उत्तरप्रकाशित23 स्रोत
PHP2Shell: दो गंभीर PHP खामियां और उन्हें ठीक करने का तरीका
PHP2Shell में PHP की दो गंभीर खामियां शामिल हैं। दोनों को CVSS v4.0 में 9.2 रेटिंग मिली है और इनके जरिए बिना लॉगिन के दूर से कोड चलाया जा सकता है। रिपोर्टों के अनुसार ये खामियां PHP 5.4 से शुरू होने वाले संस्करणों को प्रभावित कर सकती हैं। PHP 8.2 से 8.5 के लिए सुधार उपलब्ध हैं; पुराने या असमर्थित संस्करणों पर चल रहे...
प्रकाशितकर्ताGPT-6 Luna से संपादितGPT Image 2 से चित्र बनाए गए
शोध उत्तर
मुख्य निष्कर्ष
- PHP2Shell में PHP की दो गंभीर खामियां शामिल हैं। दोनों को CVSS v4.0 में 9.2 रेटिंग मिली है और इनके जरिए बिना लॉगिन के दूर से कोड चलाया जा सकता है।
- रिपोर्टों के अनुसार ये खामियां PHP 5.4 से शुरू होने वाले संस्करणों को प्रभावित कर सकती हैं। PHP 8.2 से 8.5 के लिए सुधार उपलब्ध हैं; पुराने या असमर्थित संस्करणों पर चल रहे सिस्टम के लिए विक्रेता से पैच संबंधी निर्देश लें।
AI संकेत
openai.comCreate a landscape editorial hero image for this Studio Global article: What are the PHP2Shell vulnerabilities CVE-2026-109618 and CVE-2026-109619, why are both rated 9.2 out of 10, how do they enable unauthentic. Article summary: PHP2Shell is the collective name for two critical PHP flaws, CVE-2026-109618 and CVE-2026-109619, reported to permit unauthenticated remote code execution; emergency fixes were released on October 21, 2026. [3][5] The av. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fa
PHP2Shell, PHP के मूल रनटाइम में मिली दो गंभीर खामियों—CVE-2026-109618 और CVE-2026-109619—का सामूहिक नाम है। दोनों को CVSS v4.0 में 9.2, यानी Critical, रेटिंग दी गई है। इनके सफल दुरुपयोग से हमलावर बिना लॉगिन किए प्रभावित सर्वर पर कोड चला सकता है। PHP परियोजना ने 21 अक्टूबर 2026 को आपातकालीन सुधार जारी किए। 
सर्वर चलाने वालों के लिए सबसे अहम कदम PHP को अपडेट करना है। हमले की कोशिशों की खबरें—जिनमें सार्वजनिक जानकारी आने से पहले Amazon के एक honeypot पर दर्ज गतिविधि भी शामिल है—जल्दी कार्रवाई की वजह हैं। लेकिन कोशिश दर्ज होना इस बात का प्रमाण नहीं कि किसी असली सिस्टम में सेंध लग गई। 36
PHP2Shell की दोनों खामियां क्या करती हैं?
रिपोर्टों में दोनों खामियों के तकनीकी रास्ते अलग बताए गए हैं:
- CVE-2026-109618: मेमोरी खत्म होने की स्थिति में गड़बड़ी। Out-of-memory स्थिति संभालते समय PHP का काम बीच में रुक सकता है, जबकि अनुरोध से जुड़ा कुछ आंतरिक डेटा अधूरा तैयार हुआ हो। सफाई की प्रक्रिया में PHP इस अमान्य डेटा को वैध मान सकता है।
58
- CVE-2026-109619: पुरानी आंतरिक स्थिति का बने रहना। रिपोर्ट के मुताबिक अनुरोध से जुड़ी स्थिति उस मेमोरी के मुक्त हो जाने के बाद भी बची रह सकती है जिसमें वह रखी गई थी। इससे use-after-free समस्या पैदा होती है।
9
ये खामियां PHP द्वारा खास तौर पर तैयार किए गए HTTP अनुरोधों को संभालने के तरीके से जुड़ी हैं। इनमें multipart form data भी शामिल है—यह वही प्रारूप है जिसका आम तौर पर फाइल अपलोड में इस्तेमाल होता है। 1
9.2 रेटिंग का मतलब क्या है?
दोनों खामियों को CVSS v4.0 में 10 में से 9.2, Critical रेटिंग मिली है। बिना प्रमाणीकरण के दूर से कोड चलाने की संभावना इनके जोखिम को गंभीर बनाती है: हमलावर प्रभावित सर्वर पर कोड चलाने की कोशिश के लिए लॉगिन पर निर्भर नहीं है।
उपलब्ध स्रोतों में पूरी CVSS स्कोरिंग-विवरणी नहीं है, इसलिए यह बताना संभव नहीं कि स्कोर के हर इनपुट ने 9.2 तक पहुंचने में कितना योगदान दिया। यह रेटिंग खामी की गंभीरता बताती है—किसी खास सर्वर पर हमले की संभावना या हमले की सफलता की पुष्टि नहीं।
प्रभावित संस्करण और जरूरी अपडेट
रिपोर्टों के मुताबिक प्रभावित संस्करणों की शुरुआत PHP 5.4 से होती है। 55 PHP 8.x की इन शाखाओं के लिए आपातकालीन सुधार जारी हुए:
| PHP शाखा | सुधार वाला संस्करण |
|---|---|
| 8.2 | 8.2.35 |
| 8.3 | 8.3.36 |
| 8.4 | 8.4.27 |
| 8.5 | 8.5.12 |
ये संस्करण 21 अक्टूबर 2026 को जारी हुए। अपनी शाखा का दिया गया सुधार वाला संस्करण या उसी शाखा का उससे नया संस्करण इंस्टॉल करें।
यह सूची 8.2 से 8.5 तक की शाखाओं के लिए है। अगर आपका सिस्टम किसी पुराने या असमर्थित PHP संस्करण पर है, तो अपने PHP वितरक या ऑपरेटिंग-सिस्टम विक्रेता से लागू सुधार और अपग्रेड संबंधी निर्देश लें। यह न मानें कि ऊपर दिए गए संस्करण सीधे आपके सिस्टम पर लागू होंगे।
जानकारी लीक हुई, लेकिन हर कोशिश सफल हमला नहीं होती
खामियों की जानकारी 20 अक्टूबर को सार्वजनिक हुई—योजना के मुताबिक घोषणा 22 अक्टूबर को होनी थी। PHP ने 21 अक्टूबर को आपातकालीन सुधार जारी किए। 8
42 स्रोत समय से पहले जानकारी सार्वजनिक होने और पैच जल्दी जारी होने की पुष्टि करते हैं, लेकिन यह स्थापित नहीं करते कि Calif का गलती से प्रकाशित प्रदर्शन वीडियो ही इसकी वजह बना।
Amazon Threat Intelligence ने बताया कि उसके MadPot honeypot में 17 अक्टूबर की PHP2Shell हमले की कोशिश दर्ज हुई थी—यानी सार्वजनिक जानकारी आने से चार दिन पहले। Amazon ने 21 अक्टूबर को सुधार जारी होने के आसपास proof-of-concept शोषण के नमूने मिलने की भी जानकारी दी। Honeypot पर दर्ज गतिविधि किसी नकली, निगरानी वाले सिस्टम को निशाना बनाने की कोशिश दिखाती है; यह किसी वास्तविक संस्था के सिस्टम में सेंध का प्रमाण नहीं है।
Cloudflare ने घोषणा के आसपास सुरक्षा उपाय तैनात किए। उसी समय की रिपोर्टों में सुरक्षा कंपनियों द्वारा देखे गए हमले के ट्रैफिक या कोशिशों का भी जिक्र है। 55
35 शोषण कितना फैला और कितनी कोशिशें सफल हुईं—इस पर रिपोर्टें एकमत नहीं थीं: कुछ विक्रेताओं ने सक्रिय या बड़े पैमाने पर शोषण की बात कही, जबकि दूसरी रिपोर्टों में सरकारी एजेंसियों द्वारा सफल हमलों की पुष्टि न होने का उल्लेख था।
33
36
इसलिए कोशिशों को गंभीरता से लें, लेकिन हर रिपोर्ट को सफल सेंध न मानें और यह निष्कर्ष भी न निकालें कि हमले बड़े पैमाने पर सफल हुए। जोखिम और घटना की जांच करते समय इन बातों को अलग-अलग रखें।
पैच लगाने तक क्या करें?
प्राथमिक समाधान PHP का सुधार वाला संस्करण इंस्टॉल करना है। AWS के मुताबिक पूरी तरह ठीक करने का एकमात्र तरीका अपग्रेड करना है। अगर तुरंत पैच लगाना संभव न हो, तो अस्थायी रूप से multipart फाइल अपलोड रोकने जैसे कदम जोखिम घटा सकते हैं—लेकिन वे अपडेट का विकल्प नहीं हैं।
कनाडा के साइबर सेंटर ने इन खामियों और बिना प्रमाणीकरण कोड चलने के जोखिम पर गंभीर चेतावनी जारी की। 2 उपलब्ध स्रोतों में NSA की यह सलाह भी दर्ज है कि जो सिस्टम तुरंत अपडेट नहीं हो सकते, उन्हें ऑफलाइन किया जाए।
27 अपने सिस्टम के लिए लागू विक्रेता और सरकारी सलाह देखें—खासकर तब, जब PHP किसी उत्पाद के साथ आता हो या होस्टिंग सेवा प्रदाता उसका प्रबंधन करता हो।
सीधी बात: पता करें कि आपके सिस्टम में PHP कहां चल रहा है, सही सुधार इंस्टॉल करें और सुरक्षा अलर्ट की सावधानी से जांच करें। PHP2Shell की गंभीरता तुरंत कार्रवाई मांगती है—लेकिन हमले की कोशिश, काम करने वाला exploit और वास्तविक सिस्टम में पक्की सेंध, तीन अलग बातें हैं।
Studio Global AI
अपना शोध जारी रखें
इस पृष्ठ में एक स्रोत-समर्थित उत्तर शामिल है जिसे आप Studio Global के अंदर जारी रख सकते हैं।
लोग पूछते भी हैं
"PHP2Shell: दो गंभीर PHP खामियां और उन्हें ठीक करने का तरीका" का संक्षिप्त उत्तर क्या है?
PHP2Shell में PHP की दो गंभीर खामियां शामिल हैं। दोनों को CVSS v4.0 में 9.2 रेटिंग मिली है और इनके जरिए बिना लॉगिन के दूर से कोड चलाया जा सकता है।
सबसे पहले सत्यापित करने योग्य मुख्य बिंदु क्या हैं?
PHP2Shell में PHP की दो गंभीर खामियां शामिल हैं। दोनों को CVSS v4.0 में 9.2 रेटिंग मिली है और इनके जरिए बिना लॉगिन के दूर से कोड चलाया जा सकता है। रिपोर्टों के अनुसार ये खामियां PHP 5.4 से शुरू होने वाले संस्करणों को प्रभावित कर सकती हैं। PHP 8.2 से 8.5 के लिए सुधार उपलब्ध हैं; पुराने या असमर्थित संस्करणों पर चल रहे सिस्टम के लिए विक्रेता से पैच संबंधी निर्देश लें।