दुनियाभर में इंटरनेट की रीढ़ मानी जाने वाली प्रोग्रामिंग भाषा PHP में दो बेहद गंभीर सुरक्षा खामियों का खुलासा होने के बाद बुधवार और गुरुवार को वैश्विक स्तर पर अफरा-तफरी मच गई। कई देशों की सरकारी वेबसाइटें, बैंक, रेलवे और अन्य सेवाएं सावधानी के तौर पर ऑफलाइन कर दी गईं, जबकि कंपनियां और सरकारें पैच लगाने की होड़ में जुट गईं। साइबर सिक्योरिटी फर्म Cloudflare ने बताया कि खामियों के सार्वजनिक होने के बाद हैकर्स के लाखों हमले (एक्सप्लॉइट अटेम्प्ट्स) दर्ज किए गए।
क्या है PHP और क्यों इतनी बड़ी समस्या?
PHP (मूल रूप से Personal Home Page) एक ओपन-सोर्स सर्वर-साइड प्रोग्रामिंग भाषा है, जो दुनिया की लगभग 70 प्रतिशत वेबसाइटों को पावर देती है। WordPress, Drupal, Joomla जैसी लोकप्रिय प्लेटफॉर्म्स इसी पर चलती हैं। यह वेबसाइटों पर फॉर्म प्रोसेसिंग, डेटाबेस कनेक्शन और डायनामिक कंटेंट बनाने का काम करती है।
दो खामियां—CVE-2026-109618 और CVE-2026-109619—जिन्हें “php2shell” भी कहा जा रहा है, CVSS स्कोर 9.2 (अत्यधिक गंभीर) पर हैं। ये खामियां बिना लॉगिन या पासवर्ड के रिमोट कोड एग्जिक्यूशन (RCE) की अनुमति देती हैं। हमलावर सीधे सर्वर पर कमांड चला सकता है, डेटा चुरा सकता है या वेबसाइट पर कब्जा कर सकता है। खास बात यह है कि ये खामियां PHP के रनटाइम में हैं, इसलिए सिर्फ वेबसाइट का कोड या प्लगइन अपडेट करने से काम नहीं चलता—PHP वर्जन ही पैच करना पड़ता है। खामियां AI की मदद से खोजी गईं। Calif नाम की फर्म ने OpenAI के GPT मॉडल की मदद से एक खामी रिपोर्ट की, जबकि Alphabet की Wiz ने Google और OpenAI मॉडल का इस्तेमाल कर दूसरी खामी खोजी। Wiz ने इसे PHP इतिहास की सबसे गंभीर खामियों में बताया।
किन वेबसाइटों पर असर पड़ा?
यूरोप में सबसे ज्यादा असर दिखा। फिनलैंड सरकार ने सार्वजनिक वेब सेवाएं बंद कर दीं। नीदरलैंड्स ने अपनी साइबर सिक्योरिटी एजेंसी, संसद (Tweede Kamer) और स्वास्थ्य एजेंसी की वेबसाइटें ऑफलाइन कीं। फ्रांस के इंटीरियर मिनिस्ट्री ने स्थानीय प्रशासनिक साइटें बंद कीं। जर्मनी, बेल्जियम, चेक रिपब्लिक और कनाडा में भी कई सरकारी साइटें प्रभावित हुईं। ब्रिटेन में एडिनबर्ग काउंसिल और कुछ BBC पेज ऑफलाइन रहे।
एशिया में जापान ने तेज प्रतिक्रिया दी। प्रधानमंत्री सनाए ताकाइची ने सार्वजनिक चेतावनी जारी कर कंपनियों से PHP अपडेट करने या जरूरत पड़ने पर साइट बंद करने को कहा। जापान के वित्त मंत्रालय, मौसम विभाग, राष्ट्रीय कर एजेंसी और कुछ कंपनियों ने सेवाएं आंशिक रूप से निलंबित कीं। दक्षिण कोरिया ने आपातकालीन प्रतिक्रिया सक्रिय की, जबकि चीन ने संगठनों से तुरंत सिस्टम चेक करने की अपील की। ऑस्ट्रेलिया में भी कुछ सरकारी साइटें सावधानी के तौर पर बंद रहीं।
लाखों हैकिंग प्रयास
Cloudflare के CEO मैथ्यू प्रिंस ने बताया कि खुलासे से 10 घंटे पहले हजारों प्रयास दर्ज हुए। घोषणा के 45 मिनट में यह संख्या हजारों से बढ़कर, दो घंटे में सैकड़ों हजार और अब लाखों में पहुंच गई। Amazon Threat Intelligence ने भी जंगली (in-the-wild) एक्सप्लॉइटेशन की पुष्टि की। कई एजेंसियों ने चेतावनी दी कि अगर तुरंत पैच न लग सके तो सिस्टम को ऑफलाइन कर दें। अमेरिका की NSA, FBI, CISA, यूरोप की CERT-EU और ब्रिटेन की NCSC ने यही सलाह दी।
PHP ने 21 अक्टूबर को इमरजेंसी पैच जारी किए—वर्जन 8.5.12, 8.4.27, 8.3.36 और 8.2.35। PHP 8.1 और उससे पुराने वर्जन के लिए आधिकारिक फिक्स नहीं आया, जो बड़ी चिंता का विषय है क्योंकि लाखों साइटें अभी भी पुराने वर्जन पर चल रही हैं।
आगे क्या?
विशेषज्ञों का कहना है कि यह घटना AI की मदद से सॉफ्टवेयर कमजोरियों की खोज के नए युग को दर्शाती है। साथ ही यह दिखाती है कि इंटरनेट का कितना बड़ा हिस्सा एक भाषा पर निर्भर है। वेबसाइट मालिकों और होस्टिंग कंपनियों से अपील है कि तुरंत PHP अपडेट करें। आम यूजर्स को कुछ करने की जरूरत नहीं, लेकिन संगठनों को सतर्क रहना होगा। यह घटना साइबर सुरक्षा की नाजुकता को फिर से रेखांकित करती है। दुनियाभर की सरकारें और कंपनियां अब पैच लगाने और सिस्टम सुरक्षित करने में जुटी हैं।
यह भी पढ़ें: वाराणसी के गोदौलिया में 3 मंजिला बिल्डिंग में भीषण आग, 3 KM दूर दिखा धुआं
