‹ News Blitz Science & Technology Developing

தாக்குதல்காரர்கள் சர்வர்களைக் கட்டுப்படுத்த வழிவகுக்கக்கூடிய குறைபாடுகளுக்கு PHP பாதுகாப்புத் திருத்தங்கள்

English हिंदी ಕನ್ನಡ മലയാളം தமிழ் తెలుగు

First brief 23 Oct, 5:15 pm IST Updated 23 Oct, 5:15 pm IST 0 developments 1 min read

Server racks (file photo). — Carl Lender · CC BY 2.0

Where it stands

இணையதள சர்வர்களைப் பாதிக்கும் இரண்டு குறைபாடுகளுக்கு, PHP பராமரிப்பாளர்கள் 21 அக்டோபர் 2026 அன்று அவசரப் பாதுகாப்புத் திருத்தங்களை வெளியிட்டனர். பல இணையதளங்களின் பின்னணியில் உள்ள அறிவுறுத்தல்களை இயக்கப் பயன்படும் மென்பொருள் PHP. இந்தக் குறைபாடுகளால், முதலில் உள்நுழையாமலேயே பாதிப்புக்கு உள்ளாகக்கூடிய ஒரு சர்வரை அறிவுறுத்தல்களைச் செயல்படுத்த வைக்க ஒரு தாக்குதல்காரரால் முடியலாம். இது முக்கியமானது; ஏனெனில் ஓர் இணையதளத்தின் சர்வர் கணக்குத் தகவல்கள், படிவங்கள் மற்றும் பிற முக்கியத் தரவுகளைக் கையாளலாம். அந்த சர்வரை இயக்கும் மென்பொருளில் உள்ள குறைபாடு, அதே அடிப்படைக் கூறைப் பகிர்ந்துகொள்ளும் வெவ்வேறு இணையதளங்களைப் பாதிக்கலாம். பிரச்சினை ஓர் இணையதளத்தின் கடவுச்சொல்லுக்கோ ஒரு பார்வையாளரின் உலாவிக்கோ மட்டுப்பட்டதல்ல. திருத்தங்கள் கிடைக்கின்றன; ஆனால் வெளியிடப்பட்டதாலேயே பாதிக்கப்பட்ட ஒவ்வொரு நிறுவலும் தானாகப் புதுப்பிக்கப்படுவதில்லை. இணையதள இயக்குநர்களும் ஹோஸ்டிங் சேவை வழங்குநர்களும் தங்கள் PHP அமைப்புகளைக் கண்டறிந்து உரிய புதுப்பிப்புகளைச் செய்ய வேண்டும். வெளிப்பட்டுள்ள பயன்பாடுகளை உடனடியாகச் சரிசெய்ய முடியாவிட்டால், அவற்றைத் தனிமைப்படுத்துமாறு ஐரோப்பிய இணையப் பாதுகாப்பு அதிகாரிகள் அறிவுறுத்துகின்றனர். சாதாரணப் பார்வையாளருக்கு, பாதிப்புத்தன்மைக்கும் உறுதிசெய்யப்பட்ட பாதுகாப்பு மீறலுக்கும் இடையிலான வேறுபாடே முக்கியம். ஒரு கடுமையான பாதுகாப்புப் பலவீனம் இருப்பதை அறிவுறுத்தல் நிறுவுகிறது; ஆனால் ஒவ்வொரு PHP இணையதளமும் ஊடுருவப்பட்டுவிட்டது என்பதை அது நிரூபிக்கவில்லை. கைப்பேசியைப் புதுப்பிப்பதோ கடவுச்சொல்லை மாற்றுவதோ பாதிக்கப்பட்ட சர்வர் மென்பொருளைச் சரிசெய்வதற்கு மாற்றாகாது.

Background

உலாவி ஒரு வலைப்பக்கத்தைக் காட்டுகிறது; ஆனால் பல பணிகள் சர்வர் எனப்படும் தனிக் கணினியில் நடக்கின்றன. ஒருவர் ஒரு படிவத்தைச் சமர்ப்பிக்கும்போது, சர்வர் அந்தத் தகவலைச் செயலாக்கிப் பதிலைத் தயாரிக்கலாம். இந்தப் பணிக்குப் பயன்படும் நிரலாக்க மொழிகளில் PHP ஒன்று. ஓர் இணையதளம் PHP-ஐ நேரடியாகவோ ஒரு பெரிய மென்பொருள் தயாரிப்பின் வழியாகவோ பயன்படுத்தலாம். ஒவ்வொரு கூறையும் தாங்களே உருவாக்காமல் சேவைகளை அமைக்க அந்தப் பொது அடித்தளம் மென்பொருள் உருவாக்குநர்களுக்கு உதவுகிறது. பரவலாகப் பயன்படுத்தப்படும் ஒரு கூறில் உள்ள குறைபாடு ஒரே நேரத்தில் பல நிறுவனங்களுக்கு வேலையை உருவாக்கலாம் என்பதும் இதன் பொருள். PHP உள் நினைவகத்தையும் கோரிக்கைத் தகவலையும் கையாளும் விதத்துடன் இரண்டு புதிய குறைபாடுகளும் தொடர்புடையவை. பாதிக்கப்பட்ட சூழல்களில், மென்பொருள் செல்லாத உள் தரவைப் பயன்படுத்தலாம். அந்தப் பலவீனத்தைப் பயன்படுத்தி ஒரு தாக்குதல்காரர் சர்வரில் நிரலை இயக்கலாம். இது தொலைநிலை நிரல் இயக்கம் (remote code execution) எனப்படுகிறது. பாதிப்புக்கு உள்ளாகக்கூடிய மென்பொருளை, உரிய வழங்குநர் மூலம் கிடைக்கும் திருத்தப்பட்ட பதிப்பைக் கொண்டு மாற்றுவதே நடைமுறைத் தீர்வு. தற்காலிகக் கட்டுப்பாடுகள் அபாயத்தைக் குறைக்கலாம்; ஆனால் அவை புதுப்பிப்புக்கு முழுமையான மாற்று அல்ல என்று PHP பராமரிப்பாளர்கள் கூறுகின்றனர். எல்லாப் பதிப்புகளுக்கும் இன்னும் வழக்கமான பாதுகாப்புத் திருத்தங்கள் கிடைப்பதில்லை என்பதால், பழைய நிறுவல்களிலும் கவனம் தேவை. இணையப் பாதுகாப்பு என்பது பயனர்களை வலுவான கடவுச்சொற்களைத் தேர்வுசெய்யச் சொல்வது மட்டுமல்ல, பொதுவாகப் பகிரப்படும் மென்பொருளைப் பராமரிப்பதும் ஆகும் என்பதை இந்த நிகழ்வு காட்டுகிறது. ஓர் எச்சரிக்கை தனக்குப் பொருந்துமா என்பதைத் தீர்மானிப்பதற்கு முன், தனது சேவைகள் எந்தக் கூறுகளைச் சார்ந்துள்ளன என்பதை ஒரு நிறுவனம் அறிந்திருக்க வேண்டும்.

How it developed

21 October 2026

How it started
பராமரிப்பாளர்கள் திருத்தங்களை வெளியிட்டனர்; புதுப்பிக்குமாறு இயக்குநர்களுக்கு அதிகாரிகள் வலியுறுத்தல்

CVE-2026-109618, CVE-2026-109619 ஆகியவற்றுக்கான திருத்தங்களை PHP 21 அக்டோபர் அன்று வெளியிட்டது. திருத்தப்பட்ட பதிப்புகளில் PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35 ஆகியவை அடங்கும். வழங்குநர்கள் தங்களின் சொந்த ஆதரவுபெற்ற மென்பொருள் தொகுப்புகள் மூலமும் திருத்தங்களை வழங்கலாம். பாதிக்கப்பட்ட பயன்பாடுகளைக் கண்டறியவும், இணையத்துக்கு வெளிப்பட்டுள்ள அமைப்புகளுக்கு முன்னுரிமை அளிக்கவும் ENISA மற்றும் பிற ஐரோப்பிய அதிகாரிகள் நிறுவனங்களை வலியுறுத்தினர். ஹோஸ்டிங் வழங்குநர்களுடன் ஒருங்கிணைந்து செயல்படவும், உடனடிச் சரிசெய்தல் சாத்தியமில்லாத இடங்களில் தனிமைப்படுத்தவும் அவர்கள் அறிவுறுத்தினர். ஒரு திருத்தக்கோப்பு கிடைக்கிறது என்பதாலேயே ஒவ்வோர் இயக்குநரும் அதை நிறுவிவிட்டார் என்பது நிறுவப்படுவதில்லை.

PHP development team ENISA OpenAI

Why it matters for UPSC

GS3 · Cybersecurity and digital infrastructure

பகிரப்படும் ஒரு மென்பொருள் கூறில் உள்ள குறைபாடு பல டிஜிட்டல் சேவைகளை எவ்வாறு பாதிக்கலாம் என்பதை விளக்குக. பாதிப்புத்தன்மை, அதைப் பயன்படுத்தும் தாக்குதல் முறை, உறுதிசெய்யப்பட்ட தரவு மீறல் ஆகியவற்றுக்கு இடையிலான வேறுபாட்டைக் குறிப்பிடுக. சர்வர் மென்பொருளைச் சரிசெய்யும் பொறுப்பு தனிப்பட்ட பயனர்களுக்கு மட்டுமல்ல, இயக்குநர்களுக்கும் சேவை வழங்குநர்களுக்கும் உரியது.

Key terms

சர்வர் (Server)கோரிக்கைகளைப் பெற்று, பிற சாதனங்களுக்குத் தகவல்களை வழங்கும் அல்லது பணிகளைச் செய்யும் கணினி அல்லது சேவை. ஓர் இணையதளத்தின் சர்வர், பார்வையாளரின் உலாவிக்குப் பதில் அனுப்புவதற்கு முன் சமர்ப்பிக்கப்பட்ட படிவத்தைச் செயலாக்கலாம். அதன் மென்பொருளைச் சரிசெய்வது, பார்வையாளரின் கைப்பேசியைப் புதுப்பிப்பதிலிருந்து வேறுபட்டது.

பிஎச்பி (PHP)இணைய சர்வர்களில் நடக்கும் பணிகளுக்குப் பரவலாகப் பயன்படுத்தப்படும் ஒரு நிரலாக்க மொழி. இது ஓர் இணையதளத்தை நேரடியாக இயக்கலாம் அல்லது மற்றொரு மென்பொருள் தயாரிப்பின் பகுதியாக இருக்கலாம். எனவே PHP-இல் உள்ள ஒரு பாதுகாப்புப் பிரச்சினை, அதை மறைமுகமாகப் பயன்படுத்தும் நிறுவனங்களையும் பாதிக்கலாம்.

தொலைநிலை நிரல் இயக்கம் (Remote code execution)தொலைவிலிருந்தே மற்றொரு கணினியை அறிவுறுத்தல்களை இயக்க வைக்கும் திறன். இந்த எச்சரிக்கையில், பாதிக்கப்பட்ட சர்வரில் உள்நுழையாமலேயே ஒரு தாக்குதல்காரர் இதைச் செய்யலாம். இது குறைபாட்டால் உருவாகும் ஒரு திறன்; பாதிப்புக்கு உள்ளாகக்கூடிய ஒவ்வொரு சர்வரும் தாக்கப்பட்டுவிட்டது என்பதற்கான சான்று அல்ல.

பாதிப்புத்தன்மையும் தாக்குதல் முறையும் (Vulnerability and exploit)பாதிப்புத்தன்மை என்பது ஒரு பாதுகாப்புப் பலவீனம். தாக்குதல் முறை என்பது அந்தப் பலவீனத்தைப் பயன்படுத்திக்கொள்ளும் ஒரு வழிமுறை. ஒரு பலவீனத்தைக் கண்டறிவதோ ஒரு தாக்குதல் முறையைச் செய்துகாட்டுவதோ, ஒரு குறிப்பிட்ட நிறுவனத்தின் தரவு திருடப்பட்டுவிட்டது என்பதைத் தானாக நிரூபிப்பதில்லை.

பாதுகாப்புத் திருத்தக்கோப்பு (Security patch)ஒரு பாதுகாப்புக் குறைபாட்டைச் சரிசெய்யும் மென்பொருள் மாற்றம். அந்த அமைப்பைப் பாதுகாக்க, அது பாதிக்கப்பட்ட நிறுவலைச் சென்றடைய வேண்டும். திருத்தக்கோப்பை வெளியிடுவதும், அதை எல்லா நிறுவனங்களிலும் நிறுவுவதும் தனித்தனிப் படிகள்; அதனால்தான் ஹோஸ்டிங் வழங்குநர்களுடனான ஒருங்கிணைப்பு முக்கியமாகிறது.

சிவிஇ அடையாள எண் (CVE identifier)பொதுவெளியில் வெளிப்படுத்தப்பட்ட ஒரு பாதுகாப்புப் பாதிப்புத்தன்மையைக் குறிப்பிடப் பயன்படும் ஒரு நிலையான அடையாள எண். முரண்பட்ட பெயர்களைச் சார்ந்திராமல், வெவ்வேறு நிறுவனங்கள் ஒரே குறைபாட்டைப் பற்றி விவாதிக்க இது உதவுகிறது. இந்த எண் ஒரு கண்காணிப்பு அடையாளம்; பாதிக்கப்பட்டவர்களின் எண்ணிக்கையோ தீவிரத்தன்மை மதிப்பெண்ணோ அல்ல.

Sources (3)

PHP development team · official · 21 October critical security advisory and fixes23 Oct, 5:30 am
ENISA · official · Joint statement on critical PHP vulnerabilities23 Oct, 5:30 am
OpenAI · official · Coordinated disclosure of critical PHP vulnerabilities23 Oct, 5:30 am