सिक्युरिटी फर्म विझ रिसर्चने 21 ऑक्टोबर 2026 रोजी कोर PHP इंजिनमधील गंभीर भेद्यतेचा एक संच उघड केला आणि चेतावणी दिली की त्रुटी — एकत्रितपणे डब केलेल्या PHP2Shell — सर्व 70 टक्के क्षमतेच्या सॉफ्टवेअरवर अनधिकृत रिमोट कोड एक्झिक्यूशन आणि हार्टब्लीड-शैलीतील मेमरी प्रकटीकरण सक्षम करतात. PHP प्रकल्पाने त्याच दिवशी पॅच रिलीझ केले आणि Wiz वेबच्या प्रचंड स्थापित बेसवर त्वरित अद्यतनांची विनंती करत आहे.

PHP हा बऱ्याच इंटरनेटचा कणा आहे: ते वर्डप्रेस, जूमला, ड्रुपल आणि मीडियाविकी, विकिपीडिया चालवणारे सॉफ्टवेअर यांना सामर्थ्य देते. निर्णायकपणे, नवीन उघड केलेले बग PHP च्या कोर इंजिनमध्ये राहतात, त्याच्या वर तयार केलेल्या कोणत्याही ऍप्लिकेशनमध्ये नाहीत, म्हणजे साइट्सचा स्वतःचा ऍप्लिकेशन कोड सुरक्षित असताना देखील उघड केला जाऊ शकतो. For more context on this story, see our ongoing artificial intelligence updates.

असुरक्षा काय आहेत

Sagi Tzadik, Shir Tamari, Nir Ohfeld आणि Tomer Schwartz या संशोधकांनी Wiz च्या तांत्रिक लेखनानुसार, सर्व प्रकट दोष मेमरी-सुरक्षा समस्या आहेत ज्याचे मूळ PHP विनंती प्रक्रियेदरम्यान घातक चुका कशा हाताळते - विशेषतः मेमरीबाहेरील त्रुटी. क्रॅश झालेली विनंती दूषित अंतर्गत PHP स्थिती मागे ठेवू शकते आणि नंतरची विनंती किंवा कार्यकर्ता जो त्या जुन्या स्थितीचा पुन्हा वापर करतो तो मेमरी प्रकटीकरण किंवा मेमरी करप्शन ट्रिगर करू शकतो.

CVSS 9.2 च्या कमाल तीव्रतेसह निष्कर्ष दोन CVE अंतर्गत गटबद्ध केले गेले:

  • CVE-2026-109618 — एक अपलोड-प्रोग्रेस अनसिरियलायझर वापर-आफ्टर-फ्री, जो आक्रमणकर्ता रिमोट प्रोसेस-मेमरी प्रकटीकरण आणि प्रात्यक्षिक साखळ्यांमध्ये, संपूर्ण रिमोट कोड अंमलबजावणीसाठी फायदा घेऊ शकतो. Wiz ने WordPress, Drupal आणि Joomla वर PHP वर्कर मेमरी आणि प्री-ऑथेंटिकेशन RCE चे अप्रमाणित प्रकटीकरण प्रदर्शित केले.
  • CVE-2026-109619 — एक घातक-एरर बॅकट्रेस वापर-आफ्टर-फ्री OPcache प्रकार संभ्रमासह एकत्रित, Drupal आणि WordPress वर प्री-ऑथेंटिकेशन रिमोट कोड एक्झिक्यूशन मिळवण्यासाठी देखील प्रात्यक्षिक.

आक्रमणकर्ते वाचू शकणाऱ्या मेमरीमध्ये पासवर्ड, प्रमाणीकरण टोकन, API की आणि इतर विनंत्या किंवा सर्व्हरशी संबंधित प्रमाणपत्रे असू शकतात, विझ म्हणाले. गेल्या दशकात रिलीझ केलेली प्रत्येक PHP आवृत्ती — PHP 5.4 वर परत जाणे — कमीतकमी एका असुरक्षिततेने प्रभावित होते आणि कंपनी म्हणते की ही रँक PHP मध्ये आढळलेल्या सर्वात गंभीर त्रुटींपैकी आहे.

जिथे AI येतो

विझच्या अहवालातील सर्वात परिणामकारक दावा हा PHP बद्दल अजिबात नाही - तो फ्रंटियर एआय मॉडेलने विकासाचे शोषण करण्यासाठी काय केले आहे याबद्दल आहे.

विझ लिहितात, अंतर्निहित त्रुटी अनेक दशकांपासून अस्तित्वात होत्या, परंतु शोषण सिद्ध करण्यासाठी "मानवी संशोधक व्यावहारिकदृष्ट्या काय साध्य करू शकतात याच्या टोकावर असलेल्या पायऱ्यांची एक अपवादात्मक गुंतागुंतीची साखळी आवश्यक आहे." शोषणाला अनेक दोषांची साखळी करावी लागली आणि वारंवार चाचणी आणि डीबगिंगद्वारे प्रत्येक लक्ष्याच्या मेमरी लेआउटशी जुळवून घ्यावे लागले.

फ्रंटियर एआय मॉडेल्सने, कंपनी म्हणते, तो अडथळा बऱ्याच प्रमाणात कमी केला - "दीर्घकाळापासून चालत आलेल्या दोषाचे शोषणात रूपांतर" - आणि विझच्या टीमला आठवड्यांऐवजी तासांऐवजी अनेक अनुप्रयोगांमध्ये कार्यरत शोषण विकसित करण्यास आणि अनुकूल करण्यास सक्षम केले.

"या कामासाठी लागणारा वेळ आणि कौशल्य जसजसे कमी होत जाते, तसतसे जटिलता यापुढे अर्थपूर्ण अडथळा प्रदान करू शकत नाही, व्यवहारात असुरक्षित काय आहे हे आम्ही कसे परिभाषित करतो ते बदलत आहे," संशोधकांनी लिहिले.

एआय युगातील एक टर्निंग पॉइंट?

Wiz स्पष्टपणे PHP2Shell वेब सिक्युरिटीमधील दोन पूर्वीच्या वॉटरशेड क्षणांसोबत फ्रेम करते: 2014 मध्ये Heartbleed, ज्याने इंटरनेट सुरक्षित करणाऱ्या शेअर्ड इन्फ्रास्ट्रक्चरची नाजूकता उघड केली आणि 2021 मध्ये Log4Shell, ज्याने स्पष्ट केले की एम्बेड केलेले सॉफ्टवेअर अवलंबित्व किती व्यापक एक्सपोजर निर्माण करतात. कंपनीचे म्हणणे आहे की PHP2Shell एक समान टर्निंग पॉइंट चिन्हांकित करू शकते - यावेळी AI दीर्घकाळापर्यंत ज्ञात कमकुवतपणाच्या व्यावहारिक शोषणात कसे बदल करते हे स्पष्ट करते.

ते फ्रेमिंग PHP च्या पलीकडे महत्त्वाचे आहे. सैद्धांतिक असुरक्षा ज्या सुरक्षितपणे आवाक्याबाहेर होत्या कारण त्यांचे शोषण करणे खूप कठीण, खूप मंद किंवा खूप खास होते ते आता AI टूलिंगसह सुसज्ज असलेल्या सुसंस्कारित हल्लेखोरांच्या आवाक्यात असू शकतात - संरक्षण बजेट, पॅच कॅडेन्स आणि संपूर्ण सॉफ्टवेअर उद्योगातील प्रकटीकरण टाइमलाइनसाठी स्पष्ट परिणामांसह एक शिफ्ट.

एक समन्वित क्रॉस-इंडस्ट्री फिक्स

प्रकटीकरण समन्वित होते. विझने शोध, समन्वय आणि पॅच पडताळणीवरील त्यांच्या कार्याबद्दल PHP टीम आणि OpenAI यांचे आभार मानले, हे लक्षात घेऊन की OpenAI आणि PHP दोघांनी असुरक्षिततेच्या इतिहासाचे आणि प्रकटीकरण प्रक्रियेचे स्वतःचे तांत्रिक लेखन प्रकाशित केले.

ऑटोमॅटिक, अकामाई, AWS, क्लाउडफ्लेअर, फास्टली, गुगल, इम्परवा, मायक्रोसॉफ्ट आणि व्हर्सेल यासह क्रॉस-इंडस्ट्री ग्रुपने - जे ग्राहक लगेच पॅच करू शकत नाहीत त्यांच्यासाठी मार्गदर्शन आणि आउट-ऑफ-द-बॉक्स शमन तयार केले. क्लाउडफ्लेअरने 21 ऑक्टोबर रोजी स्वतंत्रपणे घोषणा केली की त्यांनी PHP असुरक्षांविरूद्ध WAF संरक्षणे त्यांच्या ग्राहकांसाठी तैनात केली आहेत.

साइट मालकांनी काय करावे

विझचा सल्ला बोथट आहे: ताबडतोब पॅच करा. PHP प्रकल्पाने 21 ऑक्टोबर 2026 रोजी मेमरी-सुरक्षा भेद्यतेसाठी निराकरणे जारी केली आणि प्रत्येक समर्थित PHP उपयोजन शक्य तितक्या लवकर अद्यतनित केले पाहिजे.

ज्या संस्था ताबडतोब पॅच करू शकत नाहीत त्यांनी त्यांच्या CDN, होस्टिंग किंवा WAF प्रदात्यांद्वारे प्रकाशित केलेले शमन लागू केले पाहिजेत, ज्यापैकी अनेक नियम पहिल्या दिवशी शोषण साखळ्यांना लक्ष्यित करतात. WordPress, Drupal आणि Joomla fleets च्या प्रशासकांनी याला प्राधान्य पॅच सायकल म्हणून हाताळले पाहिजे: Wiz ने तीनही प्लॅटफॉर्मवर प्री-ऑथेंटिकेशन रिमोट कोड एक्झिक्यूशनचे प्रात्यक्षिक केले आणि त्यांच्या वरील ऍप्लिकेशन्स कितीही व्यवस्थित ठेवल्या गेल्या तरीही असुरक्षित कोड पथ अस्तित्वात आहेत.

विझने स्वतःच घेतलेला सखोल धडा असू शकतो: जेव्हा AI अनेक महिन्यांचे अभियांत्रिकी तासांमध्ये संकुचित करू शकते, तेव्हा उद्योगाची "व्यावहारिकपणे शोषण करण्यायोग्य" ची कार्य व्याख्या — आणि त्यासह, जबाबदार पॅचिंग टाइमलाइनचा अर्थ — नुकताच बदलला आहे.

---

Stay Ahead of AI

Get the latest AI news, analysis, and breakthroughs — all in one place.

Read more AI news →