PHP में 'PHP2Shell' खामियां: यूरोप में सरकारों ने वेबसाइटें बंद कीं

PHP प्रोग्रामिंग भाषा में दो गंभीर खामियां सामने आने के बाद यूरोप भर में सरकारी विभागों ने अपनी वेबसाइटें ऑफ़लाइन कर दी हैं। दुनिया की बड़ी संख्या में वेबसाइटें इसी भाषा पर चलती हैं, और सभी सर्वर ठीक होने से पहले ही इन खामियों का ब्योरा लीक हो गया।

PHP2Shell नाम की ये खामियां हमलावर को बिना पासवर्ड या अकाउंट के, PHP कोड वाले सर्वर पर कमांड चलाने देती हैं। दोनों को 10 में से 9.2 अंक मिले, जो “क्रिटिकल” श्रेणी है। सुरक्षा कंपनियों कैलिफ़, विज़ और क्लाउडफ़्लेयर के मुताबिक ये दस साल से ज़्यादा समय से कोड में थीं और PHP 5.4 व उसके बाद के सभी संस्करणों को प्रभावित करती हैं।

अमेरिका की नेशनल सिक्योरिटी एजेंसी (एनएसए) ने बुधवार को एक दुर्लभ सार्वजनिक चेतावनी जारी कर कहा कि जो साइटें तुरंत अपडेट नहीं हो सकतीं, उन्हें ऑफ़लाइन कर दिया जाए। भाषा की देखरेख करने वाली गैर-लाभकारी संस्था PHP फ़ाउंडेशन ने उसी दिन दो पैच जारी किए और कहा कि उपयोगकर्ताओं को “तुरंत अपडेट करने के लिए प्रोत्साहित” किया जाता है।

कौन-कौन ऑफ़लाइन हुआ

नीदरलैंड की राष्ट्रीय साइबर सुरक्षा एजेंसी ने एहतियातन अपनी ही वेबसाइट बंद कर दी। इसके बाद रॉटरडैम बंदरगाह, सरकारी पोर्टल Overheid.nl, फ़ुटबॉल संघ केएनवीबी, पांच सबसे बड़े राजनीतिक दलों की वेबसाइटें और कई अस्पताल भी ऑफ़लाइन हुए। प्रधानमंत्री रॉब येटन ने कहा कि वे स्थिति पर करीबी नज़र रखे हुए हैं।

फ़िनलैंड में सरकारी आईटी प्रदाता वाल्टोरी ने सार्वजनिक नेटवर्क सेवाएं बंद कीं। फ्रांस के गृह मंत्रालय ने स्थानीय प्रशासनिक दफ़्तरों समेत अपनी साइटें “निवारक रखरखाव” में डाल दीं। जर्मनी के डिजिटल मंत्रालय ने एहतियातन कुछ वेबसाइटें हटाईं। बेल्जियम की विदेश सेवा हमलों की खबरों के बाद ऑफ़लाइन हुई, हालांकि राष्ट्रीय साइबर सुरक्षा केंद्र ने कहा कि बेल्जियम की साइटों पर कोई हमला दर्ज नहीं हुआ। चेक गणराज्य ने भी पैच लगाने के लिए साइटें बंद कीं।

यूरोप के बाहर दक्षिण कोरिया ने निजी क्षेत्र के लिए साइबर अलर्ट का स्तर बढ़ाया और करीब 28,000 कंपनियों को दिशानिर्देश भेजे। जापान की प्रधानमंत्री साने ताकाइची ने सोशल मीडिया पर खतरे की चेतावनी दी। विकिमीडिया फ़ाउंडेशन ने पैच लगने तक कुछ सिस्टम बंद रखे और इंटरनेट आर्काइव भी थोड़ी देर के लिए ऑफ़लाइन रहा।

एआई से खोज, समय से पहले लीक

ओपनएआई के साथ काम कर रही कैलिफ़ ने पहली खामी 11 अगस्त को और विज़ ने दूसरी 24 अगस्त को रिपोर्ट की। दोनों टीमों ने खोज में एआई टूल का इस्तेमाल किया। विज़ ने कहा कि ये निष्कर्ष “PHP में अब तक मिली सबसे गंभीर खामियों में से हैं”।

समस्या इस बात में है कि PHP मेमोरी खत्म होने जैसी घातक त्रुटियों को कैसे संभालती है। विज़ के मुताबिक इससे सर्वर की मेमोरी में रखे पासवर्ड और दूसरी गोपनीय जानकारी भी उजागर हो सकती है।

खामियों का ब्योरा 21 अक्टूबर को, सुधार तैयार होने से पहले, ऑनलाइन लीक हो गया। अमेज़न के सुरक्षा प्रमुख सीजे मोज़ेस ने कहा कि कंपनी ने किसी भी सार्वजनिक खुलासे से पहले 17 अक्टूबर को इनका फ़ायदा उठाने की एक कोशिश पकड़ी थी। हमलावर को इनकी जानकारी कैसे मिली, यह पता नहीं है।

मेलबर्न विश्वविद्यालय में एआई और साइबर सुरक्षा के लेक्चरर एंड्रयू कलन ने हालात को “वाकई अभूतपूर्व” बताया। PHP फ़ाउंडेशन का कहना है कि एआई के चलते ऐसी कमज़ोरियां ढूंढना आसान होता जाएगा, और उसने बड़ी टेक कंपनियों से मिलकर जवाब देने की अपील की है।

जिन साइटों ने अपडेट लगा लिए हैं, वे सुरक्षित हैं। अब खतरा उन बहुत सारी छोटी और पुरानी साइटों पर है जिनका रखरखाव कम ही होता है।