राष्ट्रिय साइबर सुरक्षा केन्द्रले पीएचपीमा देखिएका दुई गम्भीर कमजोरी (CVE-2026-109618 र CVE-2026-109619) बारे ‘अत्यन्त जरुरी’ चेतावनी जारी गर्दै अनधिकृत आक्रमणकारीले वेब सर्भरमा रिमोट कोड चलाउन सक्ने खतरा औंल्याएको छ। प्रधानमन्त्री तथा मन्त्रिपरिषद्को कार्यालयअन्तर्गतको सूचना प्रविधि तथा विद्युतीय शासन कार्यालयले सबै सम्बन्धित निकायलाई तत्काल सम्बोधन गर्न आग्रह गरेको छ।
यी कमजोरीहरूको गम्भीरता ९.२ (CVSS v4.0) रेट गरिएको छ, जसले अनधिकृत आक्रमणकारीलाई प्रभावित वेब सर्भरमा रिमोट कोड चलाउन अनुमति दिन सक्छ। पीएचपी रनटाइम (Apache mod php, PHP-FPM, php-cgi, FrankenPHP, LiteSpeed) र इकोसिस्टम (WordPress, Joomla, Drupal, Magento) मा यी कमजोरीहरू देखिएका हुन्।
यी कमजोरीहरूको विस्तृत जानकारी फिक्सहरू जारी हुनुअघि नै सार्वजनिक भएको थियो। विश्वभरका धेरै सुरक्षा विक्रेताहरूले यसको दुरुपयोग भइरहेको रिपोर्ट गरेकाले तत्काल अद्यावधिक गर्नु अत्यावश्यक छ। पीएचपी प्रोजेक्टले अक्टोबर २१, २०२६ मा आपत्कालीन सुरक्षा अद्यावधिकहरू जारी गरेको थियो।
नेपालका वेबसाइटहरूमाथि जोखिम
नेपालमा धेरै सरकारी तथा निजी वेबसाइटहरू पीएचपीमा आधारित छन्। यी कमजोरीहरूले सरकारी सेवा, वित्तीय कारोबार र व्यक्तिगत डेटाको सुरक्षामा ठूलो जोखिम निम्त्याउन सक्छन्। विशेषगरी, अनलाइन भुक्तानी प्रणाली, सरकारी पोर्टल र ई-कमर्स वेबसाइटहरू बढी संवेदनशील हुन्छन्। समयमै अद्यावधिक नगरेमा ह्याकरहरूले सजिलै प्रणालीमा प्रवेश गरी डेटा चोरी गर्ने वा वेबसाइटलाई निष्क्रिय पार्ने सम्भावना रहन्छ।
यसअघि पनि राष्ट्रिय साइबर सुरक्षा केन्द्रले पीएचपी कमजोरीबारे वेबसाइट सञ्चालकहरूलाई नयाँ एडभाइजरी जारी गरेको थियो। यो पछिल्लो एडभाइजरीले अझ गम्भीरताका साथ तत्काल कदम चाल्न आग्रह गरेको छ।
तत्काल अपनाउनुपर्ने सुरक्षा उपाय
राष्ट्रिय साइबर सुरक्षा केन्द्रले सबै सम्बन्धित निकायहरूलाई तत्काल निम्न प्रक्रिया अपनाउन आग्रह गरेको छ:
- पीएचपी संस्करण अद्यावधिक: आफ्नो प्रणालीमा प्रयोग भएको पीएचपीलाई यथाशीघ्र ८.५.१२+, ८.४.२७+, ८.३.३६+ वा ८.२.३५+ मा अपग्रेड गर्नुहोस्।
- पुरानो संस्करणका लागि समाधान: यदि पीएचपी ८.१ वा सोभन्दा पुरानो संस्करण प्रयोग गरिरहनुभएको छ भने, त्यसका लागि कुनै फिक्स वा प्याच उपलब्ध छैन। यस्ता वेबसाइटहरूलाई अनिवार्य रूपमा नयाँ सुरक्षित संस्करणमा सार्नुपर्छ।
- प्राविधिक सहयोग: प्याच डिप्लोयमेन्ट (Patch Deployment) का लागि थप प्राविधिक सहजीकरण चाहिएमा यस केन्द्रका कम्प्युटर अधिकृत श्री आशिष भट्ट (सम्पर्क: ९८४४६८२७४२) लाई सम्पर्क गर्न सकिनेछ। प्रणाली पहुँचमा सहजीकरणका लागि एकीकृत डाटा व्यवस्थापन केन्द्र (IDMC) मा सम्पर्क गर्न पनि अनुरोध गरिएको छ।
अद्यावधिक प्रक्रियामा पीएचपी संस्करण जाँच गर्ने, वेब सेवाहरू (PHP-FPM/Apache) को सक्रिय सर्भर संस्करण प्रमाणित गर्ने, र डेबियन/उबुन्टु वा आरएचईएल/फेडोरा-परिवार प्रणालीहरूमा प्याकेजहरू जाँच गर्ने लगायतका चरणहरू समावेश छन्। डकर प्रयोगकर्ताहरूले आफ्नो बेस इमेज अद्यावधिक गरी कन्टेनर इमेजहरू पुनर्निर्माण गर्नुपर्छ। प्याच लागू भएपछि पीएचपी-एफपीएम, अपाचे र अन्य लामो समयसम्म चल्ने पीएचपी वर्करहरूलाई पुनः सुरु गर्नुपर्छ।
अद्यावधिक सम्भव नभएमा वैकल्पिक उपाय
यदि तत्काल प्याचिङ सम्भव नभएमा, इन्टरनेटबाट पहुँच प्रतिबन्धित गर्ने वा प्रभावित सेवालाई अलग्याउने जस्ता उपायहरू अपनाउन सकिन्छ। केन्द्रका अनुसार, इन्टरनेट-फेसिङ प्रणालीहरूलाई प्राथमिकता दिनुपर्छ। सार्वजनिक रूपमा पहुँचयोग्य पीएचपी एप्लिकेसनहरूलाई आन्तरिक भीपीएन, स्पष्ट आईपी अनुमति सूची वा जिरो-ट्रस्ट गेटवेमार्फत मात्र पहुँचयोग्य बनाउनुपर्छ।
पुरानो पीएचपी संस्करण (८.१ वा सोभन्दा पुरानो) प्रयोग गर्ने वेबसाइटहरूलाई छुट्टै नेटवर्क स्यान्डबक्समा राखेर बाहिर जाने ट्राफिक रोक्न पनि केन्द्रले सुझाव दिएको छ। यसले सम्भावित आक्रमणलाई एक प्रणालीबाट अर्कोमा फैलिनबाट रोक्न मद्दत गर्छ। यदि कुनै इन्टरनेट-फेसिङ सेवालाई प्याच वा सुरक्षित गर्न सकिँदैन भने, अस्थायी रूपमा रनटाइम प्रोसेसिङ डेमन बन्द गर्न सकिन्छ।
वेबसाइट सञ्चालकहरूले तत्काल आफ्नो पीएचपी संस्करण अद्यावधिक गर्नुपर्छ र आधिकारिक एडभाइजरीहरू समीक्षा गरी आफ्नो पीएचपी बिल्डमा फिक्सहरू समावेश छन् वा छैनन् भनी पुष्टि गर्नुपर्छ।
यसअघि: राष्ट्रिय साइबर सुरक्षा केन्द्रद्वारा पीएचपी कमजोरीबारे वेबसाइट सञ्चालकहरूलाई नयाँ एड्भाइजरी
