PHP2Shell भेद्यता का परिणाम वर्षों में इंटरनेट की सबसे बड़ी समन्वित आपातकालीन प्रतिक्रियाओं में से एक में बदल गया है, सरकारों ने एहतियात के तौर पर वेबसाइटों को ऑफ़लाइन खींच लिया है और सुरक्षा फर्मों ने PHP प्रोग्रामिंग भाषा चलाने वाली वेबसाइटों के खिलाफ लाखों शोषण के प्रयासों की रिपोर्ट की है, जो दुनिया की लगभग 70 प्रतिशत साइटों का आधार है।
कुछ ही घंटों में शोषण के लाखों प्रयास For more context on this story, see our ongoing breaking AI news.
द गार्जियन के अनुसार, क्लाउडफ्लेयर के सीईओ मैथ्यू प्रिंस ने कहा कि उनकी कंपनी ने भेद्यता सार्वजनिक होने के बाद पहले 45 मिनट में शोषण के हजारों प्रयास दर्ज किए, जो दो घंटों के भीतर सैकड़ों हजारों और "अब लाखों" तक बढ़ गए हैं। क्लाउडफ्लेयर ने सार्वजनिक रूप से दोष की घोषणा होने से पहले 10 घंटों में हजारों प्रयासों को देखने की भी सूचना दी, एक विवरण जिसने इस बात को लेकर चिंता बढ़ा दी है कि प्रकटीकरण को कैसे संभाला गया।
अमेज़ॅन थ्रेट इंटेलिजेंस ने कहा कि PHP2Shell का "अब बड़े पैमाने पर शोषण किया जा रहा है" और इसने PHP डेवलपर्स द्वारा बुधवार को फिक्स जारी करने से पहले ही भेद्यता को भुनाने के तरीके खोजने के लिए कई अभिनेताओं के कई प्रयासों की पहचान की। सरे विश्वविद्यालय के सुरक्षा प्रोफेसर एलन वुडवर्ड ने अखबार को बताया कि पैच उपलब्ध होने से एक दिन पहले खामी का पता चला था, उन्होंने कहा, "किसी ने बिल्ली को बैग से बाहर निकाल दिया।"
सरकारें पैच करने के लिए साइटों को ऑफ़लाइन ले जाती हैं
प्रतिक्रिया असामान्य रूप से कठोर रही है। यूनाइटेड किंगडम में, साइबर सुरक्षा मंत्री लिज़ लॉयड ने संसद को बताया कि 32 सरकारी सेवाओं को ऑफ़लाइन कर दिया गया है, उन्होंने इस कदम को काफी हद तक एहतियाती बताया, जबकि अपडेट लागू किए गए थे। डाउनिंग स्ट्रीट ने कहा कि कोई भी सार्वजनिक-सामना वाली महत्वपूर्ण सेवाएं प्रभावित नहीं हुई हैं और कुछ सीमित सेवाएं अस्थायी रूप से अनुपलब्ध हो सकती हैं, लेकिन इस बात पर जोर दिया कि इसका मतलब यह नहीं है कि उन्हें हैक कर लिया गया है।
यूके के राष्ट्रीय साइबर सुरक्षा केंद्र ने प्रभावित संगठनों को 50,000 अलर्ट भेजे और कहा कि उसे सफल हैक की कोई रिपोर्ट नहीं मिली है। एजेंसी ने भेद्यता के पैमाने को "अभूतपूर्व" बताया और चेतावनी दी कि पैच पुराने सिस्टम चलाने वाले कुछ संगठनों के लिए काम नहीं करेगा, जिन्हें उन्हें पूरी तरह से बदलने की आवश्यकता होगी। कथित तौर पर अस्थायी रुकावटों से प्रभावित साइटों में बीबीसी की ट्रैटर्स शो वेबसाइट, इंटरनेट आर्काइव, विकिपीडिया और 4चान शामिल हैं।
संयुक्त राज्य अमेरिका में, राष्ट्रीय सुरक्षा एजेंसी ने एक सलाहकार चेतावनी जारी की कि दोष हमलावरों को वेब सर्वर पर नियंत्रण हासिल करने, संवेदनशील डेटा चुराने, सेवाओं को बाधित करने और समझौता किए गए नेटवर्क में गहराई तक जाने की अनुमति दे सकता है। एजेंसी ने कहा, "साइबर-अभिनेताओं द्वारा PHP2Shell को हथियार बनाने की संभावना है," यह कहते हुए कि जोखिम "इतने गंभीर हैं कि अमेरिकी सरकारी विभागों और एजेंसियों में तत्काल सुधार की आवश्यकता है।"
आपातकालीन प्रतिक्रिया तेजी से सीमा पार कर गई। दक्षिण कोरिया ने आपातकालीन प्रतिक्रिया उपायों को सक्रिय किया, अपने निजी क्षेत्र के साइबर सुरक्षा चेतावनी स्तर को बढ़ाया और हजारों कंपनियों को मार्गदर्शन जारी किया। चीन के उद्योग मंत्रालय ने संगठनों से अपने सिस्टम का निरीक्षण करने, PHP के नवीनतम सुरक्षित संस्करण में अपग्रेड करने और पासवर्ड और कुंजियाँ बदलने का आग्रह किया। जापान के प्रधान मंत्री ने व्यवसायों को भेद्यता को दूर करने या अपनी साइटों को बंद करने के लिए प्रोत्साहित किया।
PHP2Shell को ऐतिहासिक क्यों कहा जा रहा है
एनसीएससी के पूर्व मुख्य कार्यकारी सियारन मार्टिन ने दोष को "बहुत खराब" और "पांच वर्षों में खोजी गई सबसे गंभीर भेद्यता" बताया। इस भेद्यता को उजागर करने वाले अनुसंधान संगठनों में से एक, विज़ ने कहा है कि यह यकीनन अब तक खोजी गई सबसे गंभीर सॉफ़्टवेयर खामियों में से एक है।
भेद्यता की उत्पत्ति ही इसे AI सुरक्षा के लिए एक मील का पत्थर बनाती है। विज़ के अनुसार, अंतर्निहित PHP खामियाँ दशकों से मौजूद थीं, लेकिन यह प्रदर्शित करने के लिए कि वे वास्तव में शोषण योग्य थीं, मानव शोधकर्ता व्यावहारिक रूप से जो हासिल कर सकते थे, उसके किनारे पर चरणों की एक असाधारण जटिल श्रृंखला की आवश्यकता थी। कंपनी ने अपने ब्लॉग पोस्ट में लिखा, "फ्रंटियर एआई मॉडल ने उस बाधा को काफी हद तक कम कर दिया, जिससे लंबे समय से चली आ रही खामी को शोषण में बदल दिया गया।"
एनएसए की चेतावनी इस बात पर केंद्रित है कि हमलावर पहुंच के साथ क्या कर सकते हैं। इंटरनेट इंफ्रास्ट्रक्चर विशेषज्ञ माइकल वोज़्नियाक ने द गार्जियन को बताया कि शत्रुतापूर्ण अभिनेता उजागर साइटों के "संसाधनों को हड़प सकते हैं", क्योंकि प्रमुख वेबसाइटें मूल्यवान कंप्यूटिंग शक्ति, सर्वर और आईपी पते को नियंत्रित करती हैं। आपराधिक समूह उन हमलों को शुरू करने के लिए समझौता की गई साइटों के अंदर घोंसला बना सकते हैं जिनका उन तक पता नहीं लगाया जा सकता है, जबकि क्रिप्टो खनिक मुफ्त में ऊर्जा-गहन गणना चलाने के लिए सर्वर को हाईजैक कर सकते हैं। उन्होंने कहा, कई मामलों में, साइट मालिकों को समझौते के बारे में पता भी नहीं होगा।
अलार्म के बीच सावधानी का एक नोट
हर कोई यह नहीं मानता कि नुकसान हो चुका है। साइबर सुरक्षा कंपनी कैलिफ़ोर्निया के एक शोधकर्ता रयान ऑस्टिन, जो दोष की खोज करने में महत्वपूर्ण थे, ने द गार्जियन को बताया कि "फिलहाल ऐसा नहीं लगता कि शोषण बढ़ गया है या व्यापक हो गया है।" ब्रिटिश चैंबर्स ऑफ कॉमर्स ने कहा कि व्यवधान ने अभी तक यूके की कंपनियों के लिए कोई महत्वपूर्ण कठिनाई पैदा नहीं की है।
हालांकि, जीसीएचक्यू के पूर्व प्रमुख सर डेविड ओमांड ने चेतावनी दी कि रूस और चीन सहित राज्य के विरोधी सुरक्षा पूरी तरह से लागू होने से पहले बग का फायदा उठाने की कोशिश कर सकते हैं, यह एक अनुस्मारक है कि प्रकटीकरण और पूर्ण निवारण के बीच की खिड़की तब होती है जब इंटरनेट सबसे अधिक उजागर होता है।
साइट संचालकों को अब क्या करना चाहिए
अभी भी उजागर संगठनों के लिए, एजेंसियों का मार्गदर्शन सुसंगत है: तुरंत PHP के नवीनतम पैच किए गए संस्करण में अपग्रेड करें, सत्यापित करें कि पैच साफ-सुथरे तरीके से लगाए गए हैं, और जहां सिस्टम फिक्स को स्वीकार करने, अलग करने या बदलने के लिए बहुत पुराने हैं। एनसीएससी की चेतावनी कि कुछ विरासत प्रणालियों को बिल्कुल भी ठीक नहीं किया जा सकता है, यह सुझाव देता है कि इस भेद्यता की लंबी पूंछ वर्तमान आपातकाल के बाद भी बनी रहेगी।
यह प्रकरण एआई-सहायता प्राप्त आक्रामक अनुसंधान के बारे में एक बहस को भी सुलझाता है। एक सप्ताह पहले जो सैद्धांतिक था वह अब एक जीवंत वैश्विक घटना है: एक एआई सिस्टम ने उन बगों को हथियार बनाने का एक तरीका ढूंढ लिया है जो दशकों से अप्रयुक्त थे, और इंटरनेट पर हर सरकार अब अपना सप्ताह सफाई में बिता रही है।
---
Stay Ahead of AIGet the latest AI news, analysis, and breakthroughs — all in one place.
Read more AI news →
