत्म हो चुके वर्जन के लिए पैच नहीं आएगा.

बचाव करने वालों को चेतावनी के संकेतों पर नजर रखने को भी कहा गया है: असामान्य मल्टीपार्ट रिक्वेस्ट के बाद मेमोरी लिमिट एरर या बार बार 500 एरर, खराब PHPSESSID कुकीज, और पीएचपी वर्कर प्रोसेस का बार बार रीस्टार्ट होना. अगर कोई साइट संवेदनशील डेटा संभालती थी और बिना पैच के खुली रही, तो मालिकों को यह भी जांचना चाहिए कि हमलावर पहले ही अंदर तो नहीं घुसा, सिर्फ पैच लगाकर निश्चिंत नहीं होना चाहिए.

आगे क्या होगा

सार्वजनिक प्रूफ ऑफ कॉन्सेप्ट कोड पहले से घूम रहा है, हालांकि शोधकर्ताओं का कहना है कि कुछ शुरुआती प्रूफ उस सिद्धांत पर आधारित हैं जो बाद में गलत साबित हुआ, इसलिए हर प्रकाशित एक्सप्लॉइट दावा किए गए तरीके से काम नहीं करता. लेकिन काम करते हमले दिखाए जा चुके हैं और आने वाले दिनों में कमजोर सर्वरों की तलाश जारी रहने की उम्मीद है. होस्टिंग कंपनियों, पीएचपी प्रोजेक्ट और शोषण पर नजर रखने वाली सुरक्षा फर्मों से आगे की जानकारी आने पर यह खबर अपडेट की जाएगी.