डेटा कम्प्रेशन सिस्टम में एक गंभीर भेद्यता तकनीकी कंपनियों को सर्वर और एप्लिकेशन से समझौता करने वाली हमलों को रोकने के लिए सुरक्षा अपडेट जारी करने के लिए मजबूर कर रही है। यह भेद्यता, जिसे HTTP2Shell नाम दिया गया है, Brotli को प्रभावित करती है - एक ऐसी तकनीक जिसे गूगल द्वारा विकसित किया गया है और जो इंटरनेट इन्फ्रास्ट्रक्चर के विभिन्न तत्वों में उपयोग की जाती है।
इस खामी को बहुत गंभीर वर्गीकृत किया गया है, जिसका दस-बिंदु पैमाने पर मूल्यांकन 9.2 है। यह मेमोरी क्षति, डेटा रिसाव, सेवाओं के रुकने और कुछ परिस्थितियों में रिमोट कोड निष्पादन का कारण बन सकती है। अंतिम परिदृश्य हमलावर को कमजोर सिस्टम में कमांड चलाने की अनुमति देता है।
CVE-2026-111497 कोड के तहत पहचानी गई यह समस्या Node2Shell और Broccoli2Shell के रूप में भी जानी जाती है। जोखिम में संभावित सॉफ्टवेयर में Node.js, .NET एप्लिकेशन और Brotli डिकोडर के असुरक्षित संस्करणों का उपयोग करने वाले Python पैकेज शामिल हैं।
टेकरेडार के अनुसार, कई कंपनियों और परियोजनाओं ने पहले ही फिक्स जारी करना शुरू कर दिया है। हालांकि, सामग्री प्रकाशित होने के समय इस बात की कोई पुष्टि नहीं थी कि इस भेद्यता का वास्तविक दुर्भावनापूर्ण हमलों में उपयोग किया जा रहा है।
इस समस्या ने विभिन्न परियोजनाओं को सुरक्षा अपडेट जारी करने के लिए प्रेरित किया है। गूगल ने 21 अक्टूबर को Brotli लाइब्रेरी को अपडेट किया, जिसमें संस्करण 1.0.10, 1.1.1 और 1.2.1 जारी किए गए। उसी दिन Node.js ने भी फिक्स जारी किए। भेद्यता रनटाइम के संस्करण 22.x, 24.x और 26.x को प्रभावित करती है, जिसका उपयोग ब्राउज़र के बाहर जावास्क्रिप्ट कोड चलाने के लिए किया जाता है।
सप्ताहांत में माइक्रोसॉफ्ट ने .NET के लिए एक आपातकालीन अपडेट जारी किया। कंपनी ने चेतावनी दी कि सफल शोषण कमजोर सिस्टम में विशेषाधिकार वृद्धि का कारण बन सकता है। इसके अलावा, डिकोडर का उपयोग करने वाले Python पैकेजों को 23 अक्टूबर को फिक्स प्राप्त हुए।
टेकरेडार ने फिक्स्ड संस्करणों की सूची दी, लेकिन इस बात पर जोर दिया कि इन संस्करणों की उपस्थिति का मतलब यह नहीं है कि ये तकनीकें उपयोग करने वाली सभी प्रणालियाँ कमजोर हैं। जोखिम स्थापित संस्करणों, उपयोग की जाने वाली पुस्तकालयों और प्रत्येक एप्लिकेशन द्वारा डेटा को कैसे संसाधित किया जाता है, उस पर निर्भर करता है। यह याद रखना भी महत्वपूर्ण है कि कुछ प्रोग्राम में डिकोडर की अपनी प्रति होती है, इसलिए प्रशासकों को निर्भरताओं की जांच करनी चाहिए और वास्तव में उपयोग किए जा रहे घटकों को अपडेट करना चाहिए।
HTTP2Shell को ठीक करने की यह दौड़ डिजिटल बुनियादी ढांचे की व्यापक समस्या पर ध्यान आकर्षित करती है: कई घटकों, पुस्तकालयों और सर्वरों के सुरक्षा को बनाए रखना जो हमेशा नियमित रूप से अपडेट नहीं होते हैं।
PHP - वेबसाइट बनाने के लिए उपयोग की जाने वाली एक अन्य व्यापक रूप से उपयोग की जाने वाली तकनीक - से संबंधित हालिया चेतावनी ने दिखाया कि यदि रखरखाव करने वाले सुरक्षा पैच लागू नहीं करते हैं तो यह समस्या कैसे बढ़ सकती है। हालांकि PHP भेद्यताएं HTTP2Shell से भिन्न हैं, दोनों मामले उन प्रणालियों की सुरक्षा में कठिनाइयों को दर्शाते हैं जो विभिन्न संगठनों द्वारा समर्थित सॉफ़्टवेयर घटकों पर निर्भर करती हैं।
CNET की रिपोर्ट के अनुसार, PHP फाउंडेशन, जो भाषा की सुरक्षा और विकास का समर्थन करने वाला एक गैर-लाभकारी संगठन है, केवल एक पूर्णकालिक कर्मचारी और स्वयंसेवकों के अलावा आंशिक समय के लगभग 14 कर्मचारियों के साथ काम करता है। संगठन के कार्यकारी निदेशक, एलिजाबेथ बैरन ने रॉयटर्स को बताया कि कृत्रिम बुद्धिमत्ता (एआई) द्वारा उजागर किए गए खतरों के विस्तार के कारण PHP कोड में सुरक्षा परिवर्तनों की मांग बढ़ी है, जबकि कर्मचारियों की संख्या में उचित वृद्धि नहीं हुई है।
वेबसाइट मालिकों की जागरूकता भी एक बाधा है। CNET द्वारा उद्धृत और 121 छोटे व्यवसाय मालिकों के बीच किए गए एक अध्ययन से पता चला कि 45% ने कभी PHP के बारे में नहीं सुना था, और 71% नहीं जानते थे कि उनकी वेबसाइट इस तकनीक का उपयोग करती है।
फिक्स लागू करने की जिम्मेदारी बुनियादी ढांचे के आधार पर भिन्न होती है। कुछ प्रबंधित होस्टिंग सेवाएं ग्राहकों के लिए अपडेट करती हैं, जबकि अपने सर्वर के मालिक स्वतंत्र रूप से कार्य करते हैं। वेबसाइटों के सामान्य आगंतुकों के लिए ब्राउज़र अपडेट या पासवर्ड बदलना किसी अन्य संगठन के सर्वर पर भेद्यता को दूर नहीं करेगा; सुरक्षा मुख्य रूप से जिम्मेदार लोगों द्वारा घटकों को समय पर अपडेट करने और उचित सुरक्षा उपाय अपनाने पर निर्भर करती है।
मुख्य सिफारिश प्रभावित घटकों के लिए उपलब्ध अपडेट स्थापित करना है। फिक्स के बाद, यह सुनिश्चित करने के लिए प्रक्रियाओं को पुनरारंभ करने और कंटेनर छवियों का पुनर्निर्माण करने की आवश्यकता हो सकती है कि सेवाएं असुरक्षित संस्करणों का उपयोग करना बंद कर दें।
यदि तुरंत फिक्स लागू करना संभव नहीं है, तो जोखिम कम करने के लिए अस्थायी उपाय मौजूद हैं। Python अनुप्रयोगों के मामले में, एक अस्थायी समाधान Brotli की कमजोर पैकेजों और उनके उपयोग करने वाली वैकल्पिक निर्भरताओं को हटाना है। प्रशासक प्रॉक्सी, लोड बैलेंसर या एप्लिकेशन फ़ायरवॉल को Brotli में पैक किए गए निकायों वाले विशिष्ट अनुरोधों को ब्लॉक करने के लिए कॉन्फ़िगर भी कर सकते हैं। फिर भी, यह उपाय अन्य सर्वरों से दुर्भावनापूर्ण प्रतिक्रियाएं प्राप्त करने और उन्हें अनपैक करने का प्रयास करने वाले अनुप्रयोगों के लिए पूर्ण सुरक्षा प्रदान नहीं करता है। Node.js के लिए अपडेट का कोई पूर्ण विकल्प नहीं है।
HTTP2Shell उपनाम PHP2Shell नामक एक अन्य हालिया भेद्यता को संदर्भित करता है, जिसने PHP को प्रभावित किया, जो वेबसाइटों और एप्लिकेशन के विकास में व्यापक रूप से उपयोग की जाने वाली भाषा है। दोनों भेद्यताओं में एक चिंताजनक सामान्य पहलू है: कुछ शर्तों के तहत वे रिमोट कोड निष्पादन का मार्ग खोल सकती हैं। यह इंटरनेट के लिए खुले सिस्टम को बनाए रखने वाले संगठनों के लिए फिक्स को विशेष रूप से महत्वपूर्ण बनाता है।
हालांकि, भेद्यताएं स्वयं अलग हैं और विभिन्न घटकों को प्रभावित करती हैं। PHP2Shell को ठीक करने से स्वचालित रूप से वातावरण HTTP2Shell से सुरक्षित नहीं होता है, जिस तरह से Brotli अपडेट PHP की विशिष्ट समस्याओं का समाधान नहीं करता है। HTTP2Shell के मामले में टेकरेडार ने सार्वजनिक अवधारणा प्रमाणों का उल्लेख किया, लेकिन वास्तविक दुनिया में शोषण की पुष्टि नहीं की। इसके बावजूद, फिक्स की उपलब्धता और समस्या की संभावित गंभीरता प्रभावित प्रणालियों की जांच को प्राथमिकता देती है। लेख 'Falha crítica ameaça sites e pode permitir que hackers executem códigos remotamente' पहली बार Olhar Digital में प्रकाशित हुआ था।
