PHP2Shell समेत कई critical bugs, तुरंत update जरूरी

नई दिल्ली, 23 अक्टूबर: Websites चलाने में सबसे ज्यादा इस्तेमाल होने वाली programming language PHP में मिली दो गंभीर खामियों के बाद दुनियाभर के server administrators इस हफ्ते emergency update में लगे रहे। PHP टीम ने बुधवार, 21 अक्टूबर को इनके fix वाले नए versions जारी किए। इसी हफ्ते GitLab, Oracle और Arista ने भी critical patches निकाले, जबकि अक्टूबर की शुरुआत से Ivanti, Citrix और Microsoft के products में zero-day bugs सामने आ चुके हैं।

Security कंपनियों के अनुमान के अनुसार इंटरनेट की करीब 70% websites और applications PHP पर चलती हैं, इसलिए इस खामी का दायरा बहुत बड़ा माना जा रहा है।

PHP2Shell क्या है

इन दो bugs को CVE-2026-109618 और CVE-2026-109619 नंबर दिए गए हैं। Security जगत में इन्हें मिलाकर “PHP2Shell” कहा जा रहा है। PHP security team ने दोनों को CVSS v4.0 पैमाने पर 9.2 स्कोर दिया है, जो critical श्रेणी है। इनके जरिए hacker बिना login किए web server पर अपना code चला सकता है। तकनीकी भाषा में इसे remote code execution (RCE) कहते हैं।

पहला bug तब सक्रिय होता है जब memory खत्म होने से कोई प्रक्रिया बीच में रुक जाती है और request data अधूरा रह जाता है। दूसरे bug में memory खाली होने के बाद भी पुरानी जानकारी बची रहती है, जिसे अगली request इस्तेमाल कर सकती है। PHP 5.4 से 8.5.11 तक के versions प्रभावित बताए गए हैं।

Leak के कारण एक दिन पहले आया patch

यह मामला तय समय से पहले सार्वजनिक हो गया। 20 अक्टूबर को Hacker News फोरम पर एक post में दोनों CVE नंबर सामने आ गए, जिसे बाद में हटा लिया गया। उसी दिन PHP ने advance notice जारी किया। Security कंपनी Tenable के मुताबिक PHP Foundation ने बताया कि release पहले 22 अक्टूबर को होना था, लेकिन leak के बाद इसे एक दिन पहले कर दिया गया। Fix PHP 8.5.12, 8.4.27, 8.3.36 और 8.2.35 में उपलब्ध है।

Amazon Threat Intelligence ने अपने honeypot data में 17 अक्टूबर को ही exploit की एक कोशिश दर्ज की, यानी सार्वजनिक घोषणा से चार दिन पहले। watchTowr ने भी हमलों की कोशिशें देखने की जानकारी दी है। अमेरिकी साइबर एजेंसी CISA ने संस्थाओं से तुरंत update करने को कहा। CERT-EU ने सलाह दी कि जहां तुरंत patch संभव न हो, वहां internet से जुड़ी applications को अलग रखने पर विचार किया जाए।

WordPress जैसे CMS भी PHP पर चलते हैं। इसलिए सिर्फ plugin या CMS update करना काफी नहीं है, server पर PHP runtime का update होना जरूरी है।

GitLab, Oracle और Arista के critical fixes

GitLab ने 21 अक्टूबर को CVE-2026-110264 के लिए emergency patch जारी किया। इसे CVSS 10.0 यानी अधिकतम स्कोर मिला है। Regular expression compiler में integer overflow के कारण self-managed GitLab server पर बिना login code चलाया जा सकता था। कंपनी के अनुसार GitLab.com users को कोई कदम उठाने की जरूरत नहीं है।

Oracle ने Java SE और GraalVM के JSSE component में CVE-2026-91403 के लिए out-of-band Security Alert जारी किया। इसका स्कोर 9.1 है। अभी तक इसके exploit होने की पुष्टि नहीं हुई है।

Arista Networks ने 22 अक्टूबर को VeloCloud Orchestrator के on-prem deployments में CVE-2026-114625 को ठीक किया। यह zero-day हमलों में इस्तेमाल हो चुका था और इसमें SQL injection से user अपने अधिकार बढ़ा सकता था।

महीने की शुरुआत से जारी सिलसिला

13 अक्टूबर को Ivanti ने Connect Secure VPN के zero-day CVE-2026-104935 (स्कोर 8.6) का patch जारी किया। Volexity के अनुसार हमलावरों ने तीन खामियों की chain का इस्तेमाल किया, जिनमें से एक का fix अभी बाकी है। Citrix ने महीने की शुरुआत में NetScaler के SAML zero-day CVE-2026-88779 के लिए emergency update दिया। Microsoft के अक्टूबर Patch Tuesday में रिकॉर्ड 1,413 खामियां ठीक की गईं, जिनमें Windows Shell का exploited zero-day शामिल है। Microsoft ने कहा है कि AI की मदद से bugs खोजने के कारण monthly updates में fixes की संख्या बढ़ेगी।

Users और कंपनियों के लिए क्या मतलब

Security researchers का कहना है कि खामी सामने आने और उसके exploit होने के बीच का समय तेजी से घट रहा है। Website चलाने वालों को अपने hosting provider से PHP version की पुष्टि करनी चाहिए। कंपनियों के लिए VPN, GitLab और Java systems की सूची बनाकर प्राथमिकता से patch लगाना जरूरी है। PHP ने साफ किया है कि temporary settings केवल अस्थायी राहत हैं, स्थायी उपाय update ही है।