PHP में दो गंभीर सुरक्षा खामियों से दुनिया भर में साइबर अलर्ट, करोड़ों वेब सेवाएं और सर्वर खतरे में

बेंगलुरु / नई दिल्ली: दुनिया की सबसे लोकप्रिय और व्यापक रूप से इस्तेमाल होने वाली सर्वर-साइड प्रोग्रामिंग लैंग्वेज 'PHP' में दो गंभीर सुरक्षा खामियां उजागर हुई हैं। इन तकनीकी खामियों के कारण वैश्विक स्तर पर बड़ा साइबर सुरक्षा संकट खड़ा हो गया है।

साइबर विशेषज्ञों के मुताबिक, इन कमजोरियों का फायदा उठाकर हमलावर (हैकर्स) बिना किसी यूजरनेम या पासवर्ड (ऑथेंटिकेशन) के इंटरनेट से जुड़े सर्वर्स पर मनचाहा कोड रिमोटली एग्जीक्यूट कर सकते हैं। इस खतरे की गंभीरता को देखते हुए वैश्विक सुरक्षा शोधकर्ताओं और तकनीकी संस्थाओं ने तत्काल अलर्ट जारी किया है।

साइबर सुरक्षा हलकों में इन दोनों कमजोरियों को सामूहिक रूप से 'PHP2Shell' नाम दिया गया है। फोर्टिनेट (Fortinet) के थ्रेट इंटेलिजेंस और एडवरसेरियल एआई रिसर्च के ग्लोबल डायरेक्टर आमिर लखानी ने बताया कि इस हफ्ते सामने आई ये दो गंभीर खामियां उन सभी संगठनों के लिए तत्काल सुरक्षा और बिजनेस निरंतरता का बड़ा संकट पैदा करती हैं, जो वेबसाइट्स, कस्टमर पोर्टल्स और वेब एप्लिकेशंस पर निर्भर हैं।

Loading...

इसके साथ ही, PHP ने अलग से एक सुरक्षा एडवाइजरी जारी कर यूजर्स को अपनी 'सेशन अपलोड प्रोग्रेस' (Session Upload Progress) फीचर को तुरंत अस्थायी रूप से बंद (डिसेबल) करने की सलाह दी है। यह एडवाइजरी एक अन्य रिमोट कोड एग्जीक्यूशन (RCE) जोखिम को टालने के लिए 23 अक्टूबर को जारी की गई। यह समस्या मुख्य रूप से तब पैदा होती है जब एप्लिकेशन रन होते समय विशिष्ट सेशन सेटिंग्स बदली जाती हैं और अपलोड प्रोग्रेस फीचर एक्टिव रहता है।

PHP इंटरनेट का एक बहुत बड़ा आधार स्तंभ है। दुनिया भर में सबसे लोकप्रिय कंटेंट मैनेजमेंट और ई-कॉमर्स प्लेटफॉर्म्स जैसे WordPress, Drupal, Joomla और Magento बड़े पैमाने पर PHP पर ही आधारित हैं। इसका सीधा मतलब यह है कि अगर कोई कंपनी सीधे तौर पर PHP में कोड नहीं भी लिखती है, तब भी वह कमर्शियल एप्लिकेशंस, होस्टिंग प्रोवाइडर्स और एम्बेडेड सॉफ्टवेयर कंपोनेंट्स के जरिए सीधे जोखिम में आ सकती है।

खतरे का दायरा कितना बड़ा है, इसका अंदाजा साइबर सुरक्षा फर्म 'सेंसिस' (Censys) के आंकड़ों से लगाया जा सकता है। 22 अक्टूबर के स्नैपशॉट के अनुसार, सेंसिस ने इंटरनेट पर लगभग 3.67 करोड़ (36.7 मिलियन) ऐसी सेवाएं चिन्हित कीं, जो प्रभावित PHP वर्जन्स की रिपोर्ट कर रही थीं।

वहीं, प्रमुख वल्नेरेबिलिटी मैनेजमेंट कंपनी 'क्वालिस' (Qualys) के थ्रेट रिसर्च यूनिट हेड और प्रोडक्ट डायरेक्टर सईद अब्बासी ने खुलासा किया कि उनकी जांच में 12,000 संगठनों के भीतर 16.7 करोड़ PHP पैकेज इंस्टॉलेशन मिले।

इनमें से करीब 73 फीसदी इंस्टॉलेशन इंटरनेट-फेसिंग एसेट्स पर तैनात थे, जो रिमोट साइबर हमलावरों की सीधी पहुंच में हैं। अब्बासी के अनुसार, केवल पैच लागू करना उन सिस्टम्स के लिए पर्याप्त नहीं होगा जो 'एंड ऑफ लाइफ' (पुराने और असमर्थित) वर्जन्स पर चल रहे हैं; वहां पूरे सिस्टम को अपग्रेड करना ही एकमात्र स्थायी समाधान है।

Loading...

वैश्विक साइबर इंटेलिजेंस कंपनी 'क्लाउडसेक' (CloudSEK) के विश्लेषण के अनुसार, सर्च इंजन 'शोडान' (Shodan) ने दुनिया भर में इंटरनेट से जुड़ी 22 लाख ऐसी सेवाओं की पहचान की जो अपनी PHP जानकारी सार्वजनिक रूप से प्रदर्शित कर रही थीं।

इस सूची में भारत 53,400 सेवाओं के साथ दुनिया में 9वें स्थान पर है। क्लाउडसेक के सुरक्षा शोधकर्ता आकाश कार्ति के मुताबिक, भारत में जिन 36,700 सेवाओं के PHP वर्जन का पता चला, उनमें से लगभग 36,100 सेवाएं बिना पैच (Unpatched) के चल रही थीं।

इनमें से लगभग 19,500 सेवाएं ऐसे पुराने वर्जन्स पर चल रही हैं जिनका आधिकारिक सपोर्ट (End of Life) पहले ही समाप्त हो चुका है। यह स्थिति भारतीय व्यवसायों और डिजिटल बुनियादी ढांचे के लिए अत्यंत चिंताजनक है।

विशेषज्ञों ने सर्वर एडमिनिस्ट्रेटर और कंपनियों को तुरंत निम्नलिखित सुरक्षा उपाय अपनाने की सलाह दी है:

Loading...

1. अपलोड प्रोग्रेस फीचर बंद करें: जब तक आधिकारिक बग-फिक्स रिलीज नहीं आ जाता, तब तक PHP की सेशन अपलोड प्रोग्रेस सेटिंग को निष्क्रिय करें।
2. सॉफ्टवेयर अपग्रेड करें: अप्रचलित (End-of-life) PHP वर्जन्स को तुरंत नवीनतम समर्थित वर्जन पर माइग्रेट करें।
3. वेंडर पैच तुरंत लागू करें: होस्टिंग प्लेटफॉर्म्स, फायरवॉल और वेब सर्वर वेंडर्स द्वारा जारी किए गए सुरक्षा पैच बिना देरी के इंस्टॉल करें।

प्रश्न 1: PHP में सामने आई नई खामियों को क्या नाम दिया गया है और ये कितनी खतरनाक हैं?

उत्तर: इन खामियों को सुरक्षा विशेषज्ञों द्वारा 'PHP2Shell' कहा गया है। यह 'रिमोट कोड एग्जीक्यूशन' (RCE) से जुड़ी हैं, जिसकी मदद से साइबर अपराधी बिना यूजर अनुमति या ऑथेंटिकेशन के सर्वर में घुसपैठ कर पूरा नियंत्रण हासिल कर सकते हैं।

प्रश्न 2: क्या वर्डप्रेस (WordPress) और ड्रुपल (Drupal) पर बनी वेबसाइट्स भी खतरे में हैं?

उत्तर: हां, चूंकि WordPress, Drupal, Joomla और Magento जैसी सेवाएं PHP पर आधारित हैं, इसलिए इनसे जुड़ी वेबसाइटें और होस्टिंग सर्वर इस जोखिम के दायरे में आते हैं।

प्रश्न 3: इस साइबर खतरे में भारत की क्या स्थिति है?

उत्तर: क्लाउडसेक के अनुसार, भारत प्रभावित सेवाओं के मामले में दुनिया में 9वें स्थान पर है। भारत में 53,400 से अधिक इंटरनेट-फेसिंग PHP सेवाएं हैं, जिनमें से 36,000 से ज्यादा अनपैच्ड और 19,000 से अधिक सेवाएं पुराने (End of Life) वर्जन्स पर चल रही हैं।

प्रश्न 4: वेबसाइट ओनर्स और सर्वर एडमिन को अभी क्या करना चाहिए?

उत्तर: डेवलपर्स को सलाह दी गई है कि वे नए फिक्स आने तक PHP की 'session upload progress' फीचर को तुरंत डिसेबल करें और अपने पुराने PHP वर्जन्स को लेटेस्ट सपोर्टेड वर्जन पर अपग्रेड करें।

यह कोई निवेश सलाह, या बेचने का ऑफर नहीं है। पाठकों को सलाह दी जाती है कि निवेश से पहले खुद रिसर्च करें या SEBI में रजिस्टर्ड किसी निवेश सलाहकार से सलाह लें। लेखक SEBIरजिस्टर्ड निवेश सलाहकार नहीं है