Wiz मधील सायबरसुरक्षा संशोधकांनी PHP मधील गंभीर असुरक्षा उघड केल्या आहेत, ही प्रोग्रामिंग भाषा जी इंटरनेटच्या मोठ्या भागाला सामर्थ्य देते. डब केले PHP2Shellत्रुटींमुळे आक्रमणकर्त्यांना असुरक्षित सर्व्हरवर दुर्भावनापूर्ण कोड प्रमाणीकरणाशिवाय कार्यान्वित करण्याची परवानगी मिळू शकते, संभाव्य संवेदनशील माहिती उघड होऊ शकते आणि आक्रमणकर्त्यांना प्रभावित सिस्टमवर नियंत्रण मिळू शकते.
21 ऑक्टोबर 2026 रोजी उघडकीस आलेली, असुरक्षा विशिष्ट वेबसाइट किंवा सामग्री व्यवस्थापन प्रणालीऐवजी PHP वरच परिणाम करतात. हे शोध विशेषतः महत्त्वपूर्ण बनवते कारण PHP मोठ्या प्रमाणावर वापरले जाणारे प्लॅटफॉर्म जसे की WordPress, Drupal आणि Joomla.
PHP2Shell म्हणजे काय?
PHP2Shell CVE-2026-109618 आणि CVE-2026-109619 म्हणून ट्रॅक केलेल्या दोन गंभीर असुरक्षा संदर्भित करते. PHP च्या त्रुटी हाताळताना दोन्ही मेमरी-सुरक्षा समस्यांचा समावेश होतो, विशेषत: जेव्हा मेमरी संपुष्टात येणे किंवा घातक त्रुटींमुळे विनंत्या अनपेक्षितपणे बंद होतात.
काही विशिष्ट परिस्थितींमध्ये, PHP आधीपासून मुक्त झालेल्या मेमरीकडे पॉइंटर ठेवू शकते किंवा अंतर्गत डेटा विसंगत स्थितीत ठेवू शकते. त्यानंतरची विनंती नंतर मेमरी खराब करण्यासाठी, संवेदनशील माहिती उघड करण्यासाठी किंवा दूरस्थपणे कोड कार्यान्वित करण्यासाठी या स्थितीचा फायदा घेऊ शकते.
असुरक्षा CVSS 9.2 चा गंभीर तीव्रता स्कोअर नियुक्त केला आहे. यशस्वी शोषणामुळे पासवर्ड, प्रमाणीकरण टोकन, API की आणि सर्व्हर मेमरीमध्ये असलेली इतर संवेदनशील माहिती उघड होऊ शकते.
लाखो वेबसाइट्स का प्रभावित होऊ शकतात?
Wiz च्या संशोधनानुसार, PHP जगभरातील अंदाजे 70% वेबसाइटला शक्ती देते. PHP रनटाइममध्ये भेद्यता अस्तित्त्वात आहे, याचा अर्थ वेबसाइटला धोका असण्यासाठी असुरक्षित अनुप्रयोग कोड असणे आवश्यक नाही.
संशोधकांनी वर्डप्रेस, ड्रुपल आणि जूमला उपयोजनांवर अनधिकृत रिमोट कोडची अंमलबजावणी दाखवली. त्यांनी हे देखील दाखवून दिले की आक्रमणकर्ते PHP वर्कर मेमरीमधून प्रथम कोडची अंमलबजावणी न करता संवेदनशील डेटा काढू शकतात.
वास्तविक एक्सपोजर PHP आवृत्ती, सर्व्हर कॉन्फिगरेशन आणि अंमलबजावणी वातावरणावर अवलंबून असते. असे असले तरी, PHP च्या वापराच्या व्यापकतेमुळे सार्वजनिक-फेसिंग वेबसाइट्स ऑपरेट करणाऱ्या संस्थांसाठी ही गंभीर चिंता आहे.
कृत्रिम बुद्धिमत्तेने दोष शोधण्यात कशी मदत केली
PHP2Shell मधील सर्वात लक्षणीय पैलूंपैकी एक म्हणजे कृत्रिम बुद्धिमत्तेची असुरक्षा शोध आणि शोषण विकासाची भूमिका.
विझ संशोधकांनी त्यांच्या तपासणीदरम्यान Wiz Atlas, Google चे Gemini 4 Argon आणि OpenAI चे GPT-5.6 Sol वापरले. विझच्या मते, एआयने जटिल मेमरी-व्यवस्थापन वर्तन समजून घेण्यासाठी, अनेक कमकुवतपणा एकत्र करण्यासाठी आणि शोषणांना वेगवेगळ्या वातावरणात जुळवून घेण्यासाठी आवश्यक असलेल्या प्रयत्नांमध्ये लक्षणीय घट केली आहे.
एक दशकाहून अधिक काळ PHP च्या कोडबेसमध्ये अंतर्निहित त्रुटी अस्तित्वात होत्या. त्यांचे विश्वसनीयरित्या शोषण करण्यासाठी लक्षणीय तांत्रिक कौशल्य आवश्यक आहे कारण संशोधकांना मेमरी लेआउट, अनुप्रयोग वर्तन आणि सर्व्हर कॉन्फिगरेशनमधील फरक लक्षात घ्यावा लागला.
AI-सहाय्यित विश्लेषणामुळे ही जटिल प्रक्रिया अधिक व्यावहारिक बनविण्यात मदत झाली. समान क्षमता बचावकर्त्यांना लपविलेल्या असुरक्षा ओळखण्यात आणि त्यांचे निराकरण करण्यात मदत करू शकतात, परंतु ते त्यांचे शोषण करू पाहणाऱ्या आक्रमणकर्त्यांसाठी अडथळा देखील कमी करू शकतात.
वेबसाइट मालकांनी काय करावे?
PHP डेव्हलपमेंट टीमने 21 ऑक्टोबर 2026 रोजी सुरक्षा अद्यतने जारी केली. संस्थांनी प्रत्येक प्रभावित PHP इंस्टॉलेशन ओळखले पाहिजे आणि विक्रेत्याने प्रदान केलेले योग्य पॅच त्वरित लागू केले पाहिजेत.
सुरक्षा कार्यसंघांनी इंटरनेट-फेसिंग सिस्टमला प्राधान्य दिले पाहिजे, अपडेट केल्यानंतर PHP सेवा रीस्टार्ट करा आणि पॅच केलेल्या आवृत्त्या चालू असल्याचे सत्यापित करा. ताबडतोब पॅच करू शकत नसलेल्या संस्थांनी अधिकृत शमन मार्गदर्शनाचे पालन केले पाहिजे आणि जोपर्यंत उपाय शक्य होत नाही तोपर्यंत एक्सपोजर प्रतिबंधित करण्याचा विचार करावा.
प्रशासकांनी असामान्य PHP वर्कर क्रॅश, वारंवार मेमरी त्रुटी, संशयास्पद मल्टीपार्ट HTTP विनंत्या आणि वेब सर्व्हर खात्यांद्वारे सुरू केलेल्या अनपेक्षित प्रक्रियांची देखील चौकशी केली पाहिजे. पॅचिंग आधीच झालेल्या तडजोडीचा पुरावा काढून टाकत नाही.
वेब ऍप्लिकेशन फायरवॉल आणि एंडपॉइंट डिटेक्शन टूल्स अतिरिक्त संरक्षण प्रदान करू शकतात, परंतु त्यांना सुरक्षा अद्यतने स्थापित करण्यासाठी पर्याय म्हणून मानले जाऊ नये.
एआय-सक्षम सायबरसुरक्षा बद्दल चेतावणी
PHP2Shell बचावात्मक क्षमता आणि प्रगत AI प्रणालीचे धोके या दोन्हींचे प्रात्यक्षिक करते. संशोधकांना मोठ्या प्रमाणात वापरल्या जाणाऱ्या सॉफ्टवेअरमधील कमकुवतपणा उघड करण्यात मदत करणारी साधने इंटरनेट सुरक्षा सुधारू शकतात, परंतु ते अधिक लोकांना अत्याधुनिक शोषण विकसित करण्यास सक्षम देखील करू शकतात.
PHP वर अवलंबून असलेल्या संस्थांसाठी, तत्काळ प्राधान्य स्पष्ट आहे: आक्रमणकर्त्यांनी सार्वजनिक प्रकटीकरणाचा फायदा घेण्यापूर्वी एक्सपोजरचे मूल्यांकन करा, असुरक्षित सिस्टम पॅच करा आणि शोषणाच्या संभाव्य चिन्हे तपासा.
सारांश
विझ संशोधकांनी PHP2Shell, दोन गंभीर PHP असुरक्षा उघड केल्या आहेत ज्यामुळे अनधिकृत रिमोट कोडची अंमलबजावणी आणि संवेदनशील डेटा एक्सपोजर सक्षम होऊ शकतात. दोष PHP रनटाइमवर परिणाम करतात आणि वर्डप्रेस, ड्रुपल आणि जूमला विरुद्ध प्रदर्शित केले गेले आहेत. एआय टूल्सने संशोधकांना वर्षानुवर्षे टिकून राहिलेल्या कमकुवतपणा उघड करण्यात आणि त्यांचे शोषण करण्यात मदत केली. PHP सुरक्षा अद्यतने उपलब्ध आहेत, ज्यामुळे प्रभावित संस्थांसाठी त्वरित पॅचिंग आणि सत्यापन आवश्यक आहे.
Comments are closed.