उत्तरप्रकाशित22 स्रोत
PHP2Shell क्या है? PHP सर्वर के लिए पैच क्यों ज़रूरी हैं
PHP2Shell, PHP की दो खामियों—CVE 2026 109618 और CVE 2026 109619—का नाम है। दोनों को 9.2 की गंभीरता रेटिंग मिली और इनके ज़रिए बिना लॉगिन सर्वर पर कोड चलाया जा सकता था। CVE की जानकारी तय तारीख़ से पहले सामने आने के बाद PHP ने 21 अक्टूबर 2026 को पैच जारी किए। हमलों के प्रयास दर्ज हुए, लेकिन हर प्रयास के सफल होने का प्र...
प्रकाशितकर्ताGPT-6 Luna से संपादितGPT Image 2 से चित्र बनाए गए
शोध उत्तर
मुख्य निष्कर्ष
- PHP2Shell, PHP की दो खामियों—CVE 2026 109618 और CVE 2026 109619—का नाम है। दोनों को 9.2 की गंभीरता रेटिंग मिली और इनके ज़रिए बिना लॉगिन सर्वर पर कोड चलाया जा सकता था।
- CVE की जानकारी तय तारीख़ से पहले सामने आने के बाद PHP ने 21 अक्टूबर 2026 को पैच जारी किए। हमलों के प्रयास दर्ज हुए, लेकिन हर प्रयास के सफल होने का प्रमाण नहीं है।
AI संकेत
openai.comCreate a landscape editorial hero image for this Studio Global article: What does the October 22, 2026 report reveal about the PHP2Shell vulnerabilities CVE-2026-109618 and CVE-2026-109619, including their 9.2 se. Article summary: The October 22 coverage describes PHP2Shell as an urgent patching crisis: CVE-2026-109618 and CVE-2026-109619 were rated 9.2 and could allow remote attackers to execute code without authentication, prompting emergency up. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fa
PHP2Shell, PHP में मिली दो गंभीर सुरक्षा खामियों—CVE-2026-109618 और CVE-2026-109619—का साझा नाम है। CVSS v4.0 पैमाने पर दोनों को 9.2 की रेटिंग दी गई। इनका फ़ायदा उठाकर कोई हमलावर बिना लॉगिन प्रभावित सर्वर पर दूर से कोड चला सकता था। तय सार्वजनिक घोषणा से पहले जानकारी सामने आने के बाद PHP ने 21 अक्टूबर 2026 को सुरक्षा अपडेट जारी किए। इसके तुरंत बाद हमले के प्रयासों की रिपोर्ट आई, लेकिन प्रयास दर्ज होना किसी सर्वर के सफलतापूर्वक हैक होने का सबूत नहीं है। 1
3
14
PHP2Shell की दोनों खामियाँ क्या करती हैं?
ये समस्याएँ किसी ख़ास वेबसाइट या फ्रेमवर्क के बजाय PHP के अनुरोध संभालने और मेमोरी प्रबंधन से जुड़ी हैं। CVE-2026-109618 में मेमोरी खत्म होने की स्थिति को संभालने से जुड़ी खामी है, जबकि CVE-2026-109619 में पुरानी आंतरिक स्थिति के बने रहने की समस्या है। रिपोर्ट के मुताबिक, इनके कारण बिना प्रमाणीकरण के रिमोट कोड एग्जीक्यूशन हो सकता है। 1
14
इसलिए सिर्फ़ वेबसाइट के अपने कोड की जाँच काफ़ी नहीं: सर्वर पर चल रहे PHP रनटाइम का वर्ज़न भी मायने रखता है। PHP की परिचालन संबंधी सलाह के अनुसार, वेब अनुरोध संभालने वाले PHP इंस्टॉलेशन भी ध्यान देने योग्य हैं। 55
कौन-से PHP वर्ज़न में पैच शामिल है?
PHP ने 21 अक्टूबर 2026 को ठीक किए गए वर्ज़न जारी किए। सूची में ये रिलीज़ शामिल हैं:
इन शाखाओं के पुराने वर्ज़न चलाने वाले सिस्टम को उसी शाखा के पैच किए गए वर्ज़न पर अपडेट करना चाहिए। रिपोर्टों के अनुसार, तय घोषणा से पहले खामियों की जानकारी सार्वजनिक हो गई थी, इसलिए रिलीज़ को पहले जारी किया गया। 3
13
33
CVE नंबर समय से पहले कैसे सामने आए?
20 अक्टूबर को Hacker News पर एक पोस्ट में दोनों खामियों के CVE नंबर दिए गए थे। पोस्ट में कहा गया था कि जानकारी 22 अक्टूबर को सार्वजनिक होनी थी। पोस्ट हट गई, लेकिन उसके स्क्रीनशॉट फैल गए। बाद में सुरक्षा शोधकर्ताओं ने बताया कि लीक हुई जानकारी असली थी और खामियाँ तय घोषणा तक गोपनीय रखी जानी थीं। 3
रिपोर्टों में एक खामी की खोज का श्रेय Calif को दिया गया है, जिसमें OpenAI के एक मॉडल ने मदद की थी। समन्वित प्रतिक्रिया पर आई कवरेज के मुताबिक, Wiz ने भी स्वतंत्र रूप से खामियाँ खोजीं और रिपोर्ट कीं। उपलब्ध रिपोर्टें यह साबित नहीं करतीं कि ये बग लगभग 20 साल पुराने थे; न ही इतना विवरण देती हैं कि हर CVE को किसी एक खोजकर्ता टीम से जोड़ा जा सके। 27
33
एहतियाती तौर पर सेवाएँ बंद और एजेंसियों की सलाह
जोखिम से निपटने के दौरान कुछ संगठनों ने एहतियातन अपनी सेवाएँ ऑफ़लाइन कीं। रिपोर्टों में जापान के वित्त मंत्रालय, BambooHR, रॉटरडैम बंदरगाह और Wikimedia से जुड़ी सेवाओं का ज़िक्र है। वेबसाइट या सेवा का बंद होना अपने-आप में इस बात का प्रमाण नहीं कि वहाँ सेंध लगी थी। 19
अमेरिकी साइबर सुरक्षा एजेंसी CISA ने PHP-आधारित वेबसाइट चलाने वाले संगठनों को तुरंत पैच लगाने की सलाह दी। 33 उपलब्ध रिपोर्टों से एहतियाती तौर पर बंद की गई सेवाओं की पूरी संख्या तय नहीं होती। अस्पतालों, स्कूलों और सरकारी सेवाओं पर असर के हर दावे की पुष्टि भी इनमें नहीं है।
हमले के प्रयासों की रिपोर्ट क्या बताती है?
रिपोर्टों में सार्वजनिक घोषणा से पहले और उसके बाद—दोनों समय की गतिविधि दर्ज है:
- Amazon ने बताया कि उसकी MadPot honeypot सेवा ने 17 अक्टूबर को हमले का एक प्रयास दर्ज किया—यानी 21 अक्टूबर के पैच जारी होने से पहले। Honeypot पर गतिविधि उस सेंसर को निशाना बनाने के प्रयास का सबूत है; इससे यह साबित नहीं होता कि कहीं और सेंध सफल हुई।
50
58
- Cloudflare ने सार्वजनिक घोषणा से पहले के 10 घंटों में अपने नेटवर्क पर हज़ारों प्रयास और घोषणा के बाद लाखों प्रयास दर्ज किए। ये नेटवर्क पर दिखे प्रयासों की संख्या है, सफलतापूर्वक हैक हुए सर्वरों की गिनती नहीं।
36
- CISA ने अपने अलर्ट के समय कहा कि उसे खामियों के शोषण का पता नहीं चला था। यह उस समय उसकी निगरानी में मिली जानकारी बताता है; अलग टेलीमेट्री इस्तेमाल करने वाली सुरक्षा कंपनियों द्वारा दर्ज प्रयासों को यह खारिज नहीं करता।
- Sophos ने अपनी पहले की उस रिपोर्ट में सुधार किया जिसमें ग्राहकों के सिस्टम पर सफल हमले का दावा था। कंपनी ने कहा कि उसके टेलीमेट्री डेटा में स्कैनिंग और असफल प्रयासों की थोड़ी संख्या दिखी, लेकिन उस अपडेट तक उसके वातावरण में सफल सेंध का कोई सबूत नहीं था।
7
इन रिपोर्टों से इतना ज़रूर स्पष्ट होता है कि PHP2Shell को गंभीरता से लेना चाहिए: प्रयास दर्ज किए गए थे और संभावित असर बड़ा था। लेकिन इससे यह निष्कर्ष नहीं निकलता कि हर प्रयास कामयाब हुआ या कुल कितने सिस्टम हैक हुए—इसकी पक्की गिनती मिल गई है।
उपलब्ध जानकारी किन बातों की पुष्टि नहीं करती?
मौजूदा रिपोर्टों से इंटरनेट पर खुले और वास्तव में असुरक्षित सर्वरों की भरोसेमंद संख्या नहीं मिलती। वे यह भी साबित नहीं करतीं कि खामियाँ लगभग 20 साल से मौजूद थीं या हमलावरों ने PHP2Shell के लिए एक्सप्लॉइट बनाने में AI का इस्तेमाल किया। खोज की प्रक्रिया में AI की मदद की रिपोर्ट है, लेकिन यह इस बात का सबूत नहीं कि हमलावरों ने खामियाँ खोजने या उनका दुरुपयोग करने के लिए AI अपनाया। 27
33
Studio Global AI
अपना शोध जारी रखें
इस पृष्ठ में एक स्रोत-समर्थित उत्तर शामिल है जिसे आप Studio Global के अंदर जारी रख सकते हैं।
लोग पूछते भी हैं
"PHP2Shell क्या है? PHP सर्वर के लिए पैच क्यों ज़रूरी हैं" का संक्षिप्त उत्तर क्या है?
PHP2Shell, PHP की दो खामियों—CVE 2026 109618 और CVE 2026 109619—का नाम है। दोनों को 9.2 की गंभीरता रेटिंग मिली और इनके ज़रिए बिना लॉगिन सर्वर पर कोड चलाया जा सकता था।
सबसे पहले सत्यापित करने योग्य मुख्य बिंदु क्या हैं?
PHP2Shell, PHP की दो खामियों—CVE 2026 109618 और CVE 2026 109619—का नाम है। दोनों को 9.2 की गंभीरता रेटिंग मिली और इनके ज़रिए बिना लॉगिन सर्वर पर कोड चलाया जा सकता था। CVE की जानकारी तय तारीख़ से पहले सामने आने के बाद PHP ने 21 अक्टूबर 2026 को पैच जारी किए। हमलों के प्रयास दर्ज हुए, लेकिन हर प्रयास के सफल होने का प्रमाण नहीं है।