इंटरनेट पर साइबर हमले का खतरा बढ़ा! PHP की  गंभीर खामियों से मची हलचल, कई देशों ने सरकारी वेबसाइटें कीं बंद

टेक्नोलॉजी डेस्क | 23 अक्टूबर 2026

दुनिया भर में इंटरनेट सुरक्षा को लेकर नई चिंता सामने आई है। वेबसाइट बनाने और चलाने में व्यापक रूप से इस्तेमाल होने वाली प्रोग्रामिंग भाषा PHP में दो गंभीर सुरक्षा खामियों का पता चलने के बाद कई देशों की सरकारी एजेंसियों और डिजिटल सेवाओं ने अपने सिस्टम की सुरक्षा जांच तेज कर दी। कुछ वेबसाइटों को संभावित खतरे से बचाने के लिए अस्थायी रूप से ऑफलाइन भी किया गया।

इस घटनाक्रम ने सरकारी विभागों, निजी कंपनियों, वेबसाइट संचालकों और डिजिटल सेवाएं उपलब्ध कराने वाली संस्थाओं का ध्यान सर्वर सुरक्षा की ओर खींचा है। PHP की सुरक्षा खामियों को ठीक करने के लिए 21 अक्टूबर को अपडेट जारी किए गए। साइबर सुरक्षा एजेंसियों ने प्रभावित सिस्टम की पहचान कर जल्द से जल्द अपडेट लागू करने की सलाह दी है।

रॉयटर्स की रिपोर्ट के मुताबिक, यूरोप के कई देशों में सरकारी, शैक्षणिक और स्वास्थ्य सेवाओं से जुड़ी कुछ वेबसाइटों को एहतियातन ऑफलाइन किया गया। दक्षिण अफ्रीका के राष्ट्रपति कार्यालय की वेबसाइट भी 23 अक्टूबर को PHP से संबंधित चेतावनी के बाद अस्थायी रूप से बंद की गई। वहां के प्रवक्ता के मुताबिक, वेबसाइट बंद करने का फैसला सावधानी के तौर पर लिया गया था और उस समय सुरक्षा उल्लंघन का कोई संकेत नहीं मिला था। 

PHP क्या है और इंटरनेट के लिए क्यों महत्वपूर्ण है?

PHP एक लोकप्रिय सर्वर-साइड प्रोग्रामिंग भाषा है। इसका इस्तेमाल वेबसाइटों और वेब एप्लिकेशन के बैकएंड को संचालित करने, डेटाबेस से जानकारी प्राप्त करने और उपयोगकर्ताओं की मांग के अनुसार वेब पेज तैयार करने में किया जाता है।

इंटरनेट पर चलने वाली अनेक वेबसाइटें सीधे या किसी अन्य सॉफ्टवेयर के माध्यम से PHP पर निर्भर हैं। WordPress, Drupal और Joomla जैसे कंटेंट मैनेजमेंट सिस्टम के साथ भी PHP का इस्तेमाल होता है। इन प्लेटफॉर्म की मदद से समाचार वेबसाइटें, ब्लॉग, कारोबार से जुड़ी वेबसाइटें और कई ऑनलाइन सेवाएं संचालित की जाती हैं।

इसी व्यापक इस्तेमाल के कारण PHP के मुख्य सॉफ्टवेयर में मिलने वाली गंभीर खामी का असर किसी एक वेबसाइट या कंपनी तक सीमित नहीं रहता। यदि अलग-अलग संस्थाओं के सर्वर पर प्रभावित संस्करण चल रहे हों, तो उन सभी को अपने सिस्टम की जांच और सुरक्षा अपडेट की आवश्यकता पड़ सकती है।

हालांकि, PHP का इस्तेमाल करने वाली हर वेबसाइट हैक हो गई है, ऐसा मानना गलत होगा। जोखिम इस बात पर निर्भर करता है कि सर्वर पर कौन-सा संस्करण चल रहा है, उसे कैसे कॉन्फिगर किया गया है और सुरक्षा अपडेट लागू किए गए हैं या नहीं।

PHP2Shell नाम से चर्चा में आईं दो गंभीर खामियां

साइबर सुरक्षा रिपोर्टों में इन खामियों के समूह को PHP2Shell नाम से भी बताया गया है। इन्हें CVE-2026-109618 और CVE-2026-109619 के रूप में दर्ज किया गया है।

यूरोपीय संघ की साइबर सुरक्षा एजेंसी CERT-EU के अनुसार, इन खामियों का फायदा उठाकर कोई हमलावर प्रभावित सर्वर पर बिना सामान्य लॉगिन या प्रमाणीकरण के दुर्भावनापूर्ण कोड चलाने की स्थिति पैदा कर सकता है। सुरक्षा की भाषा में इसे रिमोट कोड एक्जीक्यूशन कहा जाता है।

पहली खामी PHP में मेमोरी प्रबंधन और त्रुटि की स्थिति से संबंधित है। दूसरी खामी ऐसे पुराने आंतरिक डेटा या संदर्भ के दोबारा इस्तेमाल से जुड़ी है, जिसे सुरक्षित तरीके से संभाला जाना चाहिए। दोनों मामलों में सॉफ्टवेयर की आंतरिक प्रक्रिया प्रभावित हो सकती है और जोखिम की गंभीरता इस बात पर निर्भर करती है कि सर्वर किस तरह संचालित हो रहा है।

सुरक्षा विशेषज्ञों के लिए चिंता का विषय यह है कि सफल हमले की स्थिति में प्रभावित सर्वर पर मौजूद जानकारी, डिजिटल सेवाओं और अन्य संसाधनों को नुकसान पहुंच सकता है। कुछ परिस्थितियों में संवेदनशील जानकारी उजागर होने या सर्वर पर अनधिकृत गतिविधियां होने का जोखिम भी रहता है।

इन खामियों की गंभीरता को देखते हुए संबंधित साइबर सुरक्षा एजेंसियों ने इन्हें प्राथमिकता से ठीक करने की सलाह दी है। 

किन देशों में वेबसाइटें अस्थायी रूप से बंद की गईं?

सुरक्षा खामियों के खुलासे के बाद अलग-अलग देशों की संस्थाओं ने अपने सिस्टम की समीक्षा शुरू की। रॉयटर्स की रिपोर्ट में जर्मनी, फ्रांस, नीदरलैंड और फिनलैंड सहित कई देशों में वेबसाइटों या ऑनलाइन सेवाओं को अस्थायी रूप से बंद करने अथवा सुरक्षा उपाय लागू करने का उल्लेख किया गया।

कुछ मामलों में सरकारी विभागों ने संभावित जोखिम से बचने के लिए वेबसाइटों को तब तक ऑफलाइन रखा, जब तक प्रभावित सॉफ्टवेयर के अपडेट और सुरक्षा उपायों की व्यवस्था नहीं हो गई। इस तरह के कदम का उद्देश्य किसी संभावित साइबर हमले से पहले जोखिम कम करना है।

23 अक्टूबर को दक्षिण अफ्रीका के राष्ट्रपति कार्यालय की वेबसाइट को भी PHP संबंधी चेतावनी के बाद अस्थायी रूप से ऑफलाइन किया गया। कार्यालय के प्रवक्ता ने स्पष्ट किया कि वेबसाइट बंद किए जाने का अर्थ यह नहीं है कि वहां साइबर हमला सफल हो गया था। उस समय किसी सुरक्षा उल्लंघन का संकेत मिलने की बात नहीं कही गई थी।

इसलिए इन घटनाओं को समझते समय दो बातों में अंतर करना जरूरी है—पहली, किसी सॉफ्टवेयर में सुरक्षा खामी का मौजूद होना; और दूसरी, उस खामी का इस्तेमाल करके किसी सिस्टम पर सफल हमला होना। दोनों एक जैसी स्थितियां नहीं हैं। 

सुरक्षा अपडेट जारी, प्रभावित संस्करणों की जांच जरूरी

PHP की सुरक्षा टीम ने 21 अक्टूबर 2026 को इन खामियों को ठीक करने वाले अपडेट जारी किए। CERT-EU की सलाह के अनुसार, प्रभावित संस्करणों में PHP 8.5.12, 8.4.27, 8.3.36 और 8.2.35 शामिल हैं। इससे पहले के संबंधित संस्करणों को अपडेट की आवश्यकता हो सकती है।

जो संस्थान पुराने PHP संस्करण इस्तेमाल कर रहे हैं, उनके लिए स्थिति अधिक गंभीर हो सकती है, क्योंकि कुछ पुराने संस्करणों को नियमित सुरक्षा अपडेट नहीं मिलते। ऐसे मामलों में केवल एक पैच लगाने के बजाय समर्थित संस्करण पर जाने और सॉफ्टवेयर की अनुकूलता की जांच करना जरूरी हो सकता है।

वेबसाइट संचालकों को अपने होस्टिंग प्रदाता या तकनीकी टीम से यह पुष्टि करनी चाहिए कि सर्वर पर PHP का कौन-सा संस्करण चल रहा है और क्या सुरक्षा अपडेट लागू हो चुका है। केवल वेबसाइट के सामने दिखाई देने वाले पेज को देखकर यह पता नहीं लगाया जा सकता कि उसका बैकएंड सुरक्षित है या नहीं।

WordPress की आधिकारिक सुरक्षा सूचना के अनुसार, इन खामियों का संबंध केवल WordPress से नहीं, बल्कि PHP सॉफ्टवेयर से है। इसलिए WordPress चलाने वाली वेबसाइटों को भी अपने होस्टिंग वातावरण में PHP संस्करण की जांच करनी चाहिए। 

भारत में भी जारी हुई साइबर सुरक्षा चेतावनी

भारत की कंप्यूटर इमरजेंसी रिस्पॉन्स टीम CERT-In ने 23 अक्टूबर 2026 को PHP से जुड़ी रिमोट कोड एक्जीक्यूशन खामियों पर सलाह जारी की। यह चेतावनी विशेष रूप से PHP इस्तेमाल करने वाले सूक्ष्म, लघु और मध्यम उद्यमों (MSME) को ध्यान में रखकर जारी की गई।

CERT-In ने प्रभावित PHP संस्करणों के कारण संभावित जोखिम को गंभीर बताया और चेतावनी दी कि सफल हमले की स्थिति में सिस्टम पर अनधिकृत कोड चलाया जा सकता है। इससे सर्वर या उससे जुड़ी सेवाओं के प्रभावित होने की आशंका रहती है।

भारत में कई व्यवसाय अपनी वेबसाइट, ग्राहक सेवाओं और डिजिटल कारोबार के लिए थर्ड-पार्टी होस्टिंग कंपनियों तथा सॉफ्टवेयर प्रदाताओं पर निर्भर हैं। ऐसी स्थिति में यह जरूरी है कि कारोबारी केवल वेबसाइट बनाने वाली एजेंसी पर निर्भर न रहें, बल्कि यह भी सुनिश्चित करें कि सुरक्षा अपडेट किसके जिम्मे हैं और उन्हें लागू किया गया है या नहीं।

CERT-In की चेतावनी का अर्थ यह नहीं है कि भारत की सभी PHP वेबसाइटें प्रभावित या हैक हो चुकी हैं। इसका उद्देश्य संबंधित संस्थाओं को जोखिम की पहचान करने और आवश्यक सुरक्षा उपाय करने के लिए सचेत करना है। 

वेबसाइट संचालकों को क्या करना चाहिए?

इस घटना से सरकारी संस्थानों के साथ-साथ निजी वेबसाइट मालिकों के लिए भी कुछ महत्वपूर्ण सबक सामने आते हैं।

पहला कदम: PHP संस्करण की पुष्टि करें। वेबसाइट संचालक अपनी तकनीकी टीम या होस्टिंग प्रदाता से पूछें कि सर्वर पर कौन-सा PHP संस्करण चल रहा है। प्रभावित संस्करण होने पर अपडेट की योजना तुरंत बनाई जानी चाहिए।

दूसरा कदम: आधिकारिक सुरक्षा अपडेट लागू करें। अपडेट करने से पहले बैकअप और परीक्षण की उचित व्यवस्था रखें। बदलाव के बाद वेबसाइट के प्रमुख फीचर, लॉगिन, फॉर्म और डेटाबेस से जुड़ी सेवाओं की जांच भी जरूरी है।

तीसरा कदम: होस्टिंग प्रदाता से संपर्क करें। यदि वेबसाइट साझा होस्टिंग या प्रबंधित सर्वर पर चलती है, तो प्रदाता से लिखित पुष्टि लें कि सुरक्षा पैच लागू कर दिया गया है या नहीं।

चौथा कदम: लॉग और असामान्य गतिविधियों की समीक्षा करें। तकनीकी टीम को सर्वर लॉग, असामान्य अनुरोधों और संदिग्ध गतिविधियों की जांच करनी चाहिए। यदि किसी अनधिकृत गतिविधि का संकेत मिले, तो घटना के अनुसार साइबर सुरक्षा विशेषज्ञों की मदद लेनी चाहिए।

पांचवां कदम: पुराने और असमर्थित सॉफ्टवेयर की समीक्षा करें। ऐसे संस्करण जो सुरक्षा अपडेट प्राप्त नहीं करते, उन्हें बदलने या समर्थित संस्करण पर ले जाने की योजना बनानी चाहिए।

यदि किसी संस्था के लिए तत्काल पैच लागू करना संभव नहीं है, तो संबंधित साइबर सुरक्षा एजेंसियों ने प्रभावित इंटरनेट-सामना करने वाली सेवाओं को पूरी तरह सुरक्षित किए जाने तक अलग रखने या अस्थायी रूप से ऑफलाइन करने पर विचार करने की सलाह दी है। ऐसा कदम तकनीकी विशेषज्ञों के आकलन के आधार पर उठाया जाना चाहिए।

क्या आम इंटरनेट उपयोगकर्ताओं को भी चिंता करनी चाहिए?

आम उपयोगकर्ताओं को इस खबर से घबराने की आवश्यकता नहीं है, लेकिन डिजिटल सुरक्षा को लेकर सतर्क रहना जरूरी है। PHP की खामियां मुख्य रूप से सर्वर और वेबसाइट संचालकों से संबंधित हैं। किसी वेबसाइट पर जाना भर इस बात का प्रमाण नहीं है कि उपयोगकर्ता का फोन या कंप्यूटर प्रभावित हो गया है।

फिर भी उपयोगकर्ताओं को संवेदनशील काम करते समय वेबसाइट के सही पते की जांच करनी चाहिए, संदिग्ध लिंक से बचना चाहिए और अपने उपकरणों तथा ब्राउजर को अपडेट रखना चाहिए। यदि कोई वेबसाइट अस्थायी रूप से बंद दिखाई देती है, तो इसका अर्थ यह भी हो सकता है कि उसका संचालक सुरक्षा जांच कर रहा है।

यदि किसी उपयोगकर्ता को किसी सेवा से डेटा लीक या खाते की सुरक्षा से संबंधित वास्तविक सूचना मिलती है, तो उसे संबंधित संस्था के आधिकारिक माध्यम से जानकारी की पुष्टि करनी चाहिए। बिना पुष्टि के पासवर्ड, बैंकिंग विवरण या अन्य संवेदनशील जानकारी किसी अनजान व्यक्ति या वेबसाइट के साथ साझा नहीं करनी चाहिए।

AI से सुरक्षा खामियों का पता लगाने पर भी बढ़ी चर्चा

इस मामले का एक और महत्वपूर्ण पहलू यह है कि रिपोर्टों के अनुसार, सुरक्षा शोधकर्ताओं ने इन खामियों की पहचान और जांच में आर्टिफिशियल इंटेलिजेंस आधारित टूल का इस्तेमाल किया। इससे साइबर सुरक्षा के क्षेत्र में AI की बढ़ती भूमिका पर चर्चा तेज हुई है।

AI आधारित उपकरण बड़े कोडबेस में असामान्य स्थितियों को खोजने, संभावित त्रुटियों की पहचान करने और शोधकर्ताओं को जांच में मदद देने में उपयोगी हो सकते हैं। लेकिन वही तकनीकी प्रगति हमलावरों को भी कमजोरियों को तेजी से समझने में मदद दे सकती है। इस वजह से किसी गंभीर खामी के सार्वजनिक होने के बाद सुरक्षा अपडेट लागू करने में देरी करना जोखिम बढ़ा सकता है।

हालांकि, AI का इस्तेमाल होना अपने आप में किसी खामी की गंभीरता या किसी हमले की सफलता का प्रमाण नहीं है। इस मामले में सबसे महत्वपूर्ण बात यह है कि PHP की दो गंभीर कमजोरियां पहचानी गईं, उनके समाधान जारी हुए और प्रभावित सिस्टम को सुरक्षित करने के लिए तत्काल कार्रवाई की सलाह दी गई।

निष्कर्ष: समय पर अपडेट ही डिजिटल सुरक्षा की सबसे अहम कड़ी

PHP की दो गंभीर सुरक्षा खामियों ने एक बार फिर दिखाया है कि इंटरनेट पर निर्भर सेवाओं की सुरक्षा केवल मजबूत पासवर्ड या एंटीवायरस तक सीमित नहीं है। वेबसाइट के बैकएंड, सर्वर, सॉफ्टवेयर और होस्टिंग वातावरण को भी नियमित रूप से अपडेट रखना जरूरी है।

21 अक्टूबर को जारी सुरक्षा अपडेट और 23 अक्टूबर तक सामने आई अंतरराष्ट्रीय रिपोर्टों के बाद वेबसाइट संचालकों के लिए प्राथमिकता प्रभावित सिस्टम की पहचान, पैच लागू करना और असामान्य गतिविधियों की जांच करना है।

यह घटनाक्रम इंटरनेट के पूरी तरह असुरक्षित हो जाने का प्रमाण नहीं है। बल्कि यह याद दिलाता है कि समय पर सुरक्षा अपडेट, नियमित निगरानी और जिम्मेदार तकनीकी प्रबंधन से संभावित जोखिम को कम किया जा सकता है।

आधिकारिक जानकारी के लिए: PHP की सुरक्षा घोषणाएं, भारत की CERT-In सलाह और यूरोपीय संघ की CERT-EU चेतावनियां देखें।