अक्टोबर २१, २०२६ मा पीएचपीका विकासकर्ताहरूले ‘php2shell’ नामक दुई गम्भीर सुरक्षा कमजोरी (CVE-2026-109618 र CVE-2026-109619) लाई सम्बोधन गर्न आपतकालीन सुरक्षा अद्यावधिकहरू जारी गरेपछि विश्वभरका लाखौँ वेबसाइटहरू उच्च जोखिममा परेका छन्। यी कमजोरीहरूलाई CVSS v4.0 मा ९.२ (गम्भीर) को रेटिङ दिइएको छ।
यी कमजोरीहरूले ह्याकरहरूलाई प्रमाणीकरण बिना नै प्रभावित वेब सर्भरहरूमा मालिसियस कोड चलाउन अनुमति दिन सक्छन्। Google-owned सुरक्षा फर्म Wiz र OpenAI को GPT-5.6 Sol लगायतका एआई उपकरणहरूले यी कमजोरीहरू पत्ता लगाउन महत्त्वपूर्ण भूमिका खेलेका छन्।
७० प्रतिशत वेबसाइट जोखिममा
Wiz Research का अनुसार, विश्वभरका लगभग ७० प्रतिशत वेबसाइटहरू पीएचपी प्रयोग गर्छन्। यसले गर्दा यो कमजोरीले व्यापक प्रभाव पार्ने देखिएको छ। एक सुरक्षा अनुसन्धानकर्ताले १.३ मिलियन भन्दा बढी वेबसाइटहरू जोखिममा रहेको अनुमान गरेका छन्, जबकि Palo Alto Networks ले २२.६ मिलियन भन्दा बढी प्रभावित उदाहरणहरू अनुमान गरेको छ।
युरोप र क्यानडाका केही सरकारी वेबसाइटहरूलाई सावधानीका रूपमा अफलाइनमा राखिएको थियो। Cloudflare का प्रमुख प्रविधि अधिकारीले प्रारम्भिक आक्रमणहरू देखा परेको बताएका छन्, जसले यो कमजोरीको तत्काल शोषण भइरहेको संकेत गर्छ।
दशकौँ पुरानो कमजोरी र एआईको भूमिका
यी कमजोरीहरू दशकौंदेखि पीएचपी कोडबेसमा उपस्थित थिए। तर, तिनीहरूको शोषण योग्यता प्रदर्शन गर्न असाधारण जटिल चरणहरूको श्रृंखला आवश्यक थियो। फ्रन्टियर एआई मोडेलहरूले त्यो बाधालाई उल्लेखनीय रूपमा घटाए, जसले लामो समयदेखिको कमजोरीलाई शोषणमा परिणत गर्यो।
अक्टोबर २०, २०२६ मा, पीएचपी परियोजनाले यी कमजोरीहरूलाई सम्बोधन गर्न आगामी सुरक्षा रिलीजको घोषणा गरेको थियो। यद्यपि, जानकारी निर्धारित खुलासा मिति भन्दा अगाडि नै सार्वजनिक भएको थियो।
तत्काल अद्यावधिकको अनिवार्यता
पीएचपी प्रयोगकर्ताहरूलाई तत्काल अद्यावधिक गर्न कडा रूपमा प्रोत्साहित गरिएको छ। अक्टोबर २१, २०२६ मा, पीएचपी ८.५.१२, ८.४.२७, ८.३.३६, र ८.२.३५ संस्करणहरूमा फिक्सहरू जारी गरियो। संगठनहरूले तत्काल प्याच लागू गर्नुपर्छ, विशेष गरी इन्टरनेट-फेसिङ प्रणालीहरूलाई प्राथमिकता दिँदै।
तत्काल अद्यावधिक गर्न नसक्ने वा पीएचपी ८.१ वा पुराना असमर्थित संस्करणहरू प्रयोग गरिरहेका संगठनहरूले प्याच वा अद्यावधिक नभएसम्म पीएचपी-आधारित प्रणालीहरूलाई अफलाइनमा राख्नुपर्छ। वेब अनुप्रयोग फायरवालले प्रणालीहरू अद्यावधिक नभएसम्म केही सुरक्षा प्रदान गर्न सक्छ। नेटवर्क डिफेन्डरहरूलाई संदिग्ध गतिविधिहरूको लागि निगरानी गर्न आग्रह गरिएको छ, जसमा पीएचपी वर्कर प्रक्रियाहरूले शेलहरू सुरु गर्ने वा उपकरणहरू डाउनलोड गर्ने समावेश छ।
नेपालमा अघिल्लो असर र आगामी कदम
यसअघि, पीएचपी प्रोग्रामिङ भाषामा गम्भीर साइबर सुरक्षा कमजोरी भेटिएपछि नेपालका सरकारी वेबसाइटहरू अस्थायी रूपमा बन्द भएका थिए। यसले सरकारी सेवा प्रवाहमा असर पुगेको थियो।
Cisco ले अनुमान गरेको छ कि लगभग आधा इन्टरनेट-फेसिङ उदाहरणहरू प्याचका लागि धेरै पुराना छन्, जसले थप चुनौती सिर्जना गरेको छ। पीएचपी ७.४, ८.०, र ८.१ का लागि न्यूनतम स्रोत ब्याकपोर्टहरू पनि जारी गरिएको छ, तर वेबसाइट प्रशासकहरू र होस्टिङ प्रदायकहरूले अझै पनि आफ्नो सर्भरहरूमा अद्यावधिक स्थापना गर्न आवश्यक छ।
अनुत्तरित प्रश्नहरू
पीएचपीको कुन-कुन संस्करणहरू वास्तवमा यी कमजोरीहरूबाट प्रभावित छन् भन्ने बारेमा आधिकारिक रूपमा पूर्ण विवरणहरू जारी गरिएको छैन, यद्यपि रिपोर्टहरूले पीएचपी ५ देखि सबै संस्करणहरू प्रभावित भएको सुझाव दिएका छन्। पूर्वनिर्धारित स्थापनाहरू जोखिममा छन् कि छैनन्, कुन सेटिङहरू आवश्यक छन्, वा विशेष अपरेटिङ सिस्टमहरूले बढी जोखिम सामना गर्छन् कि गर्दैनन् भन्ने बारेमा पीएचपीले अझै स्थापित गरेको छैन।
यसअघि: पीएचपीमा गम्भीर साइबर सुरक्षा कमजोरी: नेपालका सरकारी वेबसाइट बन्द
