प्रोग्रामिंग भाषा PHP में दो गंभीर कमजोरियों के कारण सरकारों और निगमों को संभावित हमलों के खिलाफ साइटों को निवारक रूप से ऑफ़लाइन करना पड़ा। इन खामियों को अंतरराष्ट्रीय गंभीरता पैमाने पर 9.2 का स्कोर दिया गया था और ये हमलावरों को बिना किसी एक्सेस क्रेडेंशियल या पासवर्ड की आवश्यकता के उजागर सर्वरों पर रिमोट कमांड निष्पादित करने की अनुमति देती हैं।
PHP के डेवलपर्स ने बुधवार, 21 तारीख को इन समस्याओं को ठीक करने के लिए अपडेट लागू किए। सुरक्षा अधिकारियों ने सलाह दी है कि सुधार तुरंत लागू किए जाएं; वैकल्पिक रूप से, कमजोर प्रणालियों को तब तक इंटरनेट से अलग रखा जाना चाहिए जब तक कि सुरक्षा स्थापित न हो जाए।
एक कमजोरी ने ध्यान आकर्षित किया क्योंकि इसे मूल रूप से 2024 में खोजा गया था। PHP फाउंडेशन के अनुसार, सुधार के लिए लगने वाला समय प्रक्रिया में एक संरचनात्मक विफलता को इंगित करता है। अपडेट का खुलासा विशेषज्ञों की चिंता को भी बढ़ाता है, क्योंकि इसमें जोखिम होता है कि हमलावर उन सिस्टमों में शोषण के तरीके खोजने के लिए पैच का अध्ययन करें जिन्हें अभी तक अपडेट नहीं किया गया है।
PHP के डेवलपर्स ने दो महत्वपूर्ण कमजोरियों को दूर करने के लिए चार अलग-अलग अपडेट जारी किए। PHP फाउंडेशन ने उपयोगकर्ताओं के अपने सिस्टम को अपडेट करने की तत्काल आवश्यकता पर जोर दिया। फाउंडेशन ने स्वीकार किया कि एक खामी की पहचान 2024 में एक शोधकर्ता द्वारा की गई थी, जिसमें सुधार में देरी को एक संरचनात्मक समस्या के रूप में वर्गीकृत किया गया था।
संयुक्त राज्य अमेरिका की राष्ट्रीय सुरक्षा एजेंसी (NSA) ने एक चेतावनी जारी की जिसमें बताया गया कि इस तरह की कमजोरियां सर्वर के फ़ाइलों और डेटाबेस तक पहुंच को आसान बना सकती हैं। यदि अपडेट को तुरंत लागू करना संभव नहीं है, तो मार्गदर्शन यह है कि प्रभावित सिस्टम को नेटवर्क से हटा दिया जाए।
दूसरी ओर, संयुक्त राज्य अमेरिका की साइबर सुरक्षा और अवसंरचना सुरक्षा एजेंसी (CISA) ने सभी PHP इंस्टॉलेशन के तत्काल अपडेट की सिफारिश की। इस रिपोर्ट के प्रकाशन के समय, एजेंसी ने इन कमजोरियों के शोषण का पता नहीं लगाया था, हालांकि उसने असुरक्षित सिस्टम बनाए रखने के खतरों के बारे में चेतावनी दी थी।
सोफोस काउंटर थ्रेट यूनिट (CTU) के खतरा खुफिया उपाध्यक्ष डॉन स्मिथ के लिए, संगठनों द्वारा सामना की जाने वाली पहली बाधा यह निर्धारित करना है कि PHP का उपयोग कहाँ किया जा रहा है। उन्होंने कहा: 'तत्काल चुनौती केवल एक सुधार स्थापित करना नहीं है, बल्कि उन सभी इंस्टेंस की पहचान करना और प्रबंधित करना है जहां PHP चल रहा है।'
विशेषज्ञ ने इस बात पर जोर दिया कि यह भाषा विभिन्न स्थानों पर मौजूद हो सकती है, जैसे सार्वजनिक वेबसाइटें, सामग्री प्रबंधन प्रणाली, होस्टिंग प्लेटफॉर्म और तृतीय-पक्ष उत्पाद, और कुछ स्थितियों में, यह उपस्थिति उस संगठन के लिए स्पष्ट नहीं हो सकती है जो बुनियादी ढांचे के लिए जिम्मेदार है।
स्मिथ ने सुरक्षा टीमों को कई कार्यों को प्राथमिकता देने का सुझाव दिया। कार्यकारी ने दुर्भावनापूर्ण एजेंटों की कार्रवाई की गति के बारे में भी चेतावनी दी, जिसमें कृत्रिम बुद्धिमत्ता (AI) का उपयोग भी शामिल है। उनके विश्लेषण में, ये कमजोरियां मरम्मत के खुलासे के घंटों और दिनों के बाद प्राथमिक लक्ष्य बन सकती हैं।
इस प्रकार, स्मिथ ने सलाह दी कि संगठनों को केवल अपडेट स्थापित करने तक ही सीमित नहीं रहना चाहिए, बल्कि यह भी जांच करनी चाहिए कि क्या किसी घुसपैठिए ने मरम्मत लागू होने से पहले ही वातावरण तक पहुंच प्राप्त कर ली है।
कैलिफ़ सुरक्षा कंपनी के शोधकर्ताओं ने ओपनएआई के सहयोग से, जीपीटी-5.6 सोल मॉडल की सहायता से इसकी पहचान करने के बाद, 11 अगस्त को PHP डेवलपर्स को एक कमजोरी की सूचना दी। विज़, जो अल्फाबेट (गूगल का नियंत्रक) से जुड़ा एक अन्य सुरक्षा कंपनी है, ने स्वतंत्र रूप से समस्याओं की पहचान की और 24 अगस्त को दूसरी खामी की सूचना दी, जिसमें भी एआई मॉडल का उपयोग किया गया।
इस खोज ने प्रदर्शित किया कि कैसे एआई उपकरण शोधकर्ताओं को व्यापक रूप से उपयोग किए जाने वाले सॉफ़्टवेयर में खामियां खोजने में मदद कर सकते हैं। हालांकि, हमलावरों द्वारा सुधारों का विश्लेषण करने की संभावना प्रभावित सिस्टमों को अपडेट रखने और किसी भी संदिग्ध गतिविधि की निगरानी करने की तात्कालिकता को मजबूत करती है।