अगर आपकी कंपनी की वेबसाइट या ऑनलाइन स्टोर WordPress, Magento, Laravel या PHP पर बने किसी और सिस्टम पर चलता है, तो आज ही अपने होस्टिंग प्रदाता या तकनीकी टीम से PHP को वर्शन 8.5.12, 8.4.27, 8.3.36 या 8.2.35 पर अपडेट करने और फिर सर्वर रीस्टार्ट करने को कहें। PHP प्रोजेक्ट ने ये वर्शन 21 अक्टूबर 2026 को जारी किए, ताकि PHP2Shell नाम की दो गंभीर खामियां बंद की जा सकें। दोनों को 10 में से 9.2 रेटिंग मिली है, और ये किसी हमलावर को बिना किसी पासवर्ड के आपके सर्वर पर कमांड चलाने देती हैं। सऊदी अरब के राष्ट्रीय साइबर सुरक्षा प्राधिकरण (NCA) ने उसी दिन अपडेट की सलाह देते हुए «गंभीर» स्तर की चेतावनी जारी की, और सुरक्षा कंपनियों ने फिक्स जारी होने से कुछ घंटे पहले ही हमले की कोशिशें देखीं।

असल में क्या हुआ?

दोनों खामियां CVE-2026-109618 और CVE-2026-109619 हैं, और ये किसी प्लगइन या थीम में नहीं, बल्कि PHP भाषा में ही हैं। यही सबसे बड़ा फर्क है: हमलावरों का नक्शा बन गए WordPress फिक्स पर हमारे पिछले लेख में खराबी PHP के ऊपर चलने वाले सॉफ्टवेयर में थी। यहां खराबी उस नींव में है जिस पर वह सारा सॉफ्टवेयर टिका है। इसलिए अपडेटेड WordPress या कम प्लगइन होना आपको नहीं बचाता।

PHP की पहली सुरक्षा एडवाइजरी के अनुसार, पहली खामी तब सामने आती है जब किसी रिक्वेस्ट की तैयारी के दौरान मेमोरी खत्म हो जाती है, और PHP आधा-अधूरा डेटा छोड़ देता है जिसे बाद में वह सही मान लेता है। दूसरी एडवाइजरी के अनुसार, दूसरी खामी पिछली रिक्वेस्ट का डेटा मुक्त किए जाने के बाद भी उसे लटका छोड़ देती है, और उसी प्रोसेस की अगली रिक्वेस्ट उसका इस्तेमाल कर लेती है। दोनों मामलों में नतीजा एक ही है: सावधानी से बनाई गई एक वेब रिक्वेस्ट सर्वर पर कमांड चलाने के लिए काफी है।

Wiz Research ने AI मॉडलों की मदद से ये खामियां खोजीं। उसकी रिपोर्ट कहती है कि टीम ने इन्हें 19 अगस्त 2026 को खोजा, 24 अगस्त को PHP टीम को बताया, और 5.4 से अब तक का हर PHP वर्शन इनमें से कम से कम एक से प्रभावित है। Wiz का अनुमान है कि करीब 70% वेबसाइटें PHP पर चलती हैं।

क्या मेरी साइट प्रभावित है?

अगर वह PHP पर चलती है और उसका वर्शन ऊपर बताए वर्शनों से पुराना है, तो ज्यादा संभावना है कि हां। Wiz ने डिफॉल्ट सेटअप वाले WordPress, Drupal और Joomla पर बिना लॉगिन के रिमोट कोड चलाकर दिखाया। Sansec ने अपने विश्लेषण में सूची को 11 प्लेटफॉर्म तक बढ़ाया, जिनमें Magento 2.4.9, WordPress 7.1.2, Laravel 13.11, Symfony 8.1, phpMyAdmin, Nextcloud और WHMCS शामिल हैं।

अपना PHP वर्शन जानने के लिए होस्टिंग पैनल (cPanel, Plesk या ऐसा ही कोई) खोलें और «PHP Version» देखें, या अपनी टीम से पूछें। दो बातों का ध्यान रखें:

  • वर्शन 8.1 और उससे पुराने अब सपोर्ट में नहीं हैं और उन्हें कोई फिक्स नहीं मिलेगा। PHP की सपोर्टेड वर्शन तालिका के अनुसार, अभी केवल 8.2, 8.3, 8.4 और 8.5 ब्रांच सपोर्ट में हैं।
  • खुद 8.2 ब्रांच का सुरक्षा सपोर्ट 31 दिसंबर 2026 को, यानी ढाई महीने बाद, खत्म हो जाएगा। अगर आप अभी अपडेट कर रहे हैं, तो 8.4 या 8.5 पर जाएं और जल्द ही दूसरे अपग्रेड से बचें।

आज क्या करें: पांच कदम

  1. पता करें कि PHP कहां-कहां चलता है। वेबसाइट, स्टोर, एडमिन पैनल, और कोई भी आंतरिक सिस्टम या ग्राहक पोर्टल। कई कंपनियां किसी पुरानी साइट को भूल जाती हैं जो अब भी ऑनलाइन है।
  2. ठीक किए गए वर्शन पर अपडेट करें। 8.5.12, 8.4.27, 8.3.36 या 8.2.35। शेयर्ड होस्टिंग पर अपने प्रदाता से लिखित में पूछें: क्या आपने 21 अक्टूबर का अपडेट लागू किया है?
  3. अपडेट के बाद PHP रीस्टार्ट करें। PHP एडवाइजरी बताती है कि जिस प्रोसेस को रीस्टार्ट नहीं किया गया वह पुराने कोड पर ही चलता रहता है, इसलिए केवल अपडेट डाउनलोड करना काफी नहीं है।
  4. अगर आपकी साइट 8.1 या उससे पुराने वर्शन पर है, तो इसी हफ्ते अपग्रेड की योजना बनाएं और पहले किसी स्टेजिंग कॉपी पर जांचें, क्योंकि कुछ पुराने प्लगइन काम करना बंद कर सकते हैं।
  5. लॉग जांचें। Wiz सलाह देता है कि असामान्य अपलोड रिक्वेस्ट के बाद आने वाली मेमोरी खत्म होने की त्रुटियां, बार-बार आने वाली HTTP 500 त्रुटियां, या बहुत बड़ी या बिगड़ी हुई सेशन कुकी (PHPSESSID) खोजें।

अगर आज अपडेट नहीं कर सकते

PHP एडवाइजरी कुछ अस्थायी उपाय सुझाती हैं जो जोखिम घटाते हैं, पर अपडेट की जगह नहीं लेते: session.upload_progress.enabled को 0 करके बंद करें और सभी प्रोसेस रीस्टार्ट करें, और वर्शन 8.5 पर fatal_error_backtraces को 0 करें। अगर आपकी साइट कभी फाइल अपलोड नहीं लेती, तो फ्रंट-एंड सर्वर पर multipart रिक्वेस्ट भी ब्लॉक कर सकते हैं।

अगर आपकी साइट Cloudflare के पीछे है, तो कंपनी अपने ब्लॉग में कहती है कि उसने 21 अक्टूबर को UTC 3:02 से इन खामियों के लिए फायरवॉल नियम लागू किए, यानी खुलासे से करीब 9 घंटे पहले, और फ्री समेत सभी प्लान पर। लेकिन Cloudflare खुद सलाह देता है कि इस सुरक्षा के बावजूद PHP अपडेट करें, क्योंकि हमलावर लगातार अपने तरीके बदल रहे हैं।

Origami की राय

यह खामी याद दिलाती है कि वेबसाइट की सुरक्षा WordPress और उसके प्लगइन अपडेट करने पर खत्म नहीं होती। हर साइट के नीचे एक प्रोग्रामिंग भाषा, एक सर्वर और सेटिंग्स होती हैं, और इन सब पर किसी की नजर होनी चाहिए। कंपनियों में हम अक्सर देखते हैं कि साइट सालों पहले बनी, और अब किसी को नहीं पता कि वह किस PHP वर्शन पर चलती है या उसे अपडेट करने की पहुंच किसके पास है। अगर आपकी स्थिति ऐसी है, तो सवाल अब «क्या अपडेट करें?» नहीं, बल्कि «आज अपडेट कौन करेगा?» है। Origami में हम वेबसाइटें और सिस्टम बनाते हैं और पहले दिन से उनके अपडेट पर नजर रखते हैं। अगर आप अपनी साइट जंचवाना या बिना रुकावट PHP अपग्रेड करवाना चाहते हैं, तो हमसे संपर्क करें.

स्रोत