उत्तरप्रकाशित33 स्रोत
PHP2Shell: PHP की गंभीर खामियाँ और उनसे बचाव के जरूरी कदम
PHP2Shell, PHP के रनटाइम में मौजूद दो गंभीर मेमोरी सुरक्षा खामियों का नाम है। कुछ परिस्थितियों में इनके जरिए बिना लॉगिन सर्वर पर कोड चलाया जा सकता है। PHP का वेब अनुरोध संभालने वाला रनटाइम अपडेट करें या उत्पाद विक्रेता का सत्यापित सुधार लागू करें; फिर जाँचें कि लाइव सेवा वास्तव में ठीक किए गए संस्करण पर चल रही है।
प्रकाशितकर्ताGPT-6 Luna से संपादितGPT Image 2 से चित्र बनाए गए
शोध उत्तर
मुख्य निष्कर्ष
- PHP2Shell, PHP के रनटाइम में मौजूद दो गंभीर मेमोरी सुरक्षा खामियों का नाम है। कुछ परिस्थितियों में इनके जरिए बिना लॉगिन सर्वर पर कोड चलाया जा सकता है।
- PHP का वेब अनुरोध संभालने वाला रनटाइम अपडेट करें या उत्पाद विक्रेता का सत्यापित सुधार लागू करें; फिर जाँचें कि लाइव सेवा वास्तव में ठीक किए गए संस्करण पर चल रही है।
AI संकेत
openai.comCreate a landscape editorial hero image for this Studio Global article: What are the PHP2Shell vulnerabilities CVE-2026-109618 and CVE-2026-109619, how do they enable unauthenticated remote code execution in PHP—. Article summary: PHP2Shell is the name given to two critical PHP memory-safety vulnerabilities, CVE-2026-109618 and CVE-2026-109619, that can permit unauthenticated remote code execution under suitable conditions; researchers rated them . Topic tags: general, general web, government, news. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with
PHP2Shell, PHP रनटाइम की दो गंभीर कमजोरियों—CVE-2026-109618 और CVE-2026-109619—का सामूहिक नाम है। कुछ परिस्थितियों में इनके जरिए बिना लॉगिन वाला हमलावर सर्वर पर कोड चला सकता है। PHP ने 21 अक्टूबर 2026 को संस्करण 8.2.35, 8.3.36, 8.4.27 और 8.5.12 में सुधार जारी किए।5
36 सिस्टम संचालकों के लिए प्राथमिकता है कि वे वेब अनुरोध संभालने वाले PHP रनटाइम को अपडेट करें—या संबंधित उत्पाद के विक्रेता का पैच लगाएँ—और फिर पुष्टि करें कि अपडेट प्रभावी है।
दोनों कमजोरियाँ क्या करती हैं?
दोनों खामियाँ PHP के अपने मेमोरी प्रबंधन से जुड़ी हैं, न कि किसी एक वेबसाइट के एप्लिकेशन कोड से। शोध में ऐसे रास्तों का वर्णन है जिनमें PHP रनटाइम के कामकाज के दौरान पुरानी या पहले ही मुक्त की जा चुकी मेमोरी इस्तेमाल हो सकती है।6
9
- CVE-2026-109618: यह PHP के अपलोड-प्रोग्रेस प्रबंधन से जुड़ी use-after-free खामी है—यानी प्रोग्राम ऐसी मेमोरी का इस्तेमाल कर सकता है जिसे वह पहले ही खाली कर चुका हो। Wiz के अनुसार, इससे PHP वर्कर की मेमोरी उजागर हो सकती है और कुछ प्रदर्शित परिस्थितियों में मेमोरी में गड़बड़ी पैदा होकर कोड चलने का रास्ता बन सकता है।
6
- CVE-2026-109619: यह fatal-error backtrace और OPcache के दौरान मेमोरी संभालने से जुड़ी है। PHP की सलाह के अनुसार, पुरानी आंतरिक स्थिति उसी वर्कर द्वारा संभाले गए बाद के अनुरोध में इस्तेमाल हो सकती है।
36
उद्धृत रिपोर्टों में इन कमजोरियों को CVSS पैमाने पर 9.2 की गंभीरता दी गई है।2
37 Wiz ने कहा है कि PHP का इस्तेमाल इंटरनेट के लगभग 70% हिस्से में होता है। यह PHP की संभावित पहुँच का अनुमान है—इसका अर्थ यह नहीं कि 70% वेबसाइटें एक जैसी असुरक्षित हैं या उन पर हमला सफल हो चुका है।
6
कौन-से PHP संस्करण प्रभावित हैं और पैच कहाँ मिले हैं?
रिपोर्टों में कमजोर संस्करणों की सीमा PHP 5.4 से 8.5.11 तक बताई गई है।56 PHP के जारी किए गए सुधार इन संस्करणों में हैं: 8.2.35, 8.3.36, 8.4.27 और 8.5.12।
36 पुराने या अब समर्थन न पाने वाले संस्करण पर चल रहे सिस्टम के लिए, अपने PHP वितरक या उत्पाद-विक्रेता से समर्थित अपडेट अथवा बैकपोर्ट किए गए सुधार के बारे में पूछें। यह न मानें कि हर पुराने संस्करण के लिए सामान्य PHP अपग्रेड उपलब्ध होगा।
17
54
सिर्फ PHP पैकेज अपडेट करना काफी न हो, अगर वेबसाइट या उपकरण अपना अलग, भीतर जोड़ा गया रनटाइम इस्तेमाल करता हो। यह पता लगाएँ कि वेब अनुरोध किस PHP इंस्टॉलेशन पर जा रहे हैं। PHP को साथ में बंडल करने वाले उत्पादों के लिए उनके विक्रेता के निर्देश अपनाएँ।5
54
खोज में AI की मदद का उल्लेख है, लेकिन समयरेखा पर रिपोर्टें अलग हैं
इस शोध का श्रेय Calif, OpenAI और Wiz को दिया गया है; खोज की कुछ रिपोर्टों में AI मॉडल की मदद का भी ज़िक्र है।4
16 लेकिन शोध कब शुरू हुआ, इस पर विवरण एक जैसे नहीं हैं: USA Today के मुताबिक Calif ने जुलाई में शुरुआती खोज की और Wiz ने अगस्त में स्वतंत्र रूप से खामी पहचानी, जबकि The Register शोधकर्ताओं के काम को अगस्त से सितंबर के बीच रखता है।
4
47 कुछ अन्य रिपोर्टों में Google के मॉडल का भी उल्लेख है, लेकिन उपलब्ध सामग्री से यह स्पष्ट नहीं होता कि हर मॉडल ने ठीक-ठीक क्या योगदान दिया या कितना काम अपने-आप किया।
50
यह फर्क मायने रखता है: उपलब्ध जानकारी AI-सहायता से हुए शोध का समर्थन करती है, न कि इस दावे का कि AI ने अकेले दोनों कमजोरियाँ खोजीं, उनकी पुष्टि की और उन्हें ठीक भी कर दिया। रिपोर्ट के अनुसार, खोज और सुधार की प्रक्रिया में मानव शोधकर्ता और सॉफ्टवेयर मेंटेनर भी शामिल थे।4
16
PAN-OS से जुड़ी सूचना का क्या अर्थ है?
Palo Alto Networks ने एक सुरक्षा सलाह जारी की है, जिसमें अपने उत्पादों पर PHP की दोनों कमजोरियों के असर को शामिल किया गया है। सूची में PAN-OS भी है।34
35 लेकिन इससे अपने-आप यह साबित नहीं होता कि हर PAN-OS इंस्टॉलेशन उसी हमले के रास्ते के संपर्क में है जो PHP वेब सर्वर पर लागू हो सकता है। उत्पाद का कॉन्फ़िगरेशन और विक्रेता का पैच—दोनों देखना जरूरी है।
सिस्टम प्रशासक Palo Alto Networks की मौजूदा सलाह में अपने खास उत्पाद और सॉफ्टवेयर संस्करण की स्थिति जाँचें और उसी के अपडेट निर्देश मानें। तीसरे पक्ष के हॉटफिक्स शेड्यूल को पैच उपलब्ध होने की पक्की पुष्टि न मानें: एक प्रसारित ट्रैकर खुद बताता है कि उसकी विक्रेता-स्थिति संबंधी जानकारी AI से बनाई गई है और उसे सत्यापित करना चाहिए।21
हमले की कोशिश और सफल सेंध एक ही बात नहीं
खतरे पर निगरानी रखने वाली एक रिपोर्ट के अनुसार, 17 अक्टूबर को—तकनीकी जानकारी सार्वजनिक होने और PHP के पैच जारी करने से पहले—हमले की एक कोशिश दर्ज हुई थी।53 Nextgov के मुताबिक, बाद में Cloudflare पर दिखा ऐसा ट्रैफिक हजारों कोशिशों से बढ़कर लाखों तक पहुँचा।
22 ये आँकड़े हमले की कोशिशें बताते हैं; सफलतापूर्वक कब्ज़े में लिए गए सर्वरों की संख्या नहीं।
सफल हमलों के बारे में रिपोर्टें अलग-अलग रही हैं। BBC ने 22 अक्टूबर को बताया कि उस समय तक किसी सफल हमले की खबर नहीं थी।18 बाद में Palo Alto Networks की Unit 42 ने कहा कि वह पहले PHP2Shell से जुड़ी मान रही गतिविधि को इन खास CVE कमजोरियों से जोड़कर पुष्ट नहीं कर सकी और उसने अपना पिछला अपडेट वापस ले लिया।
30 उपलब्ध जानकारी से हमले की कोशिशें रिपोर्ट हुई हैं, लेकिन PHP2Shell के कारण हुई पुष्ट सफल सेंधों की स्थिति स्पष्ट नहीं है।
रिपोर्टों के अनुसार, कुछ सरकारी और कारोबारी संस्थानों ने पैच तैयार करने या लगाने तक अपनी कुछ ऑनलाइन सेवाएँ अस्थायी रूप से बंद रखीं।26
51 एहतियातन सेवा रोकना इस बात का सबूत नहीं कि संस्था पर हमला सफल हुआ था।
संगठनों और वेबसाइट मालिकों के लिए जरूरी कदम
- हर PHP रनटाइम का पता लगाएँ। वेबसाइटों, एप्लिकेशन सर्वरों, कंटेनरों, होस्टिंग वातावरण और उपकरणों की जाँच करें। होस्टिंग या प्रबंधित सेवा देने वाली कंपनी से लागू रनटाइम और सुधार की पुष्टि लें।
- सत्यापित अपडेट लगाएँ। ठीक किया गया PHP संस्करण या सुधार शामिल करने वाला विक्रेता-पैकेज इस्तेमाल करें। जिन उपकरणों में PHP पहले से शामिल है, उनके लिए उत्पाद-विक्रेता के निर्देश अपनाएँ।
17
54
- चलती हुई सेवा की पुष्टि करें। जाँचें कि वेब ट्रैफिक संभालने वाला PHP रनटाइम अपडेट हुआ है—सिर्फ अलग कमांड-लाइन इंस्टॉलेशन नहीं। यह भी सुनिश्चित करें कि जरूरी वर्कर या सेवाएँ ठीक किए गए संस्करण पर चल रही हैं।
- तुरंत पैच न लगा सकें तो जोखिम घटाएँ। NSA की सलाह है कि विक्रेता के पैच को प्राथमिकता दें और अगर तुरंत अपडेट संभव न हो, तो सिस्टम को ऑफलाइन करें।
25
- जाँच और पैचिंग को अलग काम समझें। अपडेट लगाने से कमजोरी बंद होती है, लेकिन इससे यह साबित नहीं होता कि पहले कोई सेंध नहीं लगी। अगर घुसपैठ का संदेह हो, तो संबंधित लॉग और सिस्टम गतिविधि की अलग से समीक्षा करें।
अगर आप वेबसाइट के मालिक हैं लेकिन सर्वर का प्रबंधन नहीं करते, तो अपने होस्टिंग प्रदाता या प्रशासक से पूछें कि PHP रनटाइम अपडेट हुआ है या नहीं। अनजान संदेशों में आए पैच इंस्टॉल न करें; प्रदाता के आधिकारिक निर्देशों का इस्तेमाल करें।
मुख्य बात यह है कि तीन दावे अलग-अलग हैं: कोई सिस्टम कमजोर हो सकता है, हमलावर उस पर हमला करने की कोशिश कर सकता है, और सिस्टम में सफल सेंध लग सकती है। प्रभावित PHP रनटाइम अपडेट करें, PAN-OS जैसे उत्पादों के लिए विक्रेता से पैच की स्थिति की पुष्टि करें और संभावित घुसपैठ की जाँच अलग से करें।
Studio Global AI
अपना शोध जारी रखें
इस पृष्ठ में एक स्रोत-समर्थित उत्तर शामिल है जिसे आप Studio Global के अंदर जारी रख सकते हैं।
लोग पूछते भी हैं
"PHP2Shell: PHP की गंभीर खामियाँ और उनसे बचाव के जरूरी कदम" का संक्षिप्त उत्तर क्या है?
PHP2Shell, PHP के रनटाइम में मौजूद दो गंभीर मेमोरी सुरक्षा खामियों का नाम है। कुछ परिस्थितियों में इनके जरिए बिना लॉगिन सर्वर पर कोड चलाया जा सकता है।
सबसे पहले सत्यापित करने योग्य मुख्य बिंदु क्या हैं?
PHP2Shell, PHP के रनटाइम में मौजूद दो गंभीर मेमोरी सुरक्षा खामियों का नाम है। कुछ परिस्थितियों में इनके जरिए बिना लॉगिन सर्वर पर कोड चलाया जा सकता है। PHP का वेब अनुरोध संभालने वाला रनटाइम अपडेट करें या उत्पाद विक्रेता का सत्यापित सुधार लागू करें; फिर जाँचें कि लाइव सेवा वास्तव में ठीक किए गए संस्करण पर चल रही है।