PHP मा गम्भीर सुरक्षा कमजोरी सार्वजनिक, वेबसाइट सञ्चालकलाई अपडेट गर्न आग्रह

ललितपुर -

PHP का दुई गम्भीर सुरक्षा कमजोरीले प्रभावित सर्भरमा अनधिकृत रूपमा कोड चलाउन सक्ने जोखिम देखिएको छ। AI सहित विभिन्न अनुसन्धान उपकरणको सहयोगमा जोखिमको पहिचान र परीक्षण गरिएपछि PHP ले सुरक्षा अपडेट जारी गरेको छ। वेबसाइट सञ्चालकलाई आफ्नो PHP संस्करण जाँच गरी सुरक्षित संस्करणमा अद्यावधिक गर्न आग्रह गरिएको छ।

विश्वभर वेबसाइट निर्माणमा व्यापक रूपमा प्रयोग हुने PHP प्रोग्रामिङ भाषामा रहेका दुई गम्भीर सुरक्षा कमजोरी सार्वजनिक भएपछि वेबसाइट सञ्चालकलाई तत्काल सुरक्षा अपडेट गर्न आग्रह गरिएको छ। २१ अक्टोबर २०२६ मा PHP परियोजनाले जारी गरेको सुरक्षा अपडेटले यी कमजोरी समाधान गरेको हो।

CVE-2026-109618 र CVE-2026-109619 नाम दिइएका यी कमजोरीको सफल दुरुपयोग भएमा केही परिस्थितिमा ह्याकरले प्रयोगकर्ताको लगइन नगरी प्रभावित सर्भरमा हानिकारक कोड चलाउन सक्ने जोखिम हुन्छ। सुरक्षा अनुसन्धानकर्ताहरूले यी कमजोरीलाई संयुक्त रूपमा ‘PHP2Shell’ नाम दिएका छन्। दुवैको CVSS v4.0 गम्भीरता स्कोर १० मध्ये ९.२ छ।

यस घटनामा कृत्रिम बुद्धिमत्ता (AI) को सहयोगले सुरक्षा कमजोरी पत्ता लगाउने, परीक्षण गर्ने र त्यसको प्रभाव बुझ्ने काममा योगदान पुर्‍याएको छ। तर यो कमजोरी AI ले एक्लै पत्ता लगाएको वा दस वर्षसम्म कसैले त्यसबारे थाहा नपाएको घटना हो भन्नु तथ्यगत रूपमा सही हुँदैन। PHP Foundation का अनुसार, एउटा कमजोरीको मूल कारण सन् २०२४ मै पहिचान भएको थियो। त्यसपछि सन् २०२६ मा विभिन्न अनुसन्धान टोलीले थप आक्रमण मार्ग पहिचान गरेपछि जोखिमको वास्तविक गम्भीरता स्पष्ट भएको हो।

स्रोत: PHP Foundation को आधिकारिक विवरण

कमजोरीको अनुसन्धान कसरी अघि बढ्यो?

PHP को मूल प्रणालीमा रहेका कमजोरीबारे सन् २०२४ मै सुरक्षा अनुसन्धान भएको थियो। तर त्यतिबेला त्यसको मूल कारण र त्यसलाई वास्तविक आक्रमणमा प्रयोग गर्न सकिने सबै मार्ग स्पष्ट भएका थिएनन्।

PHP Foundation का अनुसार, सन् २०२६ मा Calif नामक सुरक्षा अनुसन्धान संस्थाले जुलाई ३० देखि PHP को सुरक्षा परीक्षण गरिरहेको थियो। अगस्ट ११ मा Calif का अनुसन्धानकर्ता Ryan A ले पहिले पहिचान गरिएको समस्यासँग सम्बन्धित गम्भीर आक्रमण मार्गबारे जानकारी दिए। OpenAI ले पनि त्यही दिन स्वतन्त्र रूपमा सोही मूल कारणसँग सम्बन्धित कमजोरी रिपोर्ट गरेको थियो।

पछि Wiz ले अगस्ट २४ मा अर्को आक्रमण मार्ग रिपोर्ट गर्‍यो। OpenAI ले सेप्टेम्बर १८ मा थप आक्रमण मार्गबारे जानकारी दिएको PHP Foundation ले जनाएको छ। विभिन्न अनुसन्धान टोलीबाट प्राप्त विवरणले कमजोरीको वास्तविक प्रभाव बुझ्न र त्यसको समाधानलाई प्राथमिकता दिन सहयोग पुर्‍यायो।

यस प्रक्रियामा AI उपकरणहरू पनि प्रयोग गरिएका थिए। PHP Foundation ले पहिले Anthropic को Claude Mythos प्रयोग गरेर PHP को कोड परीक्षण गरेको र पछि रिपोर्टको प्रमाणीकरण तथा सम्भावित आक्रमणको परीक्षणका लागि OpenAI को Daybreak Red लगायतका उपकरण प्रयोग गरेको जनाएको छ। OpenAI का अनुसार, Calif ले GPT-5.6 Sol को सहयोगमा एउटा गम्भीर कमजोरी पहिचान गरेको थियो।

यसैले घटनाको सही निष्कर्ष के हो भने AI ले अनुसन्धानको गति बढाउन र जटिल कमजोरी परीक्षण गर्न सहयोग गर्‍यो। तर कमजोरीको प्रभाव पुष्टि गर्ने, समाधान विकास गर्ने र सुरक्षा अपडेट जारी गर्ने काममा मानिस तथा सम्बन्धित संस्थाहरूको महत्त्वपूर्ण भूमिका रह्यो।

स्रोत: OpenAI को अनुसन्धान विवरण

के PHP मा दस वर्षदेखि कमजोरी लुकेको थियो?

यस विषयमा सावधानी अपनाउन आवश्यक छ। प्रभावित PHP संस्करणको इतिहास र कमजोरीको मूल कारण पहिचान भएको समय एउटै कुरा होइनन्।

सुरक्षा सल्लाहअनुसार, PHP 5.4.0 लगायत पुराना संस्करणदेखि प्रभावित हुन सक्ने प्रणालीहरू छन्। PHP 5.4 सन् २०१२ मा सार्वजनिक भएको थियो। तर त्यसको अर्थ सन् २०१२ देखि नै यी दुवै कमजोरीको सम्पूर्ण स्वरूप पहिचान भइसकेको थियो र कसैले ध्यान दिएको थिएन भन्ने होइन।

PHP Foundation ले एउटा कमजोरीको मूल कारण सन् २०२४ मै पहिचान भएको उल्लेख गरेको छ। सन् २०२६ मा थप अनुसन्धानले त्यसको दुरुपयोग गर्न सकिने बाटो र जोखिमको गम्भीरता स्पष्ट पारेको हो।

त्यसैले यस घटनालाई ‘दस वर्षदेखि कसैले पत्ता नलगाएको कमजोरी’ भन्नुभन्दा ‘पुराना PHP संस्करणसम्म असर गर्ने र थप अनुसन्धानबाट गम्भीर आक्रमण मार्ग पुष्टि भएका सुरक्षा कमजोरी’ भन्नु बढी तथ्यपरक हुन्छ।

कमजोरी प्राविधिक रूपमा के हो?

यी दुवै कमजोरी PHP को मेमोरी व्यवस्थापन र अनुरोध प्रक्रिया समाप्त हुँदा आन्तरिक अवस्था सफा गर्ने प्रणालीसँग सम्बन्धित छन्।

पहिलो कमजोरी CVE-2026-109618 ले विशेष परिस्थितिमा मेमोरी समाप्त हुने अवस्थासँग सम्बन्धित त्रुटिलाई दुरुपयोग गर्न सक्छ। अनुरोध प्रक्रिया पूरा हुँदा PHP ले आन्तरिक डाटालाई अपेक्षित अवस्थामा नराखेमा मेमोरी बिग्रन सक्छ। त्यसको दुरुपयोगबाट प्रभावित सर्भरमा कोड चलाउन सकिने जोखिम हुन्छ।

दोस्रो कमजोरी CVE-2026-109619 अनुरोधहरूबीच पुरानो आन्तरिक अवस्था पुनः प्रयोग हुँदा उत्पन्न हुन सक्ने समस्यासँग सम्बन्धित छ। PHP ले प्रयोग गरिसकेको मेमोरी वा आन्तरिक सूचकलाई सही रूपमा व्यवस्थापन नगरेमा त्यसको दुरुपयोग हुन सक्छ।

सुरक्षा अनुसन्धानमा यस्ता समस्यालाई ‘use-after-free’ र मेमोरी करप्सनजस्ता प्राविधिक नामले चिनिन्छ। सामान्य भाषामा भन्नुपर्दा, कम्प्युटरले प्रयोग गर्न छाडिसकेको वा गलत अवस्थामा रहेको डाटालाई फेरि सही ठानेर प्रयोग गर्दा सुरक्षा कमजोरी उत्पन्न हुन सक्छ।

PHP Foundation र अन्य सुरक्षा निकायका अनुसार, केही परिस्थितिमा यी कमजोरीको सफल दुरुपयोगबाट प्रमाणीकरण नगरी टाढैबाट कोड चलाउन सकिने जोखिम हुन्छ। तर वास्तविक आक्रमण सफल हुने अवस्था सर्भरको संरचना, PHP चलाउने तरिका र अन्य प्राविधिक पक्षमा निर्भर हुन्छ।

स्रोत: क्यानडाको साइबर सुरक्षा केन्द्रको सुरक्षा सूचना

WordPress लगायतका वेबसाइट किन जोखिममा पर्न सक्छन्?

PHP वेबसाइटको पृष्ठभूमिमा चल्ने प्रोग्रामिङ भाषा भएकाले यसको सुरक्षा कमजोरी कुनै एउटा वेबसाइट व्यवस्थापन प्रणालीमा मात्र सीमित नहुन सक्छ।

WordPress, Drupal र Joomla जस्ता PHP मा आधारित प्रणाली प्रयोग गर्ने वेबसाइटमा पनि सर्भरको PHP संस्करण प्रभावित छ भने जोखिम उत्पन्न हुन सक्छ। वेबसाइटको आफ्नै कोडमा स्पष्ट कमजोरी नभए पनि PHP को मूल प्रणालीमा रहेको त्रुटिका कारण समस्या आउन सक्छ।

तर PHP प्रयोग गर्ने सबै वेबसाइट ह्याक भएका छन् भन्ने निष्कर्ष निकाल्न मिल्दैन। जोखिम प्रभावित संस्करण, सर्भरको संरचना र कमजोरीको दुरुपयोग सम्भव हुने अवस्थासँग सम्बन्धित हुन्छ।

सुरक्षा अनुसन्धानकर्ता Wiz ले आफ्नो विवरणमा यी कमजोरीको सफल दुरुपयोगबाट सर्भर नियन्त्रण, संवेदनशील विवरणमा पहुँच र वेबसाइटको सामग्री परिवर्तन हुने जोखिम औँल्याएको छ। यस्ता परिणाम सम्भव भए पनि प्रत्येक प्रभावित वेबसाइटमा यी सबै क्षति हुन्छन् भन्ने होइन।

ह्याकरले दुरुपयोग गरे के असर पर्न सक्छ?

पहिलो जोखिम वेबसाइटको अनधिकृत नियन्त्रण हो। आक्रमणकारीले सर्भरमा कोड चलाउन सकेमा वेबसाइटका फाइल परिवर्तन गर्न, सामग्री बिगार्न वा अनधिकृत फाइल राख्न सक्छ।

दोस्रो जोखिम गोप्य विवरणको सुरक्षासँग सम्बन्धित छ। सर्भरको अधिकार र पहुँचअनुसार पासवर्ड, प्रमाणीकरण टोकन, API कुञ्जी वा अन्य संवेदनशील जानकारी जोखिममा पर्न सक्छन्।

तेस्रो जोखिम अन्य प्रणालीसम्म फैलिन सक्छ। प्रभावित सर्भरमा पहुँच प्राप्त गर्ने आक्रमणकारीले त्यसलाई थप आक्रमणका लागि प्रयोग गर्ने प्रयास गर्न सक्छ। तर त्यसका लागि अन्य सुरक्षा कमजोरी वा पर्याप्त पहुँच आवश्यक पर्न सक्छ।

चौथो असर आर्थिक र प्रतिष्ठागत हुन सक्छ। समाचार पोर्टल, अनलाइन कारोबार, सरकारी सेवा वा संस्थागत वेबसाइट अवरुद्ध भएमा सेवा सञ्चालन प्रभावित हुन सक्छ। पुनःस्थापना खर्च, प्रयोगकर्ताको विश्वासमा कमी र सम्भावित कानुनी जिम्मेवारीसमेत उत्पन्न हुन सक्छ।

यी सम्भावित परिणाम हुन्। हाल उपलब्ध सार्वजनिक विवरणले सबै प्रभावित वेबसाइटमा आक्रमण भइसकेको वा सबै प्रकारका विवरण चोरी भएको पुष्टि गर्दैन।

PHP सुरक्षा टोलीले के गर्‍यो?

PHP परियोजनाले २१ अक्टोबर २०२६ मा सुरक्षा सुधारसहितका संस्करण सार्वजनिक गरेको छ। PHP Foundation का अनुसार, कमजोरी सार्वजनिक गर्ने समयअघि अनलाइनमा त्यससम्बन्धी केही विवरण फैलिन थालेपछि पूर्वनिर्धारित सार्वजनिक घोषणाको समय अगाडि सारिएको थियो।

यसअघि सुरक्षा अनुसन्धानकर्ताहरूले कमजोरीसम्बन्धी विवरण सम्बन्धित विकास टोलीलाई उपलब्ध गराएका थिए। समाधान तयार पार्ने क्रममा PHP को सुरक्षा टोलीले विभिन्न अनुसन्धानकर्ता र संस्थासँग समन्वय गरेको थियो।

सुरक्षा सुधारसहित जारी गरिएका संस्करणमा निम्न समावेश छन्:

• PHP 8.5.12
• PHP 8.4.27
• PHP 8.3.36
• PHP 8.2.35

यी संस्करणले उल्लेखित दुई कमजोरी समाधान गर्ने उद्देश्य राखेका छन्। PHP को आधिकारिक सुरक्षा सूचनाअनुसार, प्रभावित प्रणालीका सञ्चालकले आफ्नो वातावरणअनुसार उपयुक्त सुधार लागू गर्नुपर्छ।

नेपालका वेबसाइट सञ्चालकले के गर्ने?

नेपालमा समाचार पोर्टल, व्यावसायिक वेबसाइट, संस्थागत प्रणाली र अनलाइन सेवामा PHP तथा WordPress प्रयोग हुने भएकाले वेबसाइट सञ्चालकले आफ्नो प्रणाली जाँच गर्नुपर्छ।

१. PHP को संस्करण जाँच गर्ने

cPanel मा लगइन गरेर MultiPHP Manager वा Select PHP Version खोज्नुहोस्। त्यहाँ आफ्नो डोमेनसँग सम्बन्धित PHP संस्करण हेर्न सकिन्छ। विकल्प उपलब्ध नभए होस्टिङ प्रदायकसँग सोध्नुहोस्।

२. सुरक्षित संस्करणमा अद्यावधिक गर्ने

प्रभावित संस्करण प्रयोग भइरहेको पुष्टि भएमा समर्थित र सुरक्षित संस्करणमा अद्यावधिक गर्नुहोस्। अद्यावधिक गर्दा वेबसाइटसँग अनुकूलता जाँच्नु आवश्यक हुन्छ। PHP 8.1 वा त्योभन्दा पुरानो संस्करण प्रयोग भइरहेको छ भने नियमित सुरक्षा सुधार उपलब्धताको अवस्था जाँच गरी समर्थित संस्करणमा स्थानान्तरण गर्ने योजना बनाउनुहोस्।

३. पूर्ण ब्याकअप लिने

अपडेट गर्नुअघि वेबसाइटका फाइल र डाटाबेसको ब्याकअप लिनुहोस्। सम्भव भए परीक्षण वातावरणमा परिवर्तन लागू गरी वेबसाइट ठीकसँग चलेको पुष्टि गरेपछि मुख्य वेबसाइटमा अपडेट गर्नुहोस्।

४. होस्टिङ कम्पनीसँग समन्वय गर्ने

साझा होस्टिङमा PHP संस्करण परिवर्तन गर्ने अधिकार प्रयोगकर्तासँग नहुन सक्छ। यस्तो अवस्थामा होस्टिङ प्रदायकलाई सुरक्षा अपडेट लागू भएको पुष्टि गर्न अनुरोध गर्नुहोस्।

५. शंकास्पद गतिविधि जाँच गर्ने

असामान्य लगइन, अनपेक्षित फाइल परिवर्तन, शंकास्पद प्रक्रिया वा सर्भर त्रुटि देखिएमा प्राविधिक जाँच गराउनुहोस्। सुरक्षा अपडेट गर्नु र सम्भावित पुरानो आक्रमणको जाँच गर्नु अलग-अलग काम हुन्।

६. तत्काल अपडेट गर्न नसकेमा जोखिम घटाउने

होस्टिङ प्रदायक वा साइबर सुरक्षा विशेषज्ञसँग समन्वय गरी जोखिमयुक्त सेवाको पहुँच अस्थायी रूपमा सीमित गर्ने वा सेवा अलग राख्ने विकल्प विचार गर्न सकिन्छ। तर PHP Foundation ले यी कमजोरीका लागि पूर्ण सुरक्षा दिने वैकल्पिक उपाय नभएको र अपडेट नै मुख्य समाधान भएको जनाएको छ।

आधिकारिक सुरक्षा सूचना: https://www.php.net/archive/2026.php

AI ले सुरक्षा अनुसन्धानलाई कसरी बदल्न सक्छ?

यस घटनाले AI को प्रयोग साइबर सुरक्षामा उपयोगी हुन सक्ने देखाएको छ। AI ले ठूलो कोड आधार विश्लेषण गर्न, शंकास्पद अवस्था पहिचान गर्न र सम्भावित आक्रमण मार्ग परीक्षण गर्न सहयोग पुर्‍याउन सक्छ। यसबाट अनुसन्धानकर्ताले जटिल समस्यामा छिटो ध्यान केन्द्रित गर्न सक्छन्।

तर AI ले सुरक्षा कमजोरी पत्ता लगाउने क्षमता बढाउँदा आक्रमणकारीले पनि त्यसको दुरुपयोग गर्न सक्ने जोखिम रहन्छ। त्यसैले कमजोरी पत्ता लगाउने प्रणाली मात्र होइन, समाधान जारी गर्ने, संस्थालाई समयमै सूचना दिने र अद्यावधिक लागू भएको सुनिश्चित गर्ने व्यवस्था पनि बलियो बनाउन आवश्यक छ।

PHP Foundation ले AI सहायताबाट आउने सुरक्षा रिपोर्टको सङ्ख्या बढिरहेको र तीमध्ये कतिपय गलत, दोहोरिएका वा पुनः परीक्षण गर्न नसकिने रिपोर्टसमेत हुने उल्लेख गरेको छ। यसले AI को परिणामलाई मानिसले प्रमाणीकरण गर्नु किन आवश्यक छ भन्ने देखाउँछ।

निष्कर्ष

PHP मा सार्वजनिक भएका दुई गम्भीर सुरक्षा कमजोरीले विश्वभरका वेबसाइट सञ्चालकलाई आफ्नो सर्भरको सुरक्षा पुनःजाँच गर्नुपर्ने अवस्था सिर्जना गरेका छन्। अनुसन्धानमा AI को महत्त्वपूर्ण भूमिका रहे पनि कमजोरीको पहिचान, जोखिम पुष्टि र समाधानको प्रक्रिया विभिन्न अनुसन्धानकर्ता तथा PHP विकास टोलीको संयुक्त प्रयासमा अघि बढेको हो।

यस घटनाबाट प्राप्त मुख्य पाठ स्पष्ट छ—सफ्टवेयरमा वर्षौँदेखि रहेको समस्या पत्ता लाग्नु मात्र पर्याप्त हुँदैन; त्यसलाई सही रूपमा समाधान गर्नु र प्रभावित प्रणालीसम्म सुरक्षा अपडेट पुर्‍याउनु उत्तिकै महत्त्वपूर्ण हुन्छ।

वेबसाइट सञ्चालकले PHP को संस्करण जाँच गरी आधिकारिक सुरक्षा अपडेट लागू गर्नुपर्छ। AI को प्रयोग बढ्दै जाँदा डिजिटल सुरक्षा पनि निरन्तर परीक्षण, जिम्मेवार अनुसन्धान र समयमै सुधारमा निर्भर रहनेछ।

मुख्य स्रोतहरू

• PHP Foundation: https://thephp.foundation/blog/2026/10/21/todays-php-security-release-and-how-were-strengthening-php-security/
• OpenAI: https://openai.com/index/coordinated-disclosure-of-critical-vulnerabilities/
• Wiz Research: https://www.wiz.io/blog/php2shell-php-rce
• Canadian Centre for Cyber Security: https://www.cyber.gc.ca/en/alerts-advisories/al26-026-critical-vulnerabilities-impacting-php-cve-2026-109618-and-cve-2026-109619