‹ News Blitz Science & Technology Developing

ದಾಳಿಕೋರರು ಸರ್ವರ್‌ಗಳ ಮೇಲೆ ನಿಯಂತ್ರಣ ಸಾಧಿಸಲು ಅವಕಾಶ ನೀಡಬಹುದಾದ ದೋಷಗಳಿಗೆ PHP ಭದ್ರತಾ ಪರಿಹಾರಗಳು

English हिंदी ಕನ್ನಡ മലയാളം தமிழ் తెలుగు

First brief 23 Oct, 5:15 pm IST Updated 23 Oct, 5:15 pm IST 0 developments 1 min read

Server racks (file photo). — Carl Lender · CC BY 2.0

Where it stands

PHP ನಿರ್ವಹಣಾ ತಂಡವು 21 ಅಕ್ಟೋಬರ್ 2026ರಂದು ವೆಬ್‌ಸೈಟ್ ಸರ್ವರ್‌ಗಳ ಮೇಲೆ ಪರಿಣಾಮ ಬೀರುವ ಎರಡು ದೋಷಗಳಿಗೆ ತುರ್ತು ಭದ್ರತಾ ಪರಿಹಾರಗಳನ್ನು ಬಿಡುಗಡೆ ಮಾಡಿತು. PHP ಅನೇಕ ವೆಬ್‌ಸೈಟ್‌ಗಳ ಹಿಂದಿನ ಸೂಚನೆಗಳನ್ನು ಚಲಾಯಿಸಲು ಬಳಸುವ ತಂತ್ರಾಂಶ. ಈ ದೋಷಗಳಿಂದ, ದಾಳಿಕೋರನು ಮೊದಲು ಲಾಗಿನ್ ಆಗದೆಯೇ ದುರ್ಬಲ ಸರ್ವರ್ ಸೂಚನೆಗಳನ್ನು ಕಾರ್ಯಗತಗೊಳಿಸುವಂತೆ ಮಾಡಬಹುದು. ಇದು ಮುಖ್ಯ, ಏಕೆಂದರೆ ವೆಬ್‌ಸೈಟ್‌ನ ಸರ್ವರ್ ಖಾತೆ ಮಾಹಿತಿ, ನಮೂನೆಗಳು ಮತ್ತು ಇತರ ಸೂಕ್ಷ್ಮ ದತ್ತಾಂಶವನ್ನು ನಿರ್ವಹಿಸಬಹುದು. ಆ ಸರ್ವರ್ ಚಲಾಯಿಸುವ ತಂತ್ರಾಂಶದಲ್ಲಿನ ದೋಷವು, ಅದೇ ಮೂಲ ಘಟಕವನ್ನು ಹಂಚಿಕೊಳ್ಳುವ ಬೇರೆ ಬೇರೆ ವೆಬ್‌ಸೈಟ್‌ಗಳ ಮೇಲೆ ಪರಿಣಾಮ ಬೀರಬಹುದು. ಸಮಸ್ಯೆ ಒಂದು ವೆಬ್‌ಸೈಟ್‌ನ ಪಾಸ್‌ವರ್ಡ್ ಅಥವಾ ಒಬ್ಬ ಸಂದರ್ಶಕನ ಬ್ರೌಸರ್‌ಗೆ ಸೀಮಿತವಾಗಿಲ್ಲ. ಪರಿಹಾರಗಳು ಲಭ್ಯವಿವೆ, ಆದರೆ ಬಿಡುಗಡೆಯಾದ ಮಾತ್ರಕ್ಕೆ ಪ್ರತಿಯೊಂದು ಬಾಧಿತ ಸ್ಥಾಪನೆಯೂ ತಾನಾಗಿಯೇ ನವೀಕರಣಗೊಳ್ಳುವುದಿಲ್ಲ. ವೆಬ್‌ಸೈಟ್ ನಿರ್ವಾಹಕರು ಮತ್ತು ಹೋಸ್ಟಿಂಗ್ ಸೇವಾದಾರರು ತಮ್ಮ PHP ವ್ಯವಸ್ಥೆಗಳನ್ನು ಗುರುತಿಸಿ ಸೂಕ್ತ ನವೀಕರಣಗಳನ್ನು ಅಳವಡಿಸಬೇಕು. ತೆರೆದುಕೊಂಡ ಅಪ್ಲಿಕೇಶನ್‌ಗಳನ್ನು ತಕ್ಷಣ ಸರಿಪಡಿಸಲು ಸಾಧ್ಯವಾಗದಿದ್ದರೆ ಅವುಗಳನ್ನು ಪ್ರತ್ಯೇಕಿಸುವಂತೆ ಯುರೋಪಿನ ಸೈಬರ್ ಭದ್ರತಾ ಪ್ರಾಧಿಕಾರಗಳು ಸಲಹೆ ನೀಡಿವೆ. ಸಾಮಾನ್ಯ ಸಂದರ್ಶಕನಿಗೆ ಮುಖ್ಯ ವ್ಯತ್ಯಾಸವೆಂದರೆ ದುರ್ಬಲತೆ ಮತ್ತು ದೃಢಪಟ್ಟ ಭದ್ರತಾ ಉಲ್ಲಂಘನೆಯ ನಡುವಿನದು. ಸಲಹಾ ಸೂಚನೆಯು ಒಂದು ಗಂಭೀರ ಭದ್ರತಾ ದೌರ್ಬಲ್ಯವನ್ನು ದೃಢಪಡಿಸುತ್ತದೆ; ಪ್ರತಿಯೊಂದು PHP ವೆಬ್‌ಸೈಟ್ ಹ್ಯಾಕ್ ಆಗಿದೆ ಎಂದು ಅದು ಸಾಬೀತುಪಡಿಸುವುದಿಲ್ಲ. ಫೋನ್ ನವೀಕರಿಸುವುದು ಅಥವಾ ಪಾಸ್‌ವರ್ಡ್ ಬದಲಿಸುವುದು ಬಾಧಿತ ಸರ್ವರ್ ತಂತ್ರಾಂಶವನ್ನು ಸರಿಪಡಿಸುವುದಕ್ಕೆ ಬದಲಿಯಾಗಲಾರದು.

Background

ಬ್ರೌಸರ್ ವೆಬ್ ಪುಟವನ್ನು ತೋರಿಸುತ್ತದೆ, ಆದರೆ ಅನೇಕ ಕೆಲಸಗಳು ಸರ್ವರ್ ಎಂದು ಕರೆಯುವ ಪ್ರತ್ಯೇಕ ಕಂಪ್ಯೂಟರ್‌ನಲ್ಲಿ ನಡೆಯುತ್ತವೆ. ಯಾರಾದರೂ ಒಂದು ನಮೂನೆಯನ್ನು ಸಲ್ಲಿಸಿದಾಗ, ಸರ್ವರ್ ಆ ಮಾಹಿತಿಯನ್ನು ಸಂಸ್ಕರಿಸಿ ಪ್ರತಿಕ್ರಿಯೆಯನ್ನು ಸಿದ್ಧಪಡಿಸಬಹುದು. ಈ ಕೆಲಸಕ್ಕೆ ಬಳಸುವ ಪ್ರೋಗ್ರಾಮಿಂಗ್ ಭಾಷೆಗಳಲ್ಲಿ PHP ಒಂದು. ಒಂದು ವೆಬ್‌ಸೈಟ್ PHP ಅನ್ನು ನೇರವಾಗಿ ಅಥವಾ ದೊಡ್ಡ ತಂತ್ರಾಂಶ ಉತ್ಪನ್ನದ ಮೂಲಕ ಬಳಸಬಹುದು. ಆ ಹಂಚಿಕೆಯ ಅಡಿಪಾಯವು ಡೆವಲಪರ್‌ಗಳು ಪ್ರತಿಯೊಂದು ಘಟಕವನ್ನೂ ತಾವೇ ರಚಿಸದೆ ಸೇವೆಗಳನ್ನು ನಿರ್ಮಿಸಲು ನೆರವಾಗುತ್ತದೆ. ವ್ಯಾಪಕವಾಗಿ ಬಳಸುವ ಒಂದು ಘಟಕದಲ್ಲಿನ ದೋಷವು ಏಕಕಾಲಕ್ಕೆ ಅನೇಕ ಸಂಸ್ಥೆಗಳಿಗೆ ಕೆಲಸ ಸೃಷ್ಟಿಸಬಹುದು ಎಂಬುದೂ ಇದರ ಅರ್ಥ. ಎರಡು ಹೊಸ ದೋಷಗಳು PHP ಆಂತರಿಕ ಮೆಮೊರಿ ಮತ್ತು ವಿನಂತಿ ಮಾಹಿತಿಯನ್ನು ಹೇಗೆ ನಿರ್ವಹಿಸುತ್ತದೆ ಎಂಬುದಕ್ಕೆ ಸಂಬಂಧಿಸಿವೆ. ಬಾಧಿತ ಪರಿಸ್ಥಿತಿಗಳಲ್ಲಿ ತಂತ್ರಾಂಶವು ಅಮಾನ್ಯ ಆಂತರಿಕ ದತ್ತಾಂಶವನ್ನು ಬಳಸಬಹುದು. ದಾಳಿಕೋರನು ಆ ದೌರ್ಬಲ್ಯವನ್ನು ಬಳಸಿಕೊಂಡು ಸರ್ವರ್‌ನಲ್ಲಿ ಕೋಡ್ ಚಲಾಯಿಸಬಹುದು. ಇದನ್ನು ದೂರಸ್ಥ ಕೋಡ್ ಕಾರ್ಯಗತಗೊಳಿಸುವಿಕೆ (remote code execution) ಎನ್ನುತ್ತಾರೆ. ಪ್ರಾಯೋಗಿಕ ಪ್ರತಿಕ್ರಿಯೆಯೆಂದರೆ, ದುರ್ಬಲ ತಂತ್ರಾಂಶವನ್ನು ಸೂಕ್ತ ಸೇವಾದಾರರ ಮೂಲಕ ಒದಗಿಸಲಾದ ಸರಿಪಡಿಸಿದ ಆವೃತ್ತಿಯಿಂದ ಬದಲಿಸುವುದು. ತಾತ್ಕಾಲಿಕ ನಿರ್ಬಂಧಗಳು ಅಪಾಯವನ್ನು ಕಡಿಮೆ ಮಾಡಬಹುದು, ಆದರೆ ಅವು ನವೀಕರಣಕ್ಕೆ ಸಂಪೂರ್ಣ ಬದಲಿಯಲ್ಲ ಎಂದು PHP ನಿರ್ವಹಣಾ ತಂಡ ಹೇಳುತ್ತದೆ. ಹಳೆಯ ಸ್ಥಾಪನೆಗಳ ಕಡೆಗೂ ಗಮನ ಬೇಕು, ಏಕೆಂದರೆ ಎಲ್ಲಾ ಆವೃತ್ತಿಗಳಿಗೂ ಈಗಲೂ ನಿಯಮಿತ ಭದ್ರತಾ ಪರಿಹಾರಗಳು ಸಿಗುವುದಿಲ್ಲ. ಸೈಬರ್ ಭದ್ರತೆ ಎಂದರೆ ಬಳಕೆದಾರರಿಗೆ ಬಲವಾದ ಪಾಸ್‌ವರ್ಡ್ ಆಯ್ಕೆ ಮಾಡಲು ಹೇಳುವುದು ಮಾತ್ರವಲ್ಲ, ಹಂಚಿಕೆಯ ತಂತ್ರಾಂಶವನ್ನು ನಿರ್ವಹಿಸುವುದೂ ಸೇರಿದೆ ಎಂಬುದನ್ನು ಈ ಪ್ರಸಂಗ ತೋರಿಸುತ್ತದೆ. ಒಂದು ಎಚ್ಚರಿಕೆ ತನಗೆ ಅನ್ವಯಿಸುತ್ತದೆಯೇ ಎಂದು ನಿರ್ಧರಿಸುವ ಮೊದಲು, ಸಂಸ್ಥೆಗೆ ತನ್ನ ಸೇವೆಗಳು ಯಾವ ಘಟಕಗಳನ್ನು ಅವಲಂಬಿಸಿವೆ ಎಂಬುದು ತಿಳಿದಿರಬೇಕು.

How it developed

21 October 2026

How it started
ನಿರ್ವಹಣಾ ತಂಡ ಪರಿಹಾರಗಳನ್ನು ಬಿಡುಗಡೆ ಮಾಡಿತು; ನವೀಕರಿಸುವಂತೆ ನಿರ್ವಾಹಕರಿಗೆ ಪ್ರಾಧಿಕಾರಗಳ ಒತ್ತಾಯ

PHP 21 ಅಕ್ಟೋಬರ್‌ರಂದು CVE-2026-109618 ಮತ್ತು CVE-2026-109619 ದೋಷಗಳಿಗೆ ಪರಿಹಾರಗಳನ್ನು ಬಿಡುಗಡೆ ಮಾಡಿತು. ಸರಿಪಡಿಸಿದ ಆವೃತ್ತಿಗಳಲ್ಲಿ PHP 8.5.12, 8.4.27, 8.3.36 ಮತ್ತು 8.2.35 ಸೇರಿವೆ. ಸೇವಾದಾರರು ತಮ್ಮದೇ ಬೆಂಬಲಿತ ತಂತ್ರಾಂಶ ಪ್ಯಾಕೇಜ್‌ಗಳ ಮೂಲಕವೂ ಪರಿಹಾರಗಳನ್ನು ಒದಗಿಸಬಹುದು. ENISA ಮತ್ತು ಇತರ ಯುರೋಪಿಯನ್ ಪ್ರಾಧಿಕಾರಗಳು ಬಾಧಿತ ಅಪ್ಲಿಕೇಶನ್‌ಗಳನ್ನು ಗುರುತಿಸುವಂತೆ ಮತ್ತು ಇಂಟರ್ನೆಟ್‌ಗೆ ತೆರೆದಿರುವ ವ್ಯವಸ್ಥೆಗಳಿಗೆ ಆದ್ಯತೆ ನೀಡುವಂತೆ ಸಂಸ್ಥೆಗಳನ್ನು ಒತ್ತಾಯಿಸಿದವು. ಹೋಸ್ಟಿಂಗ್ ಸೇವಾದಾರರೊಂದಿಗೆ ಸಮನ್ವಯ ಮಾಡಿಕೊಳ್ಳುವಂತೆ ಮತ್ತು ತಕ್ಷಣದ ದುರಸ್ತಿ ಸಾಧ್ಯವಿಲ್ಲದಲ್ಲಿ ಪ್ರತ್ಯೇಕಿಸುವಂತೆ ಅವು ಸಲಹೆ ನೀಡಿದವು. ಪ್ಯಾಚ್ ಲಭ್ಯವಿದೆ ಎಂಬ ಮಾತ್ರಕ್ಕೆ ಪ್ರತಿಯೊಬ್ಬ ನಿರ್ವಾಹಕನೂ ಅದನ್ನು ಅಳವಡಿಸಿದ್ದಾನೆ ಎಂದು ದೃಢಪಡುವುದಿಲ್ಲ.

PHP development team ENISA OpenAI

Why it matters for UPSC

GS3 · Cybersecurity and digital infrastructure

ಹಂಚಿಕೆಯ ತಂತ್ರಾಂಶ ಘಟಕದಲ್ಲಿನ ದೋಷವು ಅನೇಕ ಡಿಜಿಟಲ್ ಸೇವೆಗಳ ಮೇಲೆ ಹೇಗೆ ಪರಿಣಾಮ ಬೀರಬಹುದು ಎಂಬುದನ್ನು ವಿವರಿಸಿ. ದುರ್ಬಲತೆ, ದುರ್ಬಳಕೆ ವಿಧಾನ ಮತ್ತು ದೃಢಪಟ್ಟ ದತ್ತಾಂಶ ಉಲ್ಲಂಘನೆಯ ನಡುವಿನ ವ್ಯತ್ಯಾಸವನ್ನು ಗುರುತಿಸಿ. ಸರ್ವರ್ ತಂತ್ರಾಂಶವನ್ನು ಸರಿಪಡಿಸುವ ಹೊಣೆ ಕೇವಲ ವೈಯಕ್ತಿಕ ಬಳಕೆದಾರರದ್ದಲ್ಲ, ನಿರ್ವಾಹಕರು ಮತ್ತು ಸೇವಾದಾರರದ್ದು.

Key terms

ಸರ್ವರ್ (Server)ವಿನಂತಿಗಳನ್ನು ಸ್ವೀಕರಿಸಿ ಇತರ ಸಾಧನಗಳಿಗೆ ಮಾಹಿತಿ ಒದಗಿಸುವ ಅಥವಾ ಕೆಲಸಗಳನ್ನು ನಿರ್ವಹಿಸುವ ಕಂಪ್ಯೂಟರ್ ಅಥವಾ ಸೇವೆ. ವೆಬ್‌ಸೈಟ್‌ನ ಸರ್ವರ್ ಸಂದರ್ಶಕನ ಬ್ರೌಸರ್‌ಗೆ ಪ್ರತಿಕ್ರಿಯೆ ಕಳುಹಿಸುವ ಮೊದಲು ಸಲ್ಲಿಸಿದ ನಮೂನೆಯನ್ನು ಸಂಸ್ಕರಿಸಬಹುದು. ಅದರ ತಂತ್ರಾಂಶವನ್ನು ಸರಿಪಡಿಸುವುದು ಸಂದರ್ಶಕನ ಫೋನ್ ನವೀಕರಿಸುವುದಕ್ಕಿಂತ ಭಿನ್ನ.

ಪಿಎಚ್‌ಪಿ (PHP)ವೆಬ್ ಸರ್ವರ್‌ಗಳಲ್ಲಿ ನಡೆಯುವ ಕೆಲಸಕ್ಕೆ ವ್ಯಾಪಕವಾಗಿ ಬಳಸುವ ಪ್ರೋಗ್ರಾಮಿಂಗ್ ಭಾಷೆ. ಇದು ವೆಬ್‌ಸೈಟ್ ಅನ್ನು ನೇರವಾಗಿ ಚಲಾಯಿಸಬಹುದು ಅಥವಾ ಇನ್ನೊಂದು ತಂತ್ರಾಂಶ ಉತ್ಪನ್ನದ ಭಾಗವಾಗಿರಬಹುದು. ಆದ್ದರಿಂದ PHP ಯಲ್ಲಿನ ಭದ್ರತಾ ಸಮಸ್ಯೆ ಅದನ್ನು ಪರೋಕ್ಷವಾಗಿ ಬಳಸುವ ಸಂಸ್ಥೆಗಳ ಮೇಲೂ ಪರಿಣಾಮ ಬೀರಬಹುದು.

ದೂರಸ್ಥ ಕೋಡ್ ಕಾರ್ಯಗತಗೊಳಿಸುವಿಕೆ (Remote code execution)ದೂರದಿಂದಲೇ ಇನ್ನೊಂದು ಕಂಪ್ಯೂಟರ್ ಸೂಚನೆಗಳನ್ನು ಚಲಾಯಿಸುವಂತೆ ಮಾಡುವ ಸಾಮರ್ಥ್ಯ. ಈ ಎಚ್ಚರಿಕೆಯಲ್ಲಿ, ದಾಳಿಕೋರನು ಬಾಧಿತ ಸರ್ವರ್‌ಗೆ ಲಾಗಿನ್ ಆಗದೆಯೇ ಹೀಗೆ ಮಾಡಬಹುದು. ಇದು ದೋಷದಿಂದ ಸೃಷ್ಟಿಯಾದ ಸಾಮರ್ಥ್ಯ; ಪ್ರತಿಯೊಂದು ದುರ್ಬಲ ಸರ್ವರ್ ಮೇಲೂ ದಾಳಿ ನಡೆದಿದೆ ಎಂಬುದಕ್ಕೆ ಪುರಾವೆಯಲ್ಲ.

ದುರ್ಬಲತೆ ಮತ್ತು ದುರ್ಬಳಕೆ ವಿಧಾನ (Vulnerability and exploit)ದುರ್ಬಲತೆ ಎಂದರೆ ಭದ್ರತಾ ದೌರ್ಬಲ್ಯ. ದುರ್ಬಳಕೆ ವಿಧಾನ ಎಂದರೆ ಆ ದೌರ್ಬಲ್ಯದ ಲಾಭ ಪಡೆಯುವ ವಿಧಾನ. ದೌರ್ಬಲ್ಯವನ್ನು ಪತ್ತೆಹಚ್ಚುವುದು ಅಥವಾ ದುರ್ಬಳಕೆ ವಿಧಾನವನ್ನು ಪ್ರದರ್ಶಿಸುವುದು ತಾನಾಗಿಯೇ ಒಂದು ನಿರ್ದಿಷ್ಟ ಸಂಸ್ಥೆಯ ದತ್ತಾಂಶ ಕಳುವಾಗಿದೆ ಎಂದು ಸಾಬೀತುಪಡಿಸುವುದಿಲ್ಲ.

ಭದ್ರತಾ ಪ್ಯಾಚ್ (Security patch)ಭದ್ರತಾ ದೋಷವನ್ನು ಸರಿಪಡಿಸುವ ತಂತ್ರಾಂಶ ಬದಲಾವಣೆ. ಆ ವ್ಯವಸ್ಥೆಯನ್ನು ರಕ್ಷಿಸಲು ಅದು ಬಾಧಿತ ಸ್ಥಾಪನೆಯನ್ನು ತಲುಪಲೇಬೇಕು. ಪ್ಯಾಚ್ ಬಿಡುಗಡೆ ಮಾಡುವುದು ಮತ್ತು ಅದನ್ನು ಎಲ್ಲಾ ಸಂಸ್ಥೆಗಳಲ್ಲಿ ಅಳವಡಿಸುವುದು ಬೇರೆ ಬೇರೆ ಹಂತಗಳು; ಅದಕ್ಕಾಗಿಯೇ ಹೋಸ್ಟಿಂಗ್ ಸೇವಾದಾರರೊಂದಿಗೆ ಸಮನ್ವಯ ಮುಖ್ಯ.

ಸಿವಿಇ ಗುರುತುಸಂಖ್ಯೆ (CVE identifier)ಸಾರ್ವಜನಿಕವಾಗಿ ಬಹಿರಂಗಪಡಿಸಲಾದ ಭದ್ರತಾ ದುರ್ಬಲತೆಯನ್ನು ಉಲ್ಲೇಖಿಸಲು ಬಳಸುವ ಪ್ರಮಾಣಿತ ಗುರುತುಸಂಖ್ಯೆ. ಅಸಮಂಜಸ ಹೆಸರುಗಳನ್ನು ಅವಲಂಬಿಸದೆ ಬೇರೆ ಬೇರೆ ಸಂಸ್ಥೆಗಳು ಒಂದೇ ದೋಷದ ಬಗ್ಗೆ ಚರ್ಚಿಸಲು ಇದು ನೆರವಾಗುತ್ತದೆ. ಈ ಸಂಖ್ಯೆ ಒಂದು ಪತ್ತೆಹಚ್ಚುವ ಗುರುತು; ಬಲಿಪಶುಗಳ ಎಣಿಕೆ ಅಥವಾ ತೀವ್ರತೆಯ ಅಂಕವಲ್ಲ.

Sources (3)

PHP development team · official · 21 October critical security advisory and fixes23 Oct, 5:30 am
ENISA · official · Joint statement on critical PHP vulnerabilities23 Oct, 5:30 am
OpenAI · official · Coordinated disclosure of critical PHP vulnerabilities23 Oct, 5:30 am