PHP-ocalypse: दोन गंभीर वेब बग्सनी जवळजवळ इंटरनेट कसे तोडले

बुधवारी, PHP नावाच्या दशकापूर्वीच्या ओपन-सोर्स वेब तंत्रज्ञानाने इंटरनेट जवळजवळ तोडले, दोन असुरक्षांबद्दल धन्यवाद जे संशोधकांनी अलीकडेच त्यांचे शोषण करण्याचा मार्ग शोधून काढेपर्यंत अनेक वर्षे सुप्त होत्या.

बग्स डब केले जातात PHP2Shellअधिकृतपणे म्हणून नियुक्त CVE-2026-109618 आणि CVE-2026-109619. सोप्या भाषेत, बग्स PHP चालवणाऱ्या ऑनलाइन सिस्टममध्ये प्रवेश करू शकतील अशा कोणालाही त्यांचे शोषण कसे करायचे हे माहित असलेल्या कोणत्याही वेबसाइट किंवा इंटरनेट-फेसिंग सर्व्हरमध्ये प्रवेश करण्यास किंवा डेटा सुधारण्यासाठी पासवर्डची आवश्यकता न ठेवता परवानगी देतात.

परिस्थितीनुसार, हे खूपच मोठे होते, ज्यामुळे जगभरातील लाखो लोकांना दुर्भावनायुक्त हॅकर्सने त्यांचा गैरवापर करण्यापूर्वी त्यांच्या सिस्टमला पॅच करण्यासाठी स्क्रॅम्बल करण्यास भाग पाडले.

PHP वेब सॉफ्टवेअरची देखरेख करणाऱ्या PHP फाउंडेशनने बुधवारी सार्वजनिकरित्या पॅचेस रिलीझ केले ज्याने बगचे निराकरण केले, जे स्थापित केल्यावर वेब-फेसिंग सर्व्हरवर हल्ला होण्यापासून प्रतिबंधित करते. फाउंडेशनने याआधीच काही मोठ्या इंटरनेट कंपन्या आणि PHP वर अवलंबून असलेल्या वेब होस्टना पॅचिंगवर लवकर हेडस्टार्ट दिले होते.

आठवडे बॅकरूम बडबड आणि संपूर्ण उद्योगात काळजीपूर्वक समन्वयामुळे धन्यवाद, जगाने – आतापर्यंत – मोठ्या प्रमाणावर इंटरनेट शोषण टाळले आहे. बुधवारपासून, सरकारांनी नागरिकांना आणि वेबसाइट्स असलेल्या कंपन्यांना त्यांच्या टोकावरील जोखीम कमी करण्यासाठी कारवाई करण्याचे आवाहन करण्यास सुरुवात केली. उद्योगांच्या विस्तृत श्रेणीने त्यांच्या वेबसाइट्स बंद केल्या आणि त्यांच्या सिस्टम पॅच करण्यासाठी सेवा ऑफलाइन खेचल्या. बँका, किरकोळ विक्रेते, गेमिंग साइट्स, ऑनलाइन स्टोअर्स, रुग्णालये आणि काही सरकारी संस्थांनी हल्ले रोखण्यासाठी त्यांचे सर्व्हर खाली केले.

परंतु सुरक्षा संशोधक चेतावणी देत ​​आहेत की परिस्थिती अद्याप संपलेली नाही आणि जगभरातील मोठ्या संख्येने सिस्टम हॅक आणि डेटा चोरीसाठी असुरक्षित आणि असुरक्षित आहेत.

ही शेवटची मोठी इंटरनेट सॉफ्टवेअर भीती असण्याची शक्यताही कमी आहे, काहींना AI च्या आगमनाने शोधून काढण्याची वाट पाहत असलेल्या अद्याप न सापडलेल्या असुरक्षा झपाट्याने उघडकीस आणण्याची अपेक्षा आहे.

काय झालं?

येथे सुरक्षा संशोधक कॅलिफोर्निया PHP मध्ये दोन बग आढळले, ही एक प्रोग्रामिंग भाषा आहे जी जगभरात वेबसाइट्स आणि वेब ॲप्स तयार करण्यासाठी वापरली जाते, इंटरनेटवर आणि कंपनी नेटवर्क्सवर स्थानिक पातळीवर होस्ट केलेली, जसे की इंट्रानेट आणि अंतर्गत साइट्स.

PHP मुक्त-स्रोत आहे, याचा अर्थ ते विनामूल्य आहे आणि जवळजवळ कोणत्याही कारणास्तव कोणालाही वापरण्यासाठी उपलब्ध आहे. यामुळे, ही आज वेबवरील सर्वात लोकप्रिय आणि व्यापकपणे वापरली जाणारी वेब प्रोग्रामिंग भाषा बनली आहे.

दोन बग होते 2024 मध्ये प्रथम सापडला परंतु त्या वेळी शोषण करण्यायोग्य मानले जात नव्हते आणि पॅच केलेले नव्हते. सुरक्षा संशोधकांनी अलीकडेच त्यांचे शोषण करण्याचा एक मार्ग शोधून काढला, ज्यामुळे त्यांना सॉफ्टवेअरच्या निर्मात्यांना त्यांचे निराकरण करण्यासाठी अलर्ट करण्यास सांगितले.

कॅलिफने PHP फाउंडेशनला अलर्ट केले, ज्याने दोषांचे निराकरण करण्याचा आणि समन्वित प्रकटीकरणाचा कालावधी सुरू केला. मोठ्या कंपन्यांना निराकरणे स्थापित करण्याआधी पुढे जाण्याची संधी देण्यासाठी – फाउंडेशनने कठोरपणे संरक्षित बंदी अंतर्गत सुरक्षा समस्यांबद्दल माहिती आणि पॅच ऑफर करून हे केले – मूलत: विशिष्ट मुदतीपर्यंत गोपनीयपणे ठेवले जाते.

बग इतके गंभीर का आहेत?

PHP2Shell हे खूपच गंभीर आहे कारण त्याचा इंटरनेटवर दूरस्थपणे गैरवापर केला जाऊ शकतो आणि पीडिताला लिंकवर क्लिक न करता किंवा फाइल उघडल्याशिवाय. याला रिमोट कोड एक्झिक्यूशन म्हणून ओळखले जाते, आणि हे शोषण करण्यासाठी सर्वात हानिकारक प्रकारांपैकी एक आहे कारण ते हॅकरला जगात कुठेही प्रभावित आणि अनपॅच नसलेल्या प्रणालीवर प्रभावीपणे पूर्ण नियंत्रण देऊ शकतात.

सर्वात वाईट म्हणजे, या विशिष्ट PHP बगांमुळे इंटरनेटवरील कोणत्याही अनपॅच नसलेल्या सिस्टममध्ये प्रवेश करणे शक्य होते आणि इंटरनेटवर पासवर्ड किंवा इतर कोणत्याही क्रेडेन्शिअलची आवश्यकता न पडता, ज्याला अनधिकृत प्रवेश म्हणून ओळखले जाते.

हे दुर्भावनापूर्ण हॅकरला नंतर संगणकावर मालवेअर लावण्याची अनुमती देईल, जसे की डेटा चोरणे किंवा ते नंतर परत येऊ शकतील अशी दीर्घकालीन पायरी राखण्यासाठी.

70% वेब का प्रभावित झाले?

दोष विशेषतः धोकादायक आहेत कारण PHP हे अत्यंत लोकप्रिय सॉफ्टवेअर आहे, कारण ते विनामूल्य आणि वापरण्यास तुलनेने सोपे आहे, परंतु ते अनेक दशकांपासून आहे. सुमारे 70% वेब-फेसिंग इंटरनेट PHP वर अवलंबून आहे, जरी त्याचा वापर होत आहे वर्षानुवर्षे हळूहळू कमी होत आहे नवीन, अधिक सुरक्षित प्रोग्रामिंग भाषांच्या बाजूने.

तिची लोकप्रियता लक्षात घेता, जगातील काही लोकप्रिय वेबसाइट्स PHP वर अवलंबून असलेल्या वेब सॉफ्टवेअरवर चालवल्या जातात, जसे की WordPress (जे वाचन होस्ट करते!), तसेच Drupal, Joomla आणि MediaWiki, जे ऑनलाइन विश्वकोश विकिपीडियाला सामर्थ्य देतात.

PHP हे अनेक वृद्ध परंतु कार्यशील तंत्रज्ञानांपैकी एक आहे जे इंटरनेटच्या लाटा आणि पिढ्यांमध्ये टिकून राहिले आहे जे आता सर्वव्यापी आहेत, ते इंटरनेटचा बराचसा भाग एकत्र ठेवणाऱ्या गोंद सारखा आहे. बऱ्याचदा ही साधने ओपन सोर्स मेंटेनर्सद्वारे विकसित केली जातात, ज्यांना त्यांनी केलेल्या कामासाठी पैसे दिले जात नाहीत आणि त्यामुळे तृतीय-पक्ष सुरक्षा पुनरावलोकने परवडत नाहीत — परंतु तरीही प्रकल्पांमध्ये आर्थिक योगदान न देणाऱ्या कंपन्यांद्वारे मोठ्या प्रमाणावर अवलंबून असतात.

बग शोधण्यासाठी AI चा वापर करण्यात आला होता का?

PHP च्या कोडच्या सुरक्षा ऑडिटचा भाग म्हणून या वर्षाच्या सुरुवातीला बग्स शोधण्याचे श्रेय कॅलिफ येथील सुरक्षा संशोधकांना देण्यात आले. कॅलिफ सहभागी झाले होते प्लॅनेट उपक्रम हॅक करा AI मॉडेल मेकर OpenAI आणि क्लाउड सिक्युरिटी जायंट Wiz द्वारे, ज्याने नंतर कॅलिफने केलेल्या संकल्पनेच्या पुराव्याची पडताळणी केली.

कॅलिफच्या लिखाणात (कॉमिक्सचे वैशिष्ट्य – हे छान आहे, ते तपासा), संशोधकांनी स्पष्ट केले की बगचे शोषण करण्यासाठी AI चा वापर करण्यात आला होता, परंतु बहुतेक काम हे संशोधकांकडे आधीपासून असलेल्या ज्ञानावर अवलंबून होते आणि त्यांना PHP चा कोडबेस आणि शोषणाचा इतिहास चांगला माहीत होता.

“कोणतेही मॉडेल साध्या प्रॉम्प्टसह 'सर्व बग' शोधण्यास सक्षम नाही. किमान सध्या तरी,”कॅलिफ यांनी लिहिले.

प्रकटीकरणापूर्वी बगचे शोषण का केले गेले?

बुधवारपर्यंत बगचे तपशील लपवून ठेवण्याचा प्रयत्न असूनही, असे दिसून येते की पॅच रिलीझ होण्यापूर्वी काही PHP2Shell शोषण झाले होते.

ॲमेझॉन, ज्याचा आकार आणि स्केलमुळे ऑनलाइन धोक्यांमध्ये प्रचंड दृश्यमानता आहे, असे म्हटले आहे ब्लॉग पोस्ट मध्ये PHP पॅचेस उपलब्ध होण्यापूर्वी सुमारे एक आठवडा आधी PHP2Shell चे शोषण आढळले होते, हे सूचित करते की एखाद्याला, कुठेतरी, दोषांचे तपशील विस्तृतपणे उपलब्ध होण्यापूर्वी त्यांचे शोषण कसे करावे हे माहित होते. ऍमेझॉनने सांगितले की हॅकरला असुरक्षा कशा कळल्या हे स्पष्ट झाले नाही, परंतु बचावकर्त्यांनी 17 ऑक्टोबरपासून शोषणाचे पुरावे शोधले पाहिजेत.

काय झाले याबद्दल काही सिद्धांत आहेत. एकदा बग पॅच केल्यावर, पॅचचे तपशील तात्काळ उघड होऊ शकतात, विशेषत: जर कोड — PHP च्या बाबतीत — ओपन सोर्स असेल तर तो सार्वजनिक आणि तपासण्यायोग्य बनतो. बगचे शोषण करणे कदाचित सोपे नसेल, परंतु बग कुठे आहे आणि त्याचे निराकरण कसे केले गेले हे जाणून घेतल्याने दुर्भावनापूर्ण हॅकर्सना कुठे लक्ष्य करायचे आणि त्यांचे शोषण कसे विकसित करायचे हे समजू शकते.

निर्बंधादरम्यान कुठेतरी गळती किंवा संवादात बिघाड झाला असण्याची शक्यता आहे. मुक्त स्रोत समुदाय प्रचंड आहे आणि या फॅशनमध्ये माहिती नियंत्रित करणारी सद्भावनेवर अवलंबून आहे.

हे देखील शक्य आहे की हॅकर्सने स्वतंत्रपणे किंवा हेरगिरीद्वारे, वेळेपूर्वी बग शोधले.

PHP फाउंडेशन एका कंपनीला दोष दिला बंदी कालावधी पूर्ण होण्याच्या काही तास आधी पॅचेस थेट पुश करण्यासाठी, ज्यामुळे काही हल्लेखोरांनी इतरांसमोर पॅचचे तपशील प्राप्त केले असते तर त्यांना हेडस्टार्ट मिळू शकले असते. परंतु हे Amazon द्वारे शोधलेल्या आठवड्याभराच्या क्रियाकलापासाठी खाते नाही.

संशोधक म्हणतात की बग शोषक होण्यासाठी खूप काम करावे लागेल आणि बगला शस्त्र बनवणे हे एक आव्हान आहे – परंतु अशक्य नाही – जे स्पष्ट करते की आम्ही अद्याप मोठ्या प्रमाणात शोषण का पाहिले नाही.

परंतु शुक्रवारी उशिरापर्यंत, सुरक्षा दिग्गजांच्या म्हणण्यानुसार, आता PHP बगशी संबंधित तडजोड आणि पोस्ट-शोषण क्रियाकलापांची पुष्टी झाली आहे. पालो अल्टो नेटवर्क्स आणि बिट्सचा माग. याचा अर्थ अद्याप अज्ञात लक्ष्यावर हॅक करण्यासाठी आणि सक्रियपणे दुर्भावनापूर्ण क्रियाकलाप करण्यासाठी बगचा गैरवापर झाल्याचे आढळले आहे.

इंटरनेटचे मोठे भाग बंद झाले, परंतु परत येत आहेत. आम्ही त्यातील सर्वात वाईट गोष्टी टाळल्या आहेत का?

अजूनही सुरुवातीचे दिवस आहेत परंतु हे एक उत्साहवर्धक लक्षण आहे की मोठ्या प्रमाणावर शोषणाची कोणतीही चिन्हे नाहीत – परंतु आम्ही अद्याप धोक्याच्या क्षेत्राबाहेर नाही आहोत.

मॅथ्यू प्रिन्स, नेटवर्क सिक्युरिटी आणि मॉनिटरिंग महाकाय क्लाउडफ्लेअरचे मुख्य कार्यकारी, ज्यात इंटरनेटच्या मोठ्या भागामध्ये टेलिमेट्री देखील आहे, या आठवड्यात सांगितले की त्यांच्या प्रकटीकरणानंतर बग्सचे शोषण करण्याच्या प्रयत्नांची संख्या घातांकीय आहे. दुर्भावनापूर्ण अभिनेते त्यांच्या स्वतःच्या फायद्यासाठी किती लवकर दोषांचा दुरुपयोग करू पाहत आहेत याचा काही दृष्टीकोन यातून मिळतो.

PHP फक्त वेब सर्व्हरवर आढळत नाही, तर डेव्हलपर टूल्स, कमांड लाइन आणि टर्मिनल पॅकेजेस आणि फायरवॉल आणि व्हीपीएन सारख्या राउटर, स्टोरेज डिव्हाइसेस आणि एंटरप्राइझ सुरक्षा डिव्हाइसेसद्वारे वापरल्या जाणाऱ्या इतर सॉफ्टवेअर घटकांमध्ये देखील वापरले जाते.

आम्ही PHP2Shell चे शोषण पाहण्याची अपेक्षा केली पाहिजे कारण लहान IT संघ आणि एकमेव विकसक अद्यतनित होण्यासाठी मंद असू शकतात. असा कालावधी देखील असेल ज्यामध्ये PHP वर अवलंबून असलेल्या आणि त्यांच्या स्वतःच्या उत्पादनांमध्ये आणि सॉफ्टवेअरमध्ये समाकलित करणाऱ्या विविध कंपन्या, ज्यांना अद्यतनित करणे देखील आवश्यक असेल.

जसजसे अधिक उपकरणे आणि प्रणाली अद्ययावत केल्या जातील तसतसे आक्रमण पृष्ठभाग वेळेत कमी होईल. परंतु या बग्सचे लहरी परिणाम पुढील अनेक वर्षांपर्यंत जाणवू शकतात, विशेषत: अद्ययावत करण्याचे कोणतेही साधन नसलेल्या परंपरागत प्रणालींमध्ये.

हे पुन्हा होईल का?

सुरक्षा रिपोर्टर म्हणून मी माझ्या काळात पाहिलेल्या दुर्मिळ इंटरनेट-स्टॉपिंग दिवसांपैकी हा एक होता. 2016 मध्ये, एक भव्य बॉटनेट फ्लड इंटरनेट रेजिस्ट्री Dyn जंक ट्रॅफिकमुळे वेबच्या बऱ्याच शीर्ष सेवा थांबल्या आहेत. 2017 मध्ये, उत्तर कोरियाने यूकेच्या आरोग्य प्रणालीला रॅन्समवेअरने संक्रमित करण्यासाठी लीक केलेल्या यूएस सरकारच्या हॅकिंग साधनांचा वापर केला. आणि 2024 मध्ये, ए सदोष CrowdStrike अद्यतन मोठ्या प्रमाणावर जागतिक आउटेज निर्माण झाले ज्यामुळे जगातील बहुतेक Windows संगणक एकाच वेळी क्रॅश झाले.

PHP2Shell मधील सर्व खात्यांनुसार, इंटरनेट त्यापासून दूर गेले जे अन्यथा एक अत्यंत क्लेशदायक आणि हानीकारक दिवस असू शकते. परंतु वेबवर येण्याची ही शेवटची मोठी घटना असण्याची शक्यता नाही आणि वारसा तंत्रज्ञानातील कमकुवतपणाचे शोषण करणाऱ्या घटनांच्या ट्रेंडमधील ही पहिली घटना असू शकते. यापैकी बरेच काही वृद्धत्वातील अंतर्निहित त्रुटींमुळे आहे परंतु सर्वव्यापी सॉफ्टवेअर जे अद्याप शोधले गेले नाहीत, AI साधनांसह जे दोष शोधणे सोपे करत आहेत.

PHP, अनेक दशकांपूर्वीच्या इतर वेब प्रोग्रामिंग भाषा आणि तंत्रज्ञानाप्रमाणेच, “मेमरी असुरक्षित” आहेत, याचा अर्थ त्यांच्यावर असुरक्षिततेच्या संपूर्ण वर्गाद्वारे आक्रमण केले जाऊ शकते जे सॉफ्टवेअरला सॉफ्टवेअरच्या मेमरी स्टोरेजमधून संवेदनशील डेटा लीक करण्यास किंवा स्पिल करण्यास भाग पाडू शकते. राष्ट्रीय सुरक्षा एजन्सी सुमारे म्हणते सर्व सक्रियपणे शोषण केलेल्या असुरक्षांपैकी 75% दुरुपयोग स्मृती-संबंधित दोष, म्हणजेच हॅकर्स त्यांचा भरपूर वापर करतात.

यामुळे Python, Rust आणि Swift सारख्या मेमरी-सुरक्षित भाषांचा वापर करण्यास मदत झाली आहे, ज्याचा दुरुपयोग मेमरीच्या असुरक्षिततेप्रमाणे केला जाऊ शकत नाही. अशा प्रकारे, या भाषा त्यांना त्यांच्या पूर्ववर्तींना प्रभावित करणाऱ्या असुरक्षिततेच्या मोठ्या प्रमाणात प्रतिकार करतात.

परंतु तरीही अनेक दशकांपूर्वीचे PHP, मीडिया आणि व्हिडिओ कोडेक्स, कॉम्प्रेशन लायब्ररी आणि इतर सॉफ्टवेअर सारख्या तंत्रज्ञानाचा एक समूह चालवणारा इंटरनेटचा संपूर्ण भाग सोडतो – जे, जेव्हा ते खंडित होतात, बाकीच्या वेबसाठी मोठ्या प्रमाणात परिणाम होतील.