‹ News Blitz Science & Technology Developing

ആക്രമണകാരികൾക്ക് സെർവറുകളുടെ നിയന്ത്രണം നേടാൻ വഴിയൊരുക്കാവുന്ന പിഴവുകൾക്ക് PHP സുരക്ഷാ പരിഹാരങ്ങൾ

English हिंदी ಕನ್ನಡ മലയാളം தமிழ் తెలుగు

First brief 23 Oct, 5:15 pm IST Updated 23 Oct, 5:15 pm IST 0 developments 1 min read

Server racks (file photo). — Carl Lender · CC BY 2.0

Where it stands

വെബ്സൈറ്റ് സെർവറുകളെ ബാധിക്കുന്ന രണ്ട് പിഴവുകൾക്ക് PHP-യുടെ പരിപാലകർ 21 ഒക്ടോബർ 2026-ന് അടിയന്തര സുരക്ഷാ പരിഹാരങ്ങൾ പുറത്തിറക്കി. നിരവധി വെബ്സൈറ്റുകൾക്കു പിന്നിലെ നിർദേശങ്ങൾ പ്രവർത്തിപ്പിക്കാൻ ഉപയോഗിക്കുന്ന സോഫ്റ്റ്‌വെയറാണ് PHP. ഈ പിഴവുകൾ മൂലം, ആദ്യം ലോഗിൻ ചെയ്യാതെ തന്നെ ദുർബലമായ ഒരു സെർവറിനെക്കൊണ്ട് നിർദേശങ്ങൾ നടപ്പാക്കിക്കാൻ ആക്രമണകാരിക്ക് കഴിഞ്ഞേക്കാം. ഇത് പ്രധാനമാണ്, കാരണം ഒരു വെബ്സൈറ്റിന്റെ സെർവർ അക്കൗണ്ട് വിവരങ്ങളും ഫോമുകളും രഹസ്യസ്വഭാവമുള്ള മറ്റ് ഡാറ്റയും കൈകാര്യം ചെയ്തേക്കാം. ആ സെർവർ പ്രവർത്തിപ്പിക്കുന്ന സോഫ്റ്റ്‌വെയറിലെ പിഴവ്, അതേ അടിസ്ഥാന ഘടകം പങ്കിടുന്ന വ്യത്യസ്ത വെബ്സൈറ്റുകളെ ബാധിക്കാം. പ്രശ്നം ഒരു വെബ്സൈറ്റിന്റെ പാസ്‌വേഡിലോ ഒരു സന്ദർശകന്റെ ബ്രൗസറിലോ ഒതുങ്ങുന്നില്ല. പരിഹാരങ്ങൾ ലഭ്യമാണ്; എന്നാൽ പുറത്തിറക്കിയതുകൊണ്ടു മാത്രം ബാധിക്കപ്പെട്ട ഓരോ ഇൻസ്റ്റലേഷനും സ്വയം അപ്ഡേറ്റ് ആകുന്നില്ല. വെബ്സൈറ്റ് നടത്തിപ്പുകാരും ഹോസ്റ്റിങ് സേവനദാതാക്കളും തങ്ങളുടെ PHP സംവിധാനങ്ങൾ തിരിച്ചറിഞ്ഞ് അനുയോജ്യമായ അപ്ഡേറ്റുകൾ പ്രയോഗിക്കണം. തുറന്നുകിടക്കുന്ന ആപ്ലിക്കേഷനുകൾ ഉടൻ പരിഹരിക്കാനാവില്ലെങ്കിൽ അവയെ ഒറ്റപ്പെടുത്താൻ യൂറോപ്യൻ സൈബർ സുരക്ഷാ അധികൃതർ നിർദേശിക്കുന്നു. ഒരു സാധാരണ സന്ദർശകനെ സംബന്ധിച്ച്, ദുർബലതയും സ്ഥിരീകരിച്ച സുരക്ഷാ ലംഘനവും തമ്മിലുള്ള വ്യത്യാസമാണ് പ്രധാനം. ഒരു ഗുരുതര സുരക്ഷാ ദൗർബല്യം ഉണ്ടെന്ന് മുന്നറിയിപ്പ് സ്ഥാപിക്കുന്നു; എന്നാൽ എല്ലാ PHP വെബ്സൈറ്റുകളും ഹാക്ക് ചെയ്യപ്പെട്ടു എന്ന് അത് തെളിയിക്കുന്നില്ല. ഫോൺ അപ്ഡേറ്റ് ചെയ്യുന്നതോ പാസ്‌വേഡ് മാറ്റുന്നതോ ബാധിക്കപ്പെട്ട സെർവർ സോഫ്റ്റ്‌വെയർ നന്നാക്കുന്നതിന് പകരമാവില്ല.

Background

ബ്രൗസർ ഒരു വെബ് പേജ് പ്രദർശിപ്പിക്കുന്നു; എന്നാൽ പല ജോലികളും സെർവർ എന്നു വിളിക്കുന്ന മറ്റൊരു കമ്പ്യൂട്ടറിലാണ് നടക്കുന്നത്. ആരെങ്കിലും ഒരു ഫോം സമർപ്പിക്കുമ്പോൾ, സെർവർ ആ വിവരങ്ങൾ പ്രോസസ് ചെയ്ത് മറുപടി തയ്യാറാക്കിയേക്കാം. ഈ ജോലിക്ക് ഉപയോഗിക്കുന്ന പ്രോഗ്രാമിങ് ഭാഷകളിൽ ഒന്നാണ് PHP. ഒരു വെബ്സൈറ്റിന് PHP നേരിട്ടോ ഒരു വലിയ സോഫ്റ്റ്‌വെയർ ഉൽപ്പന്നത്തിലൂടെയോ ഉപയോഗിക്കാം. ഓരോ ഘടകവും സ്വയം നിർമിക്കാതെ തന്നെ സേവനങ്ങൾ ഒരുക്കാൻ ആ പൊതു അടിത്തറ ഡെവലപ്പർമാരെ സഹായിക്കുന്നു. വ്യാപകമായി ഉപയോഗിക്കുന്ന ഒരു ഘടകത്തിലെ പിഴവ് ഒരേസമയം നിരവധി സ്ഥാപനങ്ങൾക്ക് ജോലി ഉണ്ടാക്കാമെന്നും ഇതിനർഥമുണ്ട്. PHP ആന്തരിക മെമ്മറിയും അഭ്യർഥനാ വിവരങ്ങളും കൈകാര്യം ചെയ്യുന്ന രീതിയുമായി ബന്ധപ്പെട്ടതാണ് രണ്ട് പുതിയ പിഴവുകളും. ബാധിക്കപ്പെട്ട സാഹചര്യങ്ങളിൽ സോഫ്റ്റ്‌വെയർ അസാധുവായ ആന്തരിക ഡാറ്റ ഉപയോഗിച്ചേക്കാം. ആ ദൗർബല്യം മുതലെടുത്ത് ഒരു ആക്രമണകാരിക്ക് സെർവറിൽ കോഡ് പ്രവർത്തിപ്പിക്കാനായേക്കും. ഇതിനെ വിദൂര കോഡ് നിർവഹണം (remote code execution) എന്നു വിളിക്കുന്നു. ദുർബലമായ സോഫ്റ്റ്‌വെയറിനെ ഉചിതമായ സേവനദാതാവ് വഴി ലഭിക്കുന്ന പരിഹരിച്ച പതിപ്പ് കൊണ്ട് മാറ്റിസ്ഥാപിക്കുക എന്നതാണ് പ്രായോഗിക പ്രതികരണം. താൽക്കാലിക നിയന്ത്രണങ്ങൾ അപകടസാധ്യത കുറച്ചേക്കാം; എന്നാൽ അവ അപ്ഡേറ്റിന് പൂർണ പകരമല്ലെന്ന് PHP-യുടെ പരിപാലകർ പറയുന്നു. എല്ലാ പതിപ്പുകൾക്കും ഇപ്പോഴും പതിവ് സുരക്ഷാ പരിഹാരങ്ങൾ ലഭിക്കുന്നില്ലാത്തതിനാൽ പഴയ ഇൻസ്റ്റലേഷനുകളിലും ശ്രദ്ധ വേണം. ഉപയോക്താക്കളോട് ശക്തമായ പാസ്‌വേഡ് തിരഞ്ഞെടുക്കാൻ ആവശ്യപ്പെടുന്നത് മാത്രമല്ല, പൊതുവായ സോഫ്റ്റ്‌വെയർ പരിപാലിക്കുന്നതും സൈബർ സുരക്ഷയിൽ ഉൾപ്പെടുന്നു എന്ന് ഈ സംഭവം കാണിക്കുന്നു. ഒരു മുന്നറിയിപ്പ് തങ്ങൾക്ക് ബാധകമാണോ എന്ന് നിർണയിക്കാൻ, തങ്ങളുടെ സേവനങ്ങൾ ഏതെല്ലാം ഘടകങ്ങളെ ആശ്രയിക്കുന്നുവെന്ന് ഒരു സ്ഥാപനം അറിഞ്ഞിരിക്കണം.

How it developed

21 October 2026

How it started
പരിപാലകർ പരിഹാരങ്ങൾ പുറത്തിറക്കി; അപ്ഡേറ്റ് ചെയ്യാൻ നടത്തിപ്പുകാരോട് അധികൃതർ

CVE-2026-109618, CVE-2026-109619 എന്നിവയ്ക്കുള്ള പരിഹാരങ്ങൾ PHP 21 ഒക്ടോബറിൽ പുറത്തിറക്കി. പരിഹരിച്ച പതിപ്പുകളിൽ PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35 എന്നിവ ഉൾപ്പെടുന്നു. സേവനദാതാക്കൾ അവരുടെ സ്വന്തം പിന്തുണയുള്ള സോഫ്റ്റ്‌വെയർ പാക്കേജുകൾ വഴിയും പരിഹാരങ്ങൾ നൽകിയേക്കാം. ബാധിക്കപ്പെട്ട ആപ്ലിക്കേഷനുകൾ തിരിച്ചറിയാനും ഇന്റർനെറ്റിലേക്ക് തുറന്നിരിക്കുന്ന സംവിധാനങ്ങൾക്ക് മുൻഗണന നൽകാനും ENISA-യും മറ്റ് യൂറോപ്യൻ അധികൃതരും സ്ഥാപനങ്ങളോട് ആവശ്യപ്പെട്ടു. ഹോസ്റ്റിങ് സേവനദാതാക്കളുമായി ഏകോപനം നടത്താനും ഉടനടി നന്നാക്കൽ സാധ്യമല്ലാത്തിടത്ത് ഒറ്റപ്പെടുത്താനും അവർ നിർദേശിച്ചു. ഒരു പാച്ച് ലഭ്യമാണെന്നതുകൊണ്ട് എല്ലാ നടത്തിപ്പുകാരും അത് ഇൻസ്റ്റാൾ ചെയ്തു എന്ന് സ്ഥാപിക്കപ്പെടുന്നില്ല.

PHP development team ENISA OpenAI

Why it matters for UPSC

GS3 · Cybersecurity and digital infrastructure

പൊതുവായി ഉപയോഗിക്കുന്ന ഒരു സോഫ്റ്റ്‌വെയർ ഘടകത്തിലെ പിഴവ് നിരവധി ഡിജിറ്റൽ സേവനങ്ങളെ എങ്ങനെ ബാധിക്കാമെന്ന് വിശദീകരിക്കുക. ദുർബലത, ചൂഷണരീതി, സ്ഥിരീകരിച്ച ഡാറ്റാ ലംഘനം എന്നിവ തമ്മിലുള്ള വ്യത്യാസം വ്യക്തമാക്കുക. സെർവർ സോഫ്റ്റ്‌വെയർ നന്നാക്കാനുള്ള ഉത്തരവാദിത്തം വ്യക്തിഗത ഉപയോക്താക്കൾക്ക് മാത്രമല്ല, നടത്തിപ്പുകാർക്കും സേവനദാതാക്കൾക്കുമാണ്.

Key terms

സെർവർ (Server)അഭ്യർഥനകൾ സ്വീകരിച്ച് മറ്റ് ഉപകരണങ്ങൾക്ക് വിവരങ്ങൾ നൽകുകയോ ജോലികൾ ചെയ്യുകയോ ചെയ്യുന്ന കമ്പ്യൂട്ടർ അല്ലെങ്കിൽ സേവനം. ഒരു വെബ്സൈറ്റിന്റെ സെർവർ സന്ദർശകന്റെ ബ്രൗസറിലേക്ക് മറുപടി അയയ്ക്കും മുമ്പ് സമർപ്പിച്ച ഫോം പ്രോസസ് ചെയ്തേക്കാം. അതിന്റെ സോഫ്റ്റ്‌വെയർ നന്നാക്കുന്നത് സന്ദർശകന്റെ ഫോൺ അപ്ഡേറ്റ് ചെയ്യുന്നതിൽ നിന്ന് വ്യത്യസ്തമാണ്.

പിഎച്ച്പി (PHP)വെബ് സെർവറുകളിൽ നടക്കുന്ന ജോലികൾക്ക് വ്യാപകമായി ഉപയോഗിക്കുന്ന ഒരു പ്രോഗ്രാമിങ് ഭാഷ. ഇതിന് ഒരു വെബ്സൈറ്റിനെ നേരിട്ട് പ്രവർത്തിപ്പിക്കാം, അല്ലെങ്കിൽ മറ്റൊരു സോഫ്റ്റ്‌വെയർ ഉൽപ്പന്നത്തിന്റെ ഭാഗമാകാം. അതിനാൽ PHP-യിലെ ഒരു സുരക്ഷാ പ്രശ്നം അത് പരോക്ഷമായി ഉപയോഗിക്കുന്ന സ്ഥാപനങ്ങളെയും ബാധിക്കാം.

വിദൂര കോഡ് നിർവഹണം (Remote code execution)ദൂരെ നിന്നുകൊണ്ട് മറ്റൊരു കമ്പ്യൂട്ടറിനെക്കൊണ്ട് നിർദേശങ്ങൾ പ്രവർത്തിപ്പിക്കാനുള്ള ശേഷി. ഈ മുന്നറിയിപ്പിൽ, ബാധിക്കപ്പെട്ട സെർവറിൽ ലോഗിൻ ചെയ്യാതെ തന്നെ ആക്രമണകാരിക്ക് ഇത് ചെയ്യാനായേക്കും. പിഴവ് സൃഷ്ടിക്കുന്ന ഒരു ശേഷിയാണിത്; ദുർബലമായ എല്ലാ സെർവറുകളും ആക്രമിക്കപ്പെട്ടു എന്നതിന്റെ തെളിവല്ല.

ദുർബലതയും ചൂഷണരീതിയും (Vulnerability and exploit)ദുർബലത ഒരു സുരക്ഷാ ദൗർബല്യമാണ്. ആ ദൗർബല്യം മുതലെടുക്കുന്ന രീതിയാണ് ചൂഷണരീതി. ഒരു ദൗർബല്യം കണ്ടെത്തുന്നതോ ഒരു ചൂഷണരീതി പ്രദർശിപ്പിക്കുന്നതോ ഒരു പ്രത്യേക സ്ഥാപനത്തിന്റെ ഡാറ്റ മോഷ്ടിക്കപ്പെട്ടു എന്ന് സ്വയം തെളിയിക്കുന്നില്ല.

സുരക്ഷാ പാച്ച് (Security patch)ഒരു സുരക്ഷാ പിഴവ് നന്നാക്കുന്ന സോഫ്റ്റ്‌വെയർ മാറ്റം. ആ സംവിധാനത്തെ സംരക്ഷിക്കാൻ അത് ബാധിക്കപ്പെട്ട ഇൻസ്റ്റലേഷനിൽ എത്തണം. ഒരു പാച്ച് പുറത്തിറക്കുന്നതും എല്ലാ സ്ഥാപനങ്ങളിലും അത് ഇൻസ്റ്റാൾ ചെയ്യുന്നതും വെവ്വേറെ ഘട്ടങ്ങളാണ്; അതുകൊണ്ടാണ് ഹോസ്റ്റിങ് സേവനദാതാക്കളുമായുള്ള ഏകോപനം പ്രധാനമാകുന്നത്.

സിവിഇ തിരിച്ചറിയൽ നമ്പർ (CVE identifier)പരസ്യമായി വെളിപ്പെടുത്തിയ ഒരു സുരക്ഷാ ദുർബലതയെ പരാമർശിക്കാൻ ഉപയോഗിക്കുന്ന ഒരു മാനദണ്ഡ തിരിച്ചറിയൽ നമ്പർ. പൊരുത്തമില്ലാത്ത പേരുകളെ ആശ്രയിക്കാതെ വ്യത്യസ്ത സ്ഥാപനങ്ങൾക്ക് ഒരേ പിഴവിനെക്കുറിച്ച് ചർച്ച ചെയ്യാൻ ഇത് സഹായിക്കുന്നു. ഈ നമ്പർ ഒരു ട്രാക്കിങ് അടയാളമാണ്; ഇരകളുടെ എണ്ണമോ ഗുരുതരാവസ്ഥയുടെ സ്കോറോ അല്ല.

Sources (3)

PHP development team · official · 21 October critical security advisory and fixes23 Oct, 5:30 am
ENISA · official · Joint statement on critical PHP vulnerabilities23 Oct, 5:30 am
OpenAI · official · Coordinated disclosure of critical PHP vulnerabilities23 Oct, 5:30 am