पीएचपी अब ‘डेड ल्याङ्ग्वेज’ बन्दै: समाधानविहीन नयाँ सुरक्षा कमजोरीले विश्वभरका वेबसाइट जोखिममा

पीएचपी (PHP) प्रोग्रामिङ भाषामा ‘PHP2Shell’ त्रुटिको प्याच जारी भएको केही दिनमै पीएचपी फाउन्डेसनले समाधानविहीन नयाँ रिमोट कोड एक्जिक्युसन भल्नेराबिलिटी (CVE-2026-115560) फेला परेको पुष्टि गरेको छ, जसले विश्वका दुई तिहाइभन्दा बढी वेबसाइटलाई जोखिममा पारेको छ। यो गम्भीर सुरक्षा कमजोरीले विकासकर्ता र व्यवसायहरूमाझ ठूलो चिन्ता थपेको छ, किनकि यसको तत्काल कुनै स्थायी समाधान उपलब्ध छैन।

अक्टोबर २३ मा जारी गरिएको सल्लाहमा फाउन्डेसनले विकासकर्ताहरूलाई अर्को रिलिज नआएसम्म session.upload_progress.enabled=0 सेटिङ डिसेबल गर्न अपिल गरेको छ। यो अस्थायी उपायले जोखिम पूर्ण रूपमा हटाउने ग्यारेन्टी भने छैन।

किन पीएचपी अब जोखिमपूर्ण छ?

नयाँ पत्ता लागेको CVE-2026-115560 भल्नेराबिलिटीले ह्याकरहरूलाई सर्भरमै सिधै कोड रन गर्न सक्ने उच्च जोखिम सिर्जना गर्छ। यो कमजोरी विशेषगरी असामान्य पीएचपी सेसन सेटिङहरू प्रयोग गर्ने एप्लिकेशनहरूमा मात्र लागू हुने भए पनि, यसको कुनै स्थायी प्याच (Fix) हालसम्म उपलब्ध छैन। पीएचपी फाउन्डेसनले अर्को नियमित रिलिजसँगै यसको पूर्ण सल्लाह जारी गर्ने योजना बनाएको छ।

यसअघिका CVE-2026-109618 र CVE-2026-109619 जस्ता त्रुटिहरूमाथि आक्रमणका प्रयासहरू तीव्र बनेका थिए। क्लाउडफ्लेयरका अनुसार, अक्टोबर २१ मा सार्वजनिक भएपछि ४५ मिनेटमै दशौँ हजारबाट बढेर अक्टोबर २२ को बिहानसम्म लाखौँ पटक आक्रमणको प्रयास भएको रेकर्ड गरिएको थियो। अमेजनका हनीपटहरूले अक्टोबर १७ मा नै यी कमजोरीहरूलाई लक्षित गरी आक्रमणको प्रयास रेकर्ड गरेका थिए, जुन सार्वजनिक हुनुभन्दा चार दिन अगाडि हो।

यद्यपि, साइबर सुरक्षा फर्म सोफोस र प्रेभिडियनका अनुसार हालसम्म कुनै सफल ‘कम्प्रमाइज’ पुष्टि भएको छैन। ह्याकरहरूको यो आक्रामक प्रयासले पीएचपीको सुरक्षा प्रणाली कति कमजोर छ भन्ने प्रस्ट पारेको छ।

नेपाली डेभलपरका लागि नयाँ अवसर

हरेक हप्ता नयाँ गम्भीर त्रुटि आउने, तत्काल समाधान (Patch) नहुने र केवल सेटिङ परिवर्तनको भरमा सर्भर चलाउनुपर्ने अवस्थाले एउटै सन्देश दिन्छ— पीएचपी प्राविधिक रूपमा अब ‘डेड’ भइसक्यो। सुरक्षाका यस्ता निरन्तरका प्वालहरू टालेर बस्नु भनेको समय र स्रोतको बर्बादी मात्र हो। प्रयोगकर्ताको संवेदनशील डाटा र कर्पोरेट सर्भरहरूलाई यस्तो कमजोर जगमा अड्याएर राख्न सकिँदैन।

यसले नेपाली डेभलपरहरूलाई नयाँ प्रविधि सिक्ने र प्रयोग गर्ने अवसर प्रदान गरेको छ। पीएचपीको विकल्पमा पाइथन (Python), गो (Go), वा नोड जेएस (Node.js) जस्ता सुरक्षित, आधुनिक र भरपर्दो प्रविधिहरूमा आफ्नो सिस्टम ‘माइग्रेट’ गर्नुपर्ने बेला आइसकेको छ। यसले नेपाली प्रविधि बजारमा नयाँ सीप र रोजगारीका अवसरहरू सिर्जना गर्न सक्छ।

अब के गर्ने?

पीएचपी फाउन्डेसनले हालसम्म कुन पीएचपी संस्करणहरू प्रभावित छन् वा यसको गम्भीरता स्कोर के हो भन्ने स्पष्ट पारेको छैन। फाउन्डेसनले अर्को नियमित रिलिजसँगै CVE-2026-115560 का लागि पूर्ण सल्लाह जारी गर्ने योजना बनाएको छ।

यसअघि एआईको सहयोगमा पीएचपीमा गम्भीर सुरक्षा कमजोरी पत्ता लागेपछि नेपालका सरकारी वेबसाइटहरू बन्द भएका थिए। यसले सरकारी सेवा प्रवाहमा असर पुगेको थियो। यस्ता घटनाहरूबाट पाठ सिक्दै, व्यवसाय र विकासकर्ताहरूले अब यो पुरानो भाषाको मोह त्यागेर तत्काल नयाँ प्रविधिमा जानुपर्ने आवश्यकता देखिएको छ।