उत्तरप्रकाशित28 स्रोत
PHP2Shell की सीख: कमजोरी खोजने के बाद असली काम शुरू होता है
PHP2Shell नाम से जानी गई PHP की दो कमजोरियों को CVSS पर 9.2 की गंभीरता मिली। इनके लिए पैच 21 अक्टूबर 2026 को जारी हुए। OpenAI के मुताबिक, दो महीने के समन्वित प्रयास में Calif ने GPT 5.6 Sol की मदद से एक गंभीर खामी खोजी, जबकि Wiz ने स्वतंत्र रूप से दोनों खामियां खोजकर रिपोर्ट कीं। Amazon ने सार्वजनिक खुलासे से चार दि...
प्रकाशितकर्ताGPT-6 Luna से संपादितGPT Image 2 से चित्र बनाए गए
शोध उत्तर
मुख्य निष्कर्ष
- PHP2Shell नाम से जानी गई PHP की दो कमजोरियों को CVSS पर 9.2 की गंभीरता मिली। इनके लिए पैच 21 अक्टूबर 2026 को जारी हुए।
- OpenAI के मुताबिक, दो महीने के समन्वित प्रयास में Calif ने GPT 5.6 Sol की मदद से एक गंभीर खामी खोजी, जबकि Wiz ने स्वतंत्र रूप से दोनों खामियां खोजकर रिपोर्ट कीं।
- Amazon ने सार्वजनिक खुलासे से चार दिन पहले, 17 अक्टूबर को, हमले की कोशिश का पता लगाने की बात कही। यह कोशिश का संकेत है—सफल सर्वर कब्जे का प्रमाण नहीं।
AI संकेत
openai.comCreate a landscape editorial hero image for this Studio Global article: What does the PHP2Shell case reveal about AI-assisted vulnerability discovery and coordinated disclosure, including OpenAI’s October 21 anno. Article summary: PHP2Shell illustrates that AI-assisted research can uncover serious flaws in widely deployed software, while protecting users still depends on human validation, coordinated fixes, and rapid deployment. OpenAI’s October 2. Topic tags: general, general web, user generated, education. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, cha
PHP2Shell PHP के मूल कोड में मिली दो गंभीर कमजोरियों का नाम है। इनके लिए आपातकालीन पैच 21 अक्टूबर 2026 को जारी किए गए। OpenAI के बयान के मुताबिक, यह सिर्फ AI से कमजोरी खोजने की कहानी नहीं थी: खुलासे से पहले पैच और सुरक्षा उपाय तैयार करने के लिए रखरखावकर्ताओं, शोधकर्ताओं और सुरक्षा सेवा देने वाली कंपनियों ने दो महीने तक मिलकर काम किया।18 इस मामले की बड़ी सीख है कि खामी खोजना शुरुआत भर है—उसे भरोसेमंद तरीके से ठीक करना और प्रभावित संस्थाओं तक अपडेट पहुंचाना भी उतना ही जरूरी है।
क्या मिला, और AI की भूमिका क्या थी?
CVE-2026-109618 और CVE-2026-109619 नाम से दर्ज दोनों कमजोरियों को CVSS पर 9.2 की रेटिंग दी गई। शोधकर्ताओं ने WordPress, Drupal और Joomla पर चलने वाली साइटों के संदर्भ में बिना लॉगिन रिमोट कोड चलाने की क्षमता और मेमोरी से जानकारी उजागर होने का प्रदर्शन किया।3
4 रिपोर्ट के अनुसार, प्रभावित PHP संस्करणों का दायरा 5.4 से 8.5 तक जाता है।
1
इन खामियों का संबंध PHP की मेमोरी संभालने की प्रक्रिया से था। एक खामी मेमोरी खत्म होने की स्थिति से जुड़ी थी; दूसरी में अनुरोधों के बीच पुरानी स्थिति बने रहने और मुक्त की जा चुकी मेमोरी के इस्तेमाल की समस्या थी।3
9 सीधे शब्दों में, यह किसी एक वेबसाइट ऐप्लिकेशन का दोष नहीं था: कमजोरियां PHP में थीं—उस रनटाइम में जिसके ऊपर कई ऐप्लिकेशन चलते हैं।
3
4
OpenAI ने बताया कि उसके Patch the Planet कार्यक्रम के तहत Calif ने GPT-5.6 Sol की मदद से एक गंभीर खामी पहचानी। Wiz ने स्वतंत्र रूप से दोनों कमजोरियां खोजकर रिपोर्ट कीं।18 Wiz की अपनी रिपोर्ट और अन्य कवरेज में Wiz Atlas, Gemini 4 Argon और GPT-5.6 Sol को भी उसके शोध उपकरणों के हिस्से के रूप में बताया गया है।
4
33 उपलब्ध विवरण यह स्पष्ट नहीं करते कि हर मॉडल ने कौन-सा खास काम किया; इसलिए उनसे यह तय नहीं होता कि हमले की जांच या पैच की पुष्टि में किस मॉडल का कितना योगदान था।
PHP Foundation का हवाला देने वाली एक दूसरी समयरेखा के मुताबिक, Calif ने 11 अगस्त, Wiz ने 24 अगस्त और OpenAI ने 18 सितंबर को PHP को रिपोर्ट भेजीं।6 ये रिपोर्ट जमा करने की बताई गई तारीखें हैं—जरूरी नहीं कि हर टीम ने खामी पहली बार उसी दिन खोजी हो।
खुलासे से पहले क्यों जरूरी था मिलकर काम करना?
OpenAI ने कहा कि इस काम में दो महीने लगे और रखरखावकर्ताओं, शोधकर्ताओं तथा सुरक्षा सेवा प्रदाताओं ने खुलासे से पहले सुधार और सुरक्षा उपाय तैयार किए।18 घोषणा के मुताबिक, पैच और रिलीज का नेतृत्व PHP के रखरखावकर्ताओं ने किया, जबकि शोध और सुरक्षा सहयोगियों ने तकनीकी मदद और समन्वय में योगदान दिया।
18
पैच 21 अक्टूबर को जारी हुए—योजना के मुताबिक तय 22 अक्टूबर से एक दिन पहले।14 रिपोर्टों के अनुसार, जानकारी लीक होने और पैच वाले कंटेनर इमेज समय से पहले उपलब्ध होने के बीच रिलीज की तारीख बदली गई। PHP Foundation ने Chainguard पर तय समय से पहले जानकारी सार्वजनिक करने का आरोप लगाया। उपलब्ध रिपोर्टिंग में यह एक पक्ष द्वारा लगाया गया आरोप है, न कि स्वतंत्र रूप से सुलझा हुआ विवाद।
6
35
38
यहीं समन्वित खुलासे की मुश्किल सामने आती है। तकनीकी जानकारी कुछ समय गोपनीय रखने से रखरखावकर्ताओं और सॉफ्टवेयर वितरकों को अपडेट तैयार करने का अवसर मिलता है। लेकिन अगर हमले पहले से चल रहे हों, तो देरी उपयोगकर्ताओं को जोखिम में छोड़ सकती है। रिपोर्टिंग में OpenAI की प्रस्तावित प्रतिक्रिया-प्रक्रिया को चरणों में बताया गया है: पहले खामी की पुष्टि और सुधार, फिर वितरकों को तैयारी का समय, सरकारी साझेदारों से समन्वय, और उसके बाद व्यापक सूचना व सार्वजनिक मार्गदर्शन। अगर हमले या लीक सामने आएं, तो समय-सारणी घटाने की जरूरत पड़ सकती है।37
41
हमले की कोशिशों की रिपोर्ट—और सबूतों की सीमा
Amazon ने कहा कि उसके MadPot सिस्टम ने PHP2Shell के इस्तेमाल की एक कोशिश 17 अक्टूबर को पकड़ी—सार्वजनिक खुलासे से चार दिन पहले। पैच जारी होने के बाद हमले की व्यापक कोशिशों की भी रिपोर्ट आई।5 कोशिश देखे जाने का मतलब यह नहीं कि सर्वर पर सफलतापूर्वक कब्जा हुआ। उपलब्ध रिपोर्टिंग यह भी नहीं बताती कि किसी हमलावर को खुलासे से पहले कमजोरी की जानकारी कैसे मिली, या कितने सर्वर प्रभावित हुए।
Palo Alto Networks ने PHP2Shell से संभावित रूप से कमजोर इंटरनेट-सामना करने वाले 2.26 करोड़ से अधिक इंस्टेंस की पहचान करने की बात कही।53 “संभावित रूप से कमजोर” का यह आंकड़ा जोखिम में दिख रहे सिस्टम का अनुमान है—पक्के तौर पर हमले की चपेट में आए या कब्जा किए गए सर्वरों की संख्या नहीं।
अमेरिकी एजेंसियों ने संस्थाओं से कमजोरियों को जल्द ठीक करने की अपील की। एक रिपोर्ट के मुताबिक, जो सिस्टम जल्दी सुरक्षित नहीं किए जा सकते, उन्हें ऑफलाइन करने की सलाह भी दी गई।56 Cloudflare ने कहा कि उसने अपने वेब एप्लिकेशन फ़ायरवॉल (WAF) का उपयोग करने वाले ग्राहकों के लिए सार्वजनिक खुलासे से पहले सुरक्षा नियम लागू कर दिए थे।
12 ये उपाय पैच लगाने के पूरक हैं; प्रभावित PHP इंस्टॉलेशन की जांच और अपडेट की जरूरत फिर भी बनी रहती है।
रिपोर्ट के मुताबिक, खामियां ठीक करने वाले PHP संस्करण 8.2.35, 8.3.36, 8.4.27 और 8.5.12 हैं।8 सिस्टम संचालकों को अपने सर्वर पर इस्तेमाल हो रहे PHP के संस्करण और वितरण की जांच करनी चाहिए, क्योंकि अलग-अलग सेवा प्रदाता पैकेज के लिए अलग संस्करण संख्या इस्तेमाल कर सकते हैं।
8
बड़ी सीख: खोज के साथ सुधार की क्षमता भी बढ़े
OpenAI ने यह भी कहा कि उसने सुरक्षा रक्षकों के लिए Daybreak तक रियायती पहुंच देने को 1 अरब डॉलर की प्रतिबद्धता की है। इसमें सीमित सुरक्षा संसाधनों वाले और महत्वपूर्ण सेवाओं की रक्षा करने वाले संगठनों पर ध्यान देने की बात कही गई है।25 यह पहल समस्या के एक हिस्से—सुरक्षा उपकरणों तक पहुंच—को संबोधित करती है। PHP2Shell दूसरा हिस्सा याद दिलाता है: पूरे सॉफ्टवेयर तंत्र में पैच तैयार करना, उसकी जानकारी देना और उसे लागू करवाना।
AI-सहायता से शोध कमजोरियां खोजने में मदद कर सकता है, लेकिन क्या खोजा गया, किन उपकरणों ने योगदान दिया और हमला सफल हुआ या नहीं—इन बातों के दावों की सावधानी से पुष्टि और श्रेय तय करना जरूरी है। PHP2Shell से संतुलित निष्कर्ष यही निकलता है: तेज खोज रक्षकों के लिए उपयोगी समय दे सकती है, लेकिन उस समय का फायदा तभी है जब रखरखावकर्ता, विक्रेता और सिस्टम संचालक मिलकर पैच जारी और लागू कर सकें।
Studio Global AI
अपना शोध जारी रखें
इस पृष्ठ में एक स्रोत-समर्थित उत्तर शामिल है जिसे आप Studio Global के अंदर जारी रख सकते हैं।
लोग पूछते भी हैं
"PHP2Shell की सीख: कमजोरी खोजने के बाद असली काम शुरू होता है" का संक्षिप्त उत्तर क्या है?
PHP2Shell नाम से जानी गई PHP की दो कमजोरियों को CVSS पर 9.2 की गंभीरता मिली। इनके लिए पैच 21 अक्टूबर 2026 को जारी हुए।
सबसे पहले सत्यापित करने योग्य मुख्य बिंदु क्या हैं?
PHP2Shell नाम से जानी गई PHP की दो कमजोरियों को CVSS पर 9.2 की गंभीरता मिली। इनके लिए पैच 21 अक्टूबर 2026 को जारी हुए। OpenAI के मुताबिक, दो महीने के समन्वित प्रयास में Calif ने GPT 5.6 Sol की मदद से एक गंभीर खामी खोजी, जबकि Wiz ने स्वतंत्र रूप से दोनों खामियां खोजकर रिपोर्ट कीं।
मुझे अभ्यास में आगे क्या करना चाहिए?
Amazon ने सार्वजनिक खुलासे से चार दिन पहले, 17 अक्टूबर को, हमले की कोशिश का पता लगाने की बात कही। यह कोशिश का संकेत है—सफल सर्वर कब्जे का प्रमाण नहीं।