उत्तरप्रकाशित24 स्रोत
PHP2Shell संकट में क्या हुआ: AI-सहायता से खोजी गई खामियों से लेकर आपातकालीन पैच तक
CVE 2026 109618 और CVE 2026 109619 से प्रभावित PHP सर्वर पर बिना लॉगिन के रिमोट कोड चलाए जाने का खतरा था। दोनों खामियों की CVSS v4.0 रेटिंग 9.2 थी। [9][10] Calif ने OpenAI के Patch the Planet कार्यक्रम के तहत GPT 5.6 Sol की मदद से खामियां खोजीं; Wiz ने स्वतंत्र जांच की और अपनी खोज में Wiz Atlas, Gemini 4 Argon और GP...
प्रकाशितकर्ताGPT-6 Luna से संपादितGPT Image 2 से चित्र बनाए गए
शोध उत्तर
मुख्य निष्कर्ष
- CVE 2026 109618 और CVE 2026 109619 से प्रभावित PHP सर्वर पर बिना लॉगिन के रिमोट कोड चलाए जाने का खतरा था। दोनों खामियों की CVSS v4.0 रेटिंग 9.2 थी। [9][10]
- Calif ने OpenAI के Patch the Planet कार्यक्रम के तहत GPT 5.6 Sol की मदद से खामियां खोजीं; Wiz ने स्वतंत्र जांच की और अपनी खोज में Wiz Atlas, Gemini 4 Argon और GPT 5.6 Sol का इस्तेमाल किया। [6][18][21]
- 20 अक्टूबर को जानकारी समय से पहले सार्वजनिक होने के बाद PHP ने 21 अक्टूबर को आपातकालीन अपडेट जारी किए। करोड़ों संभावित रूप से प्रभावित इंटरनेट एक्सपोज़्ड इंस्टेंस का अनुमान था, लेकिन इसे सफल सेंधमारी का प्रमाण नहीं मा...
AI संकेत
openai.comCreate a landscape editorial hero image for this Studio Global article: What happened during the October 2026 PHP2Shell security crisis, including the AI assisted discovery of CVE 2026 109618 and CVE 2026 109619. Article summary: PHP2Shell prompted emergency PHP security releases on October 21, 2026, after early disclosure disrupted the planned October 22 release; the two flaws could allow unauthenticated remote code execution.. Topic tags: general web, openai, prompt engineering, ai, code. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numb
अक्टूबर 2026 में PHP के मूल रनटाइम में मिली दो गंभीर कमजोरियों ने वेबसाइट चलाने वाली टीमों के सामने तुरंत एक व्यावहारिक सवाल खड़ा कर दिया: उनके सर्वर पर कौन-सा PHP संस्करण चल रहा है, और उसे कितनी जल्दी अपडेट किया जा सकता है? PHP2Shell नाम से जानी गई इन खामियों से हमलावर को बिना लॉगिन किए सर्वर पर कोड चलाने का रास्ता मिल सकता था। 5
9
हालांकि, खतरे का बड़ा दायरा और सफल हमलों की पुष्टि अलग-अलग बातें हैं। उपलब्ध रिपोर्टें आपातकालीन पैच और संभावित शोषण के प्रयासों की पुष्टि करती हैं, लेकिन व्यापक सफल सेंधमारी का ठोस प्रमाण नहीं देतीं।
AI की मदद से खोज, PHP की दो अलग कमजोरियां
रिपोर्टों के मुताबिक, सुरक्षा फर्म Calif ने अगस्त में OpenAI के Patch the Planet कार्यक्रम के तहत खामियों की खोज की। Wiz ने भी स्वतंत्र रूप से जांच की। रिपोर्टों में Calif की खोज के साथ GPT-5.6 Sol का नाम आता है; Wiz की जांच में Wiz Atlas, Gemini 4 Argon और GPT-5.6 Sol के इस्तेमाल का भी उल्लेख है। 6
18
21
दोनों कमजोरियां PHP के अपने रनटाइम में थीं—किसी एक वेबसाइट के प्लगइन या थीम में नहीं। CVE-2026-109618 का संबंध मेमोरी खत्म होने की स्थिति में होने वाली गड़बड़ी से था, जबकि CVE-2026-109619 पुराने ग्लोबल स्टेट के बने रहने से जुड़ी थी। दोनों से रिमोट कोड एक्जीक्यूशन (RCE)—यानी दूर बैठे हमलावर द्वारा सर्वर पर कोड चलाने—का खतरा पैदा हो सकता था। 7
9
दोनों को CVSS v4.0 पर 9.2 रेटिंग मिली। यह गंभीरता का संकेत है, लेकिन अपने-आप में यह नहीं बताती कि हर प्रभावित सर्वर पर हमला सफल होगा। 9
10
समय से पहले खुलासा और एक दिन पहले जारी पैच
PHP2Shell का सार्वजनिक खुलासा 20 अक्टूबर को हुआ। पैच मूल रूप से 22 अक्टूबर के लिए तय थे, लेकिन जानकारी पहले सामने आने के बाद PHP ने 21 अक्टूबर को अपडेट जारी कर दिए। 18
24 फिक्स किए गए संस्करण थे PHP 8.5.12, 8.4.27, 8.3.36 और 8.2.35।
15
ये अपडेट वेब अनुरोध संभालने वाले PHP इंस्टॉलेशन के लिए थे—मसलन PHP-FPM, Apache का mod_php और php-cgi। PHP टीम ने प्रभावित सिस्टम को जल्द अपडेट करने की सलाह दी। 5
इन आधिकारिक रिलीज़ में PHP 8.1 और उससे पुराने संस्करण शामिल नहीं थे; ये शाखाएं अब PHP परियोजना से नियमित सुरक्षा अपडेट नहीं पातीं। कुछ Linux डिस्ट्रिब्यूशन या दीर्घकालिक समर्थन देने वाले विक्रेता अलग से बैकपोर्टेड फिक्स दे सकते हैं, इसलिए पुराने संस्करण चलाने वालों को अपने विक्रेता की सलाह जांचनी चाहिए।
कितने सिस्टम जोखिम में थे—और क्या हमले सफल हुए?
एक अनुमान के मुताबिक PHP वेब के करीब 70% हिस्से में इस्तेमाल होता है। Palo Alto Networks ने 22.6 मिलियन से अधिक इंटरनेट पर खुले इंस्टेंस की पहचान की, जो PHP2Shell से संभावित रूप से प्रभावित हो सकते थे। ये आंकड़े संभावित एक्सपोज़र बताते हैं, पुष्टि किए गए संक्रमण या सफल हैक नहीं। 23
Amazon Threat Intelligence ने अपने MadPot हनीपॉट में 17 अक्टूबर—यानी सार्वजनिक खुलासे से चार दिन पहले—एक शोषण प्रयास देखने की बात कही। रिपोर्टों में खुलासे के आसपास और प्रयासों का भी जिक्र है। हनीपॉट में दिखा प्रयास यह साबित नहीं करता कि किसी वास्तविक उत्पादन सर्वर पर सेंध सफल हुई। 4
6
Sansec ने 22 अक्टूबर को अपना आकलन अपडेट करते हुए कहा कि बड़े पैमाने पर शोषण की आशंका उतनी नहीं दिख रही थी जितनी उसने पैच जारी होने के दिन सोची थी। इसलिए प्रयासों, तकनीकी प्रदर्शन और पुष्टि की गई सफल सेंधमारी को एक ही श्रेणी में नहीं रखना चाहिए। 10
सरकारों और सेवा प्रदाताओं की सलाह
अमेरिका की NSA ने संगठनों को PHP पर निर्भर सेवाओं की सूची बनाने और विक्रेता के पैच को प्राथमिकता देने की सलाह दी। CISA ने भी तुरंत अपडेट करने को कहा; Google, AWS और Microsoft ने अपने ग्राहकों के लिए मार्गदर्शन जारी किया। 3
17
18
मुख्य व्यावहारिक कदम था—अपने वेब सर्वरों और PHP इंस्टॉलेशन की पहचान करना, उपयुक्त फिक्स लगाना और यह देखना कि अपडेट संबंधित विक्रेता तक पहुंचा है या नहीं। केवल इंटरनेट पर खुले होने के आधार पर यह मान लेना सही नहीं कि हर सिस्टम पहले ही हैक हो चुका था। 17
18
23 अक्टूबर की अतिरिक्त चेतावनी
23 अक्टूबर को PHP ने CVE-2026-115560 नाम की एक अलग और कम संभावित RCE स्थिति के बारे में चेताया। यह असामान्य session settings के मेल पर निर्भर थी। अगली नियमित bugfix रिलीज़ तक PHP ने session.upload_progress.enabled=0 रखने की सलाह दी। PHP के मार्गदर्शन के अनुसार, जो एप्लिकेशन runtime में serialization handler नहीं बदलते, वे इस सुविधा को चालू रख सकते हैं। 19
कुछ दावे जिनकी पूरी पुष्टि नहीं हुई
कुछ रिपोर्टों में कहा गया कि PHP Foundation को 2024 में समस्या के संकेत मिले थे। मगर उपलब्ध जानकारी से यह स्थापित नहीं होता कि संगठन के संसाधनों की कमी ने देरी कराई, या पूरे सुधार-इतिहास में क्या-क्या हुआ। इसी तरह, उपलब्ध स्रोत OpenAI के कथित PHP version checker या Daybreak से जुड़ी 1 अरब डॉलर की सब्सिडी प्रतिबद्धता की पुष्टि नहीं करते। 21
उसी अवधि में अन्य सुरक्षा घटनाएं भी खबरों में थीं, लेकिन वे PHP2Shell का हिस्सा नहीं थीं। Imperva ने Node.js के Brotli डिकोडर से जुड़ा “Node2Shell” प्रदर्शन दिखाया; एक अलग घटना-सारांश में eMudhra प्रमाणपत्र प्राधिकरण की compromised keys और LiteLLM से जुड़ी घटना का भी उल्लेख था। उपलब्ध जानकारी इन घटनाओं को PHP2Shell से जोड़ने का आधार नहीं देती।
PHP2Shell की अहम सीख सीधी थी: PHP का इस्तेमाल कहां हो रहा है, यह मालूम होना और सही संस्करण पर पैच लगाना जरूरी है। गंभीर कमजोरी का खुलासा तत्काल कार्रवाई मांगता है—लेकिन जोखिम के आंकड़ों को सफल हमलों का प्रमाण समझना भी ठीक नहीं। 17
18
Studio Global AI
अपना शोध जारी रखें
इस पृष्ठ में एक स्रोत-समर्थित उत्तर शामिल है जिसे आप Studio Global के अंदर जारी रख सकते हैं।
लोग पूछते भी हैं
"PHP2Shell संकट में क्या हुआ: AI-सहायता से खोजी गई खामियों से लेकर आपातकालीन पैच तक" का संक्षिप्त उत्तर क्या है?
CVE 2026 109618 और CVE 2026 109619 से प्रभावित PHP सर्वर पर बिना लॉगिन के रिमोट कोड चलाए जाने का खतरा था। दोनों खामियों की CVSS v4.0 रेटिंग 9.2 थी। [9][10]
सबसे पहले सत्यापित करने योग्य मुख्य बिंदु क्या हैं?
CVE 2026 109618 और CVE 2026 109619 से प्रभावित PHP सर्वर पर बिना लॉगिन के रिमोट कोड चलाए जाने का खतरा था। दोनों खामियों की CVSS v4.0 रेटिंग 9.2 थी। [9][10] Calif ने OpenAI के Patch the Planet कार्यक्रम के तहत GPT 5.6 Sol की मदद से खामियां खोजीं; Wiz ने स्वतंत्र जांच की और अपनी खोज में Wiz Atlas, Gemini 4 Argon और GPT 5.6 Sol का इस्तेमाल किया। [6][18][21]
मुझे अभ्यास में आगे क्या करना चाहिए?
20 अक्टूबर को जानकारी समय से पहले सार्वजनिक होने के बाद PHP ने 21 अक्टूबर को आपातकालीन अपडेट जारी किए। करोड़ों संभावित रूप से प्रभावित इंटरनेट एक्सपोज़्ड इंस्टेंस का अनुमान था, लेकिन इसे सफल सेंधमारी का प्रमाण नहीं मा...
सूत्र
bleepingcomputer.comPHP ships emergency patches for critical PHP2Shell flaws
cyberkendra.comPHP2Shell: Critical PHP Flaws Allow Remote Code Execution
infosecurity-magazine.comPHP2Shell Exploitation Attempt Detected Four Days Before Disclosure
scworld.comCISA advises orgs to patch PHP2Shell bugs immediately