‹ News Blitz Science & Technology Developing

PHP के सुरक्षा सुधार उन खामियों को दूर करते हैं, जिनसे हमलावर सर्वरों पर नियंत्रण पा सकते थे

English हिंदी ಕನ್ನಡ മലയാളം தமிழ் తెలుగు

First brief 23 Oct, 5:15 pm IST Updated 23 Oct, 5:15 pm IST 0 developments 1 min read

Server racks (file photo). — Carl Lender · CC BY 2.0

Where it stands

PHP के रखरखावकर्ताओं ने 21 अक्टूबर 2026 को वेबसाइट सर्वरों को प्रभावित करने वाली दो खामियों के लिए तत्काल सुरक्षा सुधार जारी किए। PHP एक सॉफ़्टवेयर है, जिसका उपयोग कई वेबसाइटों के पीछे के निर्देश चलाने में होता है। इन खामियों के कारण कोई हमलावर पहले लॉग-इन किए बिना ही किसी कमज़ोर सर्वर से निर्देश चलवा सकता है। यह इसलिए अहम है क्योंकि वेबसाइट का सर्वर खाते की जानकारी, फ़ॉर्म और दूसरा संवेदनशील डेटा संभाल सकता है। उस सर्वर को चलाने वाले सॉफ़्टवेयर की खामी उन अलग-अलग वेबसाइटों पर असर डाल सकती है, जो एक ही बुनियादी घटक का उपयोग करती हैं। समस्या किसी एक वेबसाइट के पासवर्ड या किसी एक आगंतुक के ब्राउज़र तक सीमित नहीं है। सुधार उपलब्ध हैं, लेकिन उनके जारी होने से हर प्रभावित इंस्टॉलेशन अपने आप अपडेट नहीं हो जाता। वेबसाइट संचालकों और होस्टिंग प्रदाताओं को अपने PHP सिस्टम पहचानने होंगे और उचित अपडेट लगाने होंगे। यूरोपीय साइबर सुरक्षा अधिकारियों की सलाह है कि अगर खुले हुए एप्लिकेशन तुरंत ठीक न किए जा सकें, तो उन्हें अलग कर दिया जाए। एक आम आगंतुक के लिए मुख्य अंतर कमज़ोरी और पुष्ट सेंधमारी के बीच है। परामर्श एक गंभीर सुरक्षा कमज़ोरी को स्थापित करता है; यह साबित नहीं करता कि हर PHP वेबसाइट हैक हो चुकी है। फ़ोन अपडेट करना या पासवर्ड बदलना प्रभावित सर्वर सॉफ़्टवेयर की मरम्मत का विकल्प नहीं हो सकता।

Background

ब्राउज़र वेब पेज दिखाता है, लेकिन कई काम एक अलग कंप्यूटर पर होते हैं, जिसे सर्वर कहते हैं। जब कोई फ़ॉर्म भरकर भेजता है, तो सर्वर उस जानकारी को संसाधित करके जवाब तैयार कर सकता है। PHP इस काम में उपयोग होने वाली प्रोग्रामिंग भाषाओं में से एक है। कोई वेबसाइट PHP का उपयोग सीधे या किसी बड़े सॉफ़्टवेयर उत्पाद के ज़रिए कर सकती है। यह साझा नींव डेवलपरों को हर घटक खुद बनाए बिना सेवाएँ बनाने में मदद करती है। इसका यह भी अर्थ है कि किसी व्यापक रूप से उपयोग होने वाले एक घटक की खामी एक साथ कई संगठनों के लिए काम खड़ा कर सकती है। दोनों नई खामियाँ इस बात से जुड़ी हैं कि PHP आंतरिक मेमोरी और अनुरोध की जानकारी को कैसे संभालता है। प्रभावित परिस्थितियों में सॉफ़्टवेयर अमान्य आंतरिक डेटा का उपयोग कर सकता है। कोई हमलावर इस कमज़ोरी का फ़ायदा उठाकर सर्वर पर कोड चला सकता है। इसे दूरस्थ कोड निष्पादन (remote code execution) कहते हैं। व्यावहारिक उपाय यह है कि कमज़ोर सॉफ़्टवेयर को उचित प्रदाता से मिले सुधरे हुए संस्करण से बदला जाए। अस्थायी प्रतिबंध खतरे को कम कर सकते हैं, लेकिन PHP के रखरखावकर्ताओं का कहना है कि वे अपडेट करने का पूरा विकल्प नहीं हैं। पुराने इंस्टॉलेशनों पर भी ध्यान देना ज़रूरी है, क्योंकि हर संस्करण को अब भी नियमित सुरक्षा सुधार नहीं मिलते। यह घटना दिखाती है कि साइबर सुरक्षा में साझा सॉफ़्टवेयर का रखरखाव भी शामिल है, केवल उपयोगकर्ताओं से मज़बूत पासवर्ड चुनने को कहना नहीं। किसी संगठन को यह जानना ज़रूरी है कि उसकी सेवाएँ किन घटकों पर निर्भर हैं, तभी वह तय कर सकता है कि कोई चेतावनी उस पर लागू होती है या नहीं।

How it developed

21 October 2026

How it started
रखरखावकर्ताओं ने सुधार जारी किए, अधिकारियों ने संचालकों से अपडेट करने का आग्रह किया

PHP ने 21 अक्टूबर को CVE-2026-109618 और CVE-2026-109619 के लिए सुधार जारी किए। सुधरे हुए संस्करणों में PHP 8.5.12, 8.4.27, 8.3.36 और 8.2.35 शामिल हैं। प्रदाता अपने समर्थित सॉफ़्टवेयर पैकेजों के ज़रिए भी सुधार दे सकते हैं। ENISA और दूसरे यूरोपीय अधिकारियों ने संगठनों से प्रभावित एप्लिकेशनों की पहचान करने और इंटरनेट से जुड़े सिस्टमों को प्राथमिकता देने का आग्रह किया। उन्होंने होस्टिंग प्रदाताओं के साथ तालमेल की सलाह दी, और जहाँ तुरंत मरम्मत संभव न हो, वहाँ अलग करने की सलाह दी। पैच उपलब्ध होने से यह स्थापित नहीं होता कि हर संचालक ने उसे इंस्टॉल कर लिया है।

PHP development team ENISA OpenAI

Why it matters for UPSC

GS3 · Cybersecurity and digital infrastructure

समझाइए कि किसी साझा सॉफ़्टवेयर घटक की खामी कई डिजिटल सेवाओं को कैसे प्रभावित कर सकती है। कमज़ोरी, एक्सप्लॉइट और पुष्ट डेटा सेंधमारी में अंतर बताइए। सर्वर सॉफ़्टवेयर की मरम्मत की ज़िम्मेदारी केवल अलग-अलग उपयोगकर्ताओं की नहीं, बल्कि संचालकों और प्रदाताओं की है।

Key terms

सर्वर (Server)एक कंप्यूटर या सेवा, जो अनुरोध प्राप्त करती है और दूसरे उपकरणों के लिए जानकारी देती है या काम करती है। किसी वेबसाइट का सर्वर आगंतुक के ब्राउज़र को जवाब भेजने से पहले भरे गए फ़ॉर्म को संसाधित कर सकता है। इसके सॉफ़्टवेयर की मरम्मत करना आगंतुक का फ़ोन अपडेट करने से अलग है।

पीएचपी (PHP)एक प्रोग्रामिंग भाषा, जिसका वेब सर्वरों पर होने वाले काम में व्यापक उपयोग होता है। यह किसी वेबसाइट को सीधे चला सकती है या किसी दूसरे सॉफ़्टवेयर उत्पाद का हिस्सा बन सकती है। इसलिए PHP की सुरक्षा समस्या उन संगठनों को भी प्रभावित कर सकती है, जो इसका अप्रत्यक्ष रूप से उपयोग करते हैं।

दूरस्थ कोड निष्पादन (Remote code execution)दूर से किसी दूसरे कंप्यूटर से निर्देश चलवाने की क्षमता। इस चेतावनी में हमलावर प्रभावित सर्वर पर लॉग-इन किए बिना ऐसा कर सकता है। यह खामी से पैदा हुई एक क्षमता है, इस बात का प्रमाण नहीं कि हर कमज़ोर सर्वर पर हमला हुआ है।

कमज़ोरी और एक्सप्लॉइट (Vulnerability and exploit)कमज़ोरी एक सुरक्षा खामी है। एक्सप्लॉइट वह तरीका है, जो उस कमज़ोरी का फ़ायदा उठाता है। कोई कमज़ोरी ढूँढ़ना या एक्सप्लॉइट का प्रदर्शन करना अपने आप यह साबित नहीं करता कि किसी खास संगठन का डेटा चुराया गया है।

सुरक्षा पैच (Security patch)सॉफ़्टवेयर में किया गया ऐसा बदलाव, जो किसी सुरक्षा खामी की मरम्मत करता है। उस सिस्टम की सुरक्षा के लिए इसे प्रभावित इंस्टॉलेशन तक पहुँचना ज़रूरी है। पैच जारी करना और उसे सभी संगठनों में इंस्टॉल करना अलग-अलग कदम हैं, इसीलिए होस्टिंग प्रदाताओं के साथ तालमेल मायने रखता है।

सीवीई पहचानकर्ता (CVE identifier)सार्वजनिक रूप से उजागर की गई किसी सुरक्षा कमज़ोरी का उल्लेख करने के लिए उपयोग होने वाला एक मानक पहचानकर्ता। यह अलग-अलग संगठनों को असंगत नामों पर निर्भर हुए बिना एक ही खामी पर चर्चा करने में मदद करता है। यह संख्या एक ट्रैकिंग लेबल है, पीड़ितों की गिनती या गंभीरता का अंक नहीं।

Sources (3)

PHP development team · official · 21 October critical security advisory and fixes23 Oct, 5:30 am
ENISA · official · Joint statement on critical PHP vulnerabilities23 Oct, 5:30 am
OpenAI · official · Coordinated disclosure of critical PHP vulnerabilities23 Oct, 5:30 am