इंटरनेट पर मौजूद ऑनलाइन शॉपिंग प्लेटफॉर्म या किसी कंपनी की वेबसाइट के पीछे एक ऐसी तकनीक काम करती है, जिसके सॉफ्टवेयर में छिपी खामी अब साइबर सुरक्षा के लिए बड़ी चिंता बन गई है। PHP प्रोग्रामिंग लैंग्वेज में दो गंभीर सुरक्षा खामियों का पता चला है, जिनका इस्तेमाल करके हैकर्स वेबसाइट के सर्वर तक पहुंचने, सेंसिटिव डेटा चुराने और सिस्टम पर कंट्रोल हासिल करने की कोशिश कर सकते हैं। खास बात यह है कि ये खामियां एक दशक से भी ज्यादा पुराने सॉफ्टवेयर वर्जन में मौजूद हो सकती हैं।
इस सुरक्षा समस्या को PHP2Shell नाम दिया गया है। साइबर सिक्योरिटी रिसर्च कंपनी Wiz रिसर्च ने 21 अक्टूबर 2026 को इन खामियों की जानकारी दी। इस खोज में आर्टिफिशियल इंटेलिजेंस (AI) की भी अहम भूमिका रही। इससे जहां AI की मदद से साइबर सुरक्षा मजबूत करने की संभावनाएं सामने आई हैं, वहीं यह चिंता भी बढ़ी है कि अपराधी इसी तकनीक का इस्तेमाल साइबर हमलों को आसान बनाने के लिए कर सकते हैं।
क्या है PHP2Shell और क्यों बढ़ी चिंता?
PHP एक लोकप्रिय प्रोग्रामिंग लैंग्वेज है, जिसका इस्तेमाल वेबसाइट बनाने और उन्हें चलाने के लिए किया जाता है। इसका उपयोग वेबसाइट के बैकएंड, यानी सर्वर पर होने वाले कामों को संभालने में किया जाता है। PHP के जरिए वेबसाइट यूजर्स से मिलने वाली जानकारी को प्रोसेस करती है और डेटाबेस से जुड़कर कई काम पूरे करती है।
Wiz रिसर्च के मुताबिक, PHP के कोर इंजन में दो गंभीर सुरक्षा खामियां मिली हैं। इन्हें CVE-2026-109618 और CVE-2026-109619 के नाम से ट्रैक किया जा रहा है। ये मेमोरी से जुड़ी सुरक्षा कमजोरियां हैं, जिनका फायदा उठाकर हमलावर संवेदनशील जानकारी तक पहुंचने या सर्वर पर मनमाना कोड चलाने की कोशिश कर सकते हैं। रिमोट कोड एक्जीक्यूशन का मतलब है कि हमलावर दूर बैठे ही किसी प्रभावित सिस्टम पर अपना कोड चलाने में सफल हो सकता है। यदि ऐसा हमला सफल होता है, तो सर्वर पर मौजूद डेटा और सेवाओं के लिए गंभीर खतरा पैदा हो सकता है।
कौन-कौन सी वेबसाइट्स हो सकती हैं प्रभावित?
इस मामले की सबसे अहम बात यह है कि खामी किसी एक वेबसाइट या किसी खास कंटेंट मैनेजमेंट सिस्टम तक सीमित नहीं है। यह PHP के कोर इंजन में मौजूद है। इसलिए प्रभावित PHP वर्जन का इस्तेमाल करने वाली वेबसाइटें जोखिम में हो सकती हैं। Wiz रिसर्च ने अपने परीक्षणों में WordPress, Drupal और Joomla पर हमले सफलतापूर्वक प्रदर्शित किए। हालांकि, इसका मतलब यह नहीं है कि इन प्लेटफॉर्म की अपनी प्रोग्रामिंग में ही खामी है। खतरा PHP के प्रभावित वर्जन से जुड़ा है, जिस पर ये वेबसाइटें चल सकती हैं।
रिपोर्ट के मुताबिक, PHP 5.4 से शुरू होने वाले पुराने वर्जन भी इस समस्या की चपेट में हो सकते हैं। इसका मतलब है कि लंबे समय से अपडेट नहीं किए गए सर्वर और वेबसाइटों के लिए जोखिम अधिक हो सकता है। हालांकि, केवल किसी प्लेटफॉर्म का नाम जानकर यह तय नहीं किया जा सकता कि कोई वेबसाइट असुरक्षित है। इसके लिए यह देखना जरूरी है कि वेबसाइट किस PHP वर्जन पर चल रही है और क्या उसके लिए जारी सुरक्षा अपडेट लागू किए गए हैं।
हैकर्स चुरा सकते हैं पासवर्ड और सेंसिटिव जानकारी
यदि कोई हमलावर इन कमजोरियों का सफलतापूर्वक फायदा उठाता है, तो सर्वर की मेमोरी में मौजूद सेंसिटिव जानकारी उजागर होने का खतरा हो सकता है। इसमें पासवर्ड, ऑथेंटिकेशन टोकन, API की और दूसरी गोपनीय जानकारियां शामिल हो सकती हैं। ऑथेंटिकेशन टोकन का इस्तेमाल यूजर या किसी एप्लिकेशन की पहचान की पुष्टि करने के लिए किया जाता है। वहीं, API की अलग-अलग सॉफ्टवेयर सेवाओं को आपस में जोड़ने और उनके बीच सुरक्षित तरीके से काम कराने में मदद करती है। यदि ऐसी जानकारियां गलत हाथों में चली जाएं, तो उनका इस्तेमाल दूसरे सिस्टम या अकाउंट तक पहुंचने की कोशिश में किया जा सकता है। कुछ परिस्थितियों में हमलावर प्रभावित सर्वर पर अपना कोड चलाने में भी सफल हो सकता है। इससे वेबसाइट की सेवाएं बाधित होने, डेटा में अनधिकृत बदलाव होने या अन्य सुरक्षा समस्याएं पैदा होने की आशंका रहती है। इसलिए वेबसाइट मालिकों और सर्वर प्रशासकों के लिए जरूरी है कि वे इस समस्या को गंभीरता से लें और अपने सिस्टम की सुरक्षा की जांच करें।
AI ने कैसे खोजीं PHP की ये खामियां?
इस मामले में आर्टिफिशियल इंटेलिजेंस की भूमिका खास रही। Wiz रिसर्च के मुताबिक, एडवांस AI मॉडल ने शोधकर्ताओं को PHP में मौजूद जटिल मेमोरी संबंधी गड़बड़ियों को समझने, संभावित कमजोरियों की पहचान करने और उनका फायदा उठाने के तरीकों का परीक्षण करने में मदद की। रिपोर्ट में Wiz Atlas, गूगल के Gemini 4 Argon और OpenAI के GPT-5.6 Sol का जिक्र किया गया है। इन AI टूल्स की मदद से शोधकर्ताओं ने तकनीकी गड़बड़ियों का विश्लेषण किया, एक्सप्लॉइट यानी सुरक्षा खामी का फायदा उठाने वाले तरीके विकसित और जांचे तथा सुरक्षा पैच की टेस्टिंग में मदद ली। ऐसे कामों के लिए पारंपरिक तरीके से काफी मैनुअल टेस्टिंग और विशेषज्ञों के समय की जरूरत पड़ सकती है। AI ने इस प्रक्रिया को तेज करने में मदद की। लेकिन इसका दूसरा पहलू भी है। अगर AI साइबर सिक्योरिटी एक्सपर्ट्स को कमजोरियां खोजने में मदद कर सकता है, तो यही तकनीक हमलावरों को भी जटिल साइबर हमलों के तरीके समझने में मदद कर सकती है। इस कारण सॉफ्टवेयर कंपनियों और सिक्योरिटी एक्सपर्ट्स के सामने नई चुनौती खड़ी हो रही है।
सार्वजनिक खुलासे से पहले हमले की कोशिशें भी मिलीं
इस मामले में एक और चिंताजनक पहलू सामने आया। अमेजन ने बताया कि उसके MadPot थ्रेट इंटेलिजेंस सिस्टम ने इन कमजोरियों की सार्वजनिक जानकारी सामने आने से पहले ही उनसे जुड़े हमले के प्रयासों का पता लगाया था। MadPot इंटरनेट से जुड़े सिस्टम पर संदिग्ध गतिविधियों की निगरानी करता है। हालांकि, Amazon ने यह स्पष्ट नहीं किया कि हमलावरों को सार्वजनिक खुलासे से पहले इन खामियों की जानकारी कैसे मिली। इससे यह समझ आता है कि गंभीर सुरक्षा कमजोरियों का पता चलने के बाद जल्द कार्रवाई करना क्यों जरूरी है। केवल किसी खामी के सार्वजनिक रूप से सामने आने का इंतजार करना पर्याप्त नहीं हो सकता।
यह भी पढ़ें- SBI के ग्राहकों का डेटा डार्क वेब पर लीक होने का शक, 3897 रिकॉर्ड सामने आने के बाद बैंक ने शुरू की जांच
