उत्तरप्रकाशित3 घंटे पहलेLast edited 3 घंटे पहले24 स्रोत

PHP2Shell क्या है? PHP सर्वरों के लिए जरूरी सुरक्षा अपडेट

PHP2Shell में दो ऐसे दोष हैं जिनसे बिना लॉगिन के प्रभावित सर्वर पर दूर से कोड चलाया जा सकता है। दोनों को CVSS 4.0 पर 9.2, यानी गंभीर, रेटिंग मिली है। इनके लिए PHP 8.5.12, 8.4.27, 8.3.36 और 8.2.35 में सुधार जारी किए गए। संगठनों को अपने PHP सर्वरों की सूची बनाकर पैच प्राथमिकता से लागू करना चाहिए।

प्रकाशितकर्ताGPT-6 Luna से संपादितGPT Image 2 से चित्र बनाए गए

Studio Global AI के साथ खोजें और तथ्यों की जांच करें और ट्रेंडिंग पेज देखें

शोध उत्तर

मुख्य निष्कर्ष

PHP2Shell में दो ऐसे दोष हैं जिनसे बिना लॉगिन के प्रभावित सर्वर पर दूर से कोड चलाया जा सकता है। दोनों को CVSS 4.0 पर 9.2, यानी गंभीर, रेटिंग मिली है।
इनके लिए PHP 8.5.12, 8.4.27, 8.3.36 और 8.2.35 में सुधार जारी किए गए। संगठनों को अपने PHP सर्वरों की सूची बनाकर पैच प्राथमिकता से लागू करना चाहिए।

Editorial illustration of PHP code and a server security alert — What is the full picture of the PHP2Shell security crisis as of October 21, 2026, including PHP’s prevalence across websites; the unauthentiIllustration of the PHP2Shell security incident.
AI संकेत
Create a landscape editorial hero image for this Studio Global article: What is the full picture of the PHP2Shell security crisis as of October 21, 2026, including PHP’s prevalence across websites; the unauthenti. Article summary: As of October 21, 2026, PHP2Shell was an urgent patching crisis involving two unauthenticated remote-code-execution vulnerabilities, with emergency PHP updates released after premature disclosure and reports of attack at. Topic tags: general, general web, government. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake n
openai.com

PHP2Shell नाम PHP के अनुरोध संभालने वाले कोड में मिली दो गंभीर सुरक्षा कमजोरियों—CVE-2026-109618 और CVE-2026-109619—को दिया गया है। इनके जरिए बिना लॉगिन किया हमलावर प्रभावित सर्वर पर कोड चला सकता है। PHP ने 21 अक्टूबर 2026 को आपातकालीन सुधार जारी किए। यह कदम कमजोरियों की जानकारी तय समय से पहले सार्वजनिक होने के बाद आया। हमले की कोशिशों की खबरें थीं, लेकिन उनसे अपने-आप यह साबित नहीं होता कि किसी सिस्टम में सेंध सफल रही। 4 6 15

PHP2Shell में क्या जोखिम है?

ये दोष किसी एक वेबसाइट या ऐप तक सीमित नहीं, बल्कि PHP में ही हैं। सुरक्षा सलाहों के मुताबिक PHP 5.4 और उसके बाद के संस्करण प्रभावित हैं। खास तौर पर तैयार किए गए अनुरोधों से वे सिस्टम जोखिम में पड़ सकते हैं जो वेब ट्रैफिक संभालते हैं। 8 14

दोनों कमजोरियों की तकनीकी वजह अलग है: CVE-2026-109618 का संबंध मेमोरी खत्म होने की स्थिति में होने वाली खराबी से है, जबकि CVE-2026-109619 में पुरानी वैश्विक स्थिति (stale global state) शामिल है। दोनों को CVSS 4.0 पर 9.2 अंक मिले और गंभीर श्रेणी में रखा गया। 4 15

PHP वेब पर व्यापक रूप से इस्तेमाल होता है, लेकिन उपलब्ध स्रोतों से प्रभावित वेबसाइटों का भरोसेमंद प्रतिशत तय नहीं किया जा सकता। अलग-अलग अनुमान अलग आधारों पर गिने जा सकते हैं, इसलिए किसी एक बड़े आंकड़े को कमजोर साइटों की निश्चित संख्या न मानें। सर्वर संचालकों के लिए अहम सवाल यह है कि क्या वेब अनुरोध लेने वाली कोई PHP स्थापना अब भी अपडेट के बिना चल रही है। 3 14

जानकारी सार्वजनिक होने से पैच तक

कमजोरियों की जानकारी 20 अक्टूबर को सार्वजनिक हुई—यानी PHP के आपातकालीन सुधार जारी होने से एक दिन पहले और पहले से तय 22 अक्टूबर की घोषणा से पहले। 6 7 16

Cloudflare ने अपनी जानकारी में Calif, Wiz, OpenAI और Quarkslab को श्रेय दिया। उस समय की रिपोर्टिंग में Calif के शोध में AI की मदद का जिक्र था और कहा गया कि Wiz ने भी स्वतंत्र रूप से दोष खोजकर रिपोर्ट किए। उपलब्ध स्रोतों से हर प्रतिभागी के सटीक तकनीकी योगदान की पुष्टि नहीं होती। 14 20

21 अक्टूबर को जारी किए गए ठीक किए हुए संस्करण हैं: PHP 8.5.12, 8.4.27, 8.3.36 और 8.2.35। 15 16 प्रशासकों को पहले यह पता लगाना चाहिए कि उत्पादन सर्वरों पर PHP के कौन-से संस्करण चल रहे हैं, फिर उपयुक्त सुरक्षित संस्करण पर अपडेट करना चाहिए। अगर होस्टिंग कंपनी का संस्करण नंबर पुराना दिखे, तो उसके सुरक्षा नोटिस की जांच करें—कुछ प्रदाता मूल संस्करण संख्या बदले बिना अपने पैकेज में सुरक्षा सुधार शामिल कर सकते हैं। 1

हमलों की खबरें क्या बताती हैं—और क्या नहीं

21 अक्टूबर की सुरक्षा रिपोर्टों में इन कमजोरियों को निशाना बनाने वाली कोशिशों का जिक्र था। Cloudflare ने हमले से जुड़ा ट्रैफिक देखने की बात कही और SecurityWeek ने बताया कि PHP पैच जारी होने से पहले कई साइबर सुरक्षा कंपनियों ने ऐसी कोशिशें देखी थीं। 14 15

सफल सेंध को लेकर उस समय तस्वीर एकमत नहीं थी। 21 अक्टूबर की रिपोर्टों के बाद प्रकाशित एक सारांश के मुताबिक, CISA और कनाडा के साइबर सुरक्षा केंद्र ने उस तारीख तक शोषण देखे जाने या पहचाने जाने की सूचना नहीं दी थी, जबकि सुरक्षा कंपनियां कोशिशों की रिपोर्ट कर रही थीं। ये अलग-अलग बातें हैं: हमले की कोशिश सफल घुसपैठ का प्रमाण नहीं होती; और किसी एजेंसी ने घटना न देखी हो, तो इससे यह साबित नहीं होता कि कहीं भी सेंध नहीं लगी। 25

अभी क्या करें?

NSA ने संगठनों को विक्रेता के सुरक्षा पैच प्राथमिकता से लगाने और उन हार्डवेयर तथा सॉफ्टवेयर सेवाओं की सूची बनाने की सलाह दी जो कमजोर PHP संस्करणों पर निर्भर हैं। 17 CISA की ओर से भी तुरंत पैच लगाने की सलाह रिपोर्ट की गई। 20 अगर प्रभावित सेवा को समय रहते अपडेट करना संभव न हो, तो रिपोर्टिंग में उसे अस्थायी रूप से ऑफलाइन रखने की सलाह का भी उल्लेख है। 7 21

Cloudflare ने बताया कि 21 अक्टूबर को 03:02 UTC से उसके मुफ्त और सशुल्क WAF ग्राहकों के लिए PHP2Shell के खिलाफ डिफॉल्ट सुरक्षा उपलब्ध थी। WAF (वेब एप्लिकेशन फ़ायरवॉल) वेब अनुरोधों को छानकर संदिग्ध ट्रैफिक रोकने में मदद करता है। 14 यह सुरक्षा की एक अतिरिक्त परत है, PHP को अपडेट करने का विकल्प नहीं। फ़िल्टरिंग नियम सक्रिय होने का मतलब यह नहीं कि सर्वर का मूल सॉफ्टवेयर सुरक्षित हो गया है। 14 17

जांच केवल सामान्य PHP होस्टिंग तक सीमित नहीं थी। Help Net Security की रिपोर्ट के मुताबिक, Palo Alto Networks ने कहा कि PAN-OS और Panorama के सभी संस्करण प्रभावित हैं और उसकी रिपोर्ट प्रकाशित होने तक सुधार उपलब्ध नहीं थे। 33 नेटवर्क उपकरणों और प्रबंधित प्लेटफॉर्म पर जोखिम तथा बचाव के उपाय विक्रेता के अनुसार अलग हो सकते हैं। ऐसे उत्पादों के लिए संबंधित विक्रेता की सलाह देखें; यह न मानें कि PHP पैकेज अपडेट करने से उनका जोखिम भी दूर हो जाएगा।

सीधी बात

PHP2Shell को तत्काल पैचिंग का मामला मानें: PHP सेवाओं की सूची बनाएं, सुरक्षित संस्करण या विक्रेता से पुष्ट बैकपोर्ट लागू करें, और अपडेट संभव न हो तो अस्थायी रूप से सेवा अलग रखें या ट्रैफिक फ़िल्टर करें। 21 अक्टूबर की रिपोर्टें हमले की कोशिशों पर चिंता जताने का आधार देती हैं, लेकिन हर कोशिश को सफल सेंध बताने का नहीं। 1 15 17 25

Studio Global AI

अपना शोध जारी रखें

इस पृष्ठ में एक स्रोत-समर्थित उत्तर शामिल है जिसे आप Studio Global के अंदर जारी रख सकते हैं।

Studio Global AI के साथ खोजें और तथ्यों की जांच करें

लोग पूछते भी हैं