सुरक्षा फर्म विज़ रिसर्च ने 21 अक्टूबर, 2026 को कोर PHP इंजन में महत्वपूर्ण कमजोरियों के एक सेट का खुलासा किया, चेतावनी दी कि खामियां - जिन्हें सामूहिक रूप से PHP2Shell कहा जाता है - सॉफ़्टवेयर पर अप्रमाणित रिमोट कोड निष्पादन और हार्टब्लीड-शैली मेमोरी प्रकटीकरण को सक्षम करती हैं जो अनुमानित 70 प्रतिशत सभी वेबसाइटों को शक्ति प्रदान करती हैं। PHP प्रोजेक्ट ने उसी दिन पैच जारी किए, और विज़ वेब के विशाल स्थापित आधार पर तत्काल अपडेट का आग्रह कर रहा है।

PHP अधिकांश इंटरनेट की रीढ़ है: यह WordPress, Joomla, Drupal और MediaWiki, विकिपीडिया चलाने वाले सॉफ़्टवेयर को शक्ति प्रदान करता है। महत्वपूर्ण रूप से, नए प्रकट किए गए बग PHP के कोर इंजन में रहते हैं, न कि इसके शीर्ष पर बने किसी भी एप्लिकेशन में, जिसका अर्थ है कि साइटें तब भी उजागर हो सकती हैं जब उनका अपना एप्लिकेशन कोड सुरक्षित हो। For more context on this story, see our ongoing AI trends.

कमजोरियाँ क्या हैं

शोधकर्ता सागी तज़ादिक, शिर तमारी, नीर ओहफेल्ड और तोमर श्वार्ट्ज द्वारा लिखित विज़ के तकनीकी लेख के अनुसार, प्रकट किए गए सभी बग मेमोरी-सुरक्षा के मुद्दे हैं, जो इस बात पर आधारित हैं कि PHP अनुरोध प्रसंस्करण के दौरान घातक त्रुटियों को कैसे संभालता है - विशेष रूप से आउट-ऑफ-मेमोरी त्रुटियां। एक क्रैश हुआ अनुरोध दूषित आंतरिक PHP स्थिति को पीछे छोड़ सकता है, और बाद में अनुरोध या कार्यकर्ता जो उस पुरानी स्थिति का पुन: उपयोग करता है वह मेमोरी प्रकटीकरण या मेमोरी भ्रष्टाचार को ट्रिगर कर सकता है।

निष्कर्षों को सीवीएसएस 9.2 की अधिकतम गंभीरता के साथ दो सीवीई के अंतर्गत समूहीकृत किया गया था:

  • सीवीई-2026-109618 - एक अपलोड-प्रोग्रेस अनसीरियलाइज़र उपयोग-मुक्त जिसका उपयोग एक हमलावर दूरस्थ प्रक्रिया-मेमोरी प्रकटीकरण और, प्रदर्शित श्रृंखलाओं में, पूर्ण रिमोट कोड निष्पादन के लिए कर सकता है। विज़ ने वर्डप्रेस, ड्रुपल और जूमला पर PHP वर्कर मेमोरी और प्री-ऑथेंटिकेशन आरसीई के अप्रामाणिक प्रकटीकरण का प्रदर्शन किया।
  • CVE-2026-109619 - OPcache प्रकार के भ्रम के साथ संयुक्त एक घातक-त्रुटि बैकट्रेस उपयोग-मुक्त, Drupal और WordPress पर पूर्व-प्रमाणीकरण रिमोट कोड निष्पादन प्रदान करने के लिए भी प्रदर्शित किया गया।

विज़ ने कहा कि हमलावर जिस मेमोरी को पढ़ सकते हैं उसमें पासवर्ड, प्रमाणीकरण टोकन, एपीआई कुंजी और अन्य अनुरोधों या सर्वर से संबंधित प्रमाणपत्र शामिल हो सकते हैं। पिछले दशक में जारी प्रत्येक PHP संस्करण - PHP 5.4 पर वापस जा रहा है - कम से कम एक कमजोरियों से प्रभावित है, और कंपनी का कहना है कि ये PHP में अब तक पाई गई सबसे गंभीर खामियों में से एक हैं।

जहां एआई आता है

विज़ की रिपोर्ट में सबसे परिणामी दावा बिल्कुल भी PHP के बारे में नहीं है - यह इस बारे में है कि सीमांत AI मॉडल ने विकास का फायदा उठाने के लिए क्या किया है।

विज़ लिखते हैं, अंतर्निहित खामियाँ दशकों से मौजूद थीं, लेकिन शोषण को साबित करने के लिए "कदमों की एक असाधारण जटिल श्रृंखला की आवश्यकता थी, जो कि मानव शोधकर्ता व्यावहारिक रूप से हासिल कर सकते थे।" शोषण को कई खामियों को श्रृंखलाबद्ध करना था और बार-बार परीक्षण और डिबगिंग के माध्यम से प्रत्येक लक्ष्य की मेमोरी लेआउट को अनुकूलित करना था।

कंपनी का कहना है कि फ्रंटियर एआई मॉडल ने उस बाधा को काफी हद तक कम कर दिया है - "लंबे समय से चली आ रही खामी को शोषण में बदलना" - और विज़ की टीम को हफ्तों के बजाय घंटों में कई अनुप्रयोगों में कामकाजी कारनामों को विकसित करने और अनुकूलित करने में सक्षम बनाया।

शोधकर्ताओं ने लिखा, "जैसे-जैसे इस काम के लिए आवश्यक समय और विशेषज्ञता घटती है, जटिलता अब एक सार्थक बाधा प्रदान नहीं कर सकती है, जिससे हम यह परिभाषित कर सकते हैं कि व्यवहार में क्या कमजोर है।"

एआई युग में एक महत्वपूर्ण मोड़?

विज़ ने स्पष्ट रूप से PHP2Shell को वेब सुरक्षा में पहले के दो महत्वपूर्ण क्षणों के साथ फ्रेम किया है: 2014 में हार्टब्लीड, जिसने इंटरनेट को सुरक्षित करने वाले साझा बुनियादी ढांचे की नाजुकता को उजागर किया, और 2021 में Log4Shell, जिसने खुलासा किया कि कितनी गहराई से एम्बेडेड सॉफ़्टवेयर निर्भरताएं व्यापक प्रदर्शन पैदा करती हैं। कंपनी का तर्क है कि PHP2Shell एक समान मोड़ को चिह्नित कर सकता है - इस बार यह दर्शाता है कि एआई लंबे समय से ज्ञात कमजोरियों की व्यावहारिक शोषणशीलता को कैसे बदलता है।

वह फ़्रेमिंग PHP से परे मायने रखती है। सैद्धांतिक कमजोरियाँ जो सुरक्षित रूप से पहुंच से बाहर थीं क्योंकि उनका शोषण करना बहुत कठिन, बहुत धीमा या बहुत विशिष्ट था, अब एआई टूलींग से लैस अच्छी तरह से संसाधन वाले हमलावरों की पहुंच के भीतर हो सकता है - रक्षा बजट, पैच ताल और सॉफ्टवेयर उद्योग में प्रकटीकरण समयसीमा के लिए स्पष्ट निहितार्थ के साथ एक बदलाव।

एक समन्वित क्रॉस-इंडस्ट्री फिक्स

खुलासा समन्वित किया गया था. विज़ ने खोज, समन्वय और पैच सत्यापन पर उनके काम के लिए PHP टीम और OpenAI को धन्यवाद दिया, यह देखते हुए कि OpenAI और PHP दोनों ने भेद्यता के इतिहास और प्रकटीकरण प्रक्रिया के अपने स्वयं के तकनीकी लेख प्रकाशित किए।

एक क्रॉस-इंडस्ट्री समूह - जिसमें ऑटोमैटिक, अकामाई, एडब्ल्यूएस, क्लाउडफ्लेयर, फास्टली, गूगल, इम्पेर्वा, माइक्रोसॉफ्ट और वर्सेल शामिल हैं - ने उन ग्राहकों के लिए मार्गदर्शन और आउट-ऑफ-द-बॉक्स शमन तैयार किया जो तुरंत पैच नहीं कर सकते। क्लाउडफ्लेयर ने 21 अक्टूबर को अलग से घोषणा की कि उसने अपने ग्राहकों के लिए PHP कमजोरियों के खिलाफ WAF सुरक्षा तैनात की है।

साइट स्वामियों को क्या करना चाहिए

विज़ की सलाह स्पष्ट है: तुरंत पैच करें। PHP प्रोजेक्ट ने 21 अक्टूबर, 2026 को मेमोरी-सुरक्षा कमजोरियों के लिए फ़िक्सेस जारी किए, और प्रत्येक समर्थित PHP परिनियोजन को जल्द से जल्द अपडेट किया जाना चाहिए।

जो संगठन तुरंत पैच नहीं कर सकते, उन्हें अपने सीडीएन, होस्टिंग या डब्ल्यूएएफ प्रदाताओं द्वारा प्रकाशित शमन को लागू करना चाहिए, जिनमें से कई ने पहले ही दिन शोषण श्रृंखलाओं को लक्षित करने वाले नियम भेज दिए हैं। वर्डप्रेस, ड्रुपल और जूमला बेड़े के प्रशासकों को इसे प्राथमिकता पैच चक्र के रूप में मानना ​​चाहिए: विज़ ने सभी तीन प्लेटफार्मों के खिलाफ पूर्व-प्रमाणीकरण रिमोट कोड निष्पादन का प्रदर्शन किया, और कमजोर कोड पथ मौजूद हैं, भले ही उनके ऊपर के एप्लिकेशन कितने अच्छी तरह से बनाए रखे गए हों।

गहरा सबक वह हो सकता है जो विज़ ने स्वयं खींचा था: जब एआई महीनों की शोषण इंजीनियरिंग को घंटों में संपीड़ित कर सकता है, तो उद्योग की "व्यावहारिक रूप से शोषण योग्य" की कामकाजी परिभाषा - और इसके साथ, जिम्मेदार पैचिंग समयसीमा का अर्थ - बस बदल गया है।

---

Stay Ahead of AI

Get the latest AI news, analysis, and breakthroughs — all in one place.

Read more AI news →