PHP2Shell कोर PHP इंजन की खामियां, साफ़ कोड का जोखिम

आपका एप्लिकेशन कोड रिव्यू पास कर सकता है, अपने इनपुट्स को एस्केप कर सकता है, और अपनी ऑथ लॉजिक को इतना साफ-सुथरा रख सकता है कि कोई ऑडिटर थोड़ी देर के लिए मानवता पर भरोसा कर ले। फिर भी उसके नीचे का रनटाइम किसी अनऑथेंटिकेटेड विज़िटर को क्रोबार थमा सकता है। यही PHP2Shell का असहज सबक है, यानी CVE-2026-109618 और CVE-2026-109619 के रूप में ट्रैक की गई PHP की जोड़ीदार खामियाँ।

मुख्य जोखिम यह नहीं है कि हर PHP ऐप अचानक सुरक्षित होना भूल गया है। जोखिम यह है कि PHP इंजन खुद ब्लास्ट पाथ में है, जिसका मतलब है कि साफ एप्लिकेशन कोड भी एक असुरक्षित एग्जीक्यूशन लेयर के ऊपर बैठा हो सकता है। पैच नोट्स आमतौर पर उपकरणों के मैनुअल जैसे लगते हैं, लेकिन जब किसी कोर इंटरप्रेटर को क्रिटिकल फिक्स मिलते हैं, तो समझिए बेसमेंट से आवाज़ें आनी शुरू हो गई हैं।

CISA और Huntress के अनुसार, फ्रेमवर्क के नीचे क्या हुआ

CISA ने कहा कि PHP2Shell PHP में अनऑथेंटिकेटेड रिमोट कोड एग्जीक्यूशन की अनुमति देता है और वेब रिक्वेस्ट सर्व करने वाली सभी PHP इंस्टॉलेशन को प्रभावित करता है। Huntress ने कहा कि एक्सपोज़्ड डिप्लॉयमेंट्स में PHP-FPM, mod_php के साथ Apache, php-cgi, FrankenPHP, और LiteSpeed शामिल हैं। डेवलपर्स के लिए महत्वपूर्ण बात क्रम है: Huntress ने एक mod_php एक्सप्लॉइट पाथ का वर्णन किया जो "किसी भी एप्लिकेशन कोड के चलने से पहले" ट्रिगर हो सकता है। यह सिक्योरिटी थिएटर का सबसे कम पसंदीदा प्लॉट ट्विस्ट है, क्योंकि आपके कंट्रोलर को बहादुर दिखने का मौका ही नहीं मिलता।

@title PHP2Shell रिक्वेस्ट पाथ
@source CISA
@source Wiz Blog

  Web request
     │
     ▼
  PHP core
     │
     ├→ Code execution
     └→ Memory disclosure

@caption जोखिम भरा कदम PHP में ही होता है, उस एप्लिकेशन कोड के नीचे जिसकी टीमें आमतौर पर समीक्षा करती हैं।

BleepingComputer ने रिपोर्ट किया कि PHP ने 21 अक्टूबर को 14:00 UTC पर इमरजेंसी सिक्योरिटी अपडेट्स की योजना बनाई थी, और दोनों खामियों को CVSS v4.0 के तहत 9.2 रेट किया गया था। Huntress ने बाद में कहा कि PHP टीम ने 21 अक्टूबर को सुबह लगभग 9:30 बजे ET पर PHP 8.5.12, 8.4.27, 8.3.36, और 8.2.35 जारी किए। CISA ने यह भी कहा कि प्रकाशन के समय उसने एक्सप्लॉइटेशन नहीं देखा था, जो उपयोगी संदर्भ है, लेकिन स्कैनर के चीखना बंद करने तक इंतज़ार करने की अनुमति नहीं।

Wiz और SANS के अनुसार, साफ ऐप कोड आपको क्यों नहीं बचाता

Wiz ने कहा कि कमजोरियाँ PHP में ही हैं, उससे ऊपर चल रहे किसी भी एप्लिकेशन से स्वतंत्र। Wiz ने यह भी कहा कि PHP 5.4 तक पीछे जाने वाले वर्ज़न कम से कम एक खामी से प्रभावित हैं, और ये बग अनऑथेंटिकेटेड अटैकर्स को कोड चलाने या प्रोसेस मेमोरी पढ़ने दे सकते हैं। उस मेमोरी में पासवर्ड, ऑथेंटिकेशन टोकन, API कीज़, और सर्टिफिकेट हो सकते हैं, जो मूल रूप से फायर ड्रिल के दौरान फाइलिंग कैबिनेट खुला छोड़ देने का रनटाइम संस्करण है।

SANS ने भी इस मुद्दे को PHP कोर वल्नरेबिलिटी बताया और कहा कि डिफ़ॉल्ट PHP इंस्टॉलेशन के वल्नरेबल होने की उम्मीद थी। उसने यह भी चेतावनी दी कि केवल PHP 8 को पैच मिलने की उम्मीद थी, क्योंकि पुराने वर्ज़न अब समर्थित नहीं हैं। यही वह जगह है जहाँ लेगेसी सॉफ्टवेयर बिज़नेस कंटिन्यूटी रणनीति कम और नेटवर्क केबल वाला भुतहा एंटीक ज़्यादा बन जाता है।

The Record और BleepingComputer के अनुसार, प्रतिक्रिया की समय-खिड़की

The Record ने रिपोर्ट किया कि ये बग अनपैच्ड वेबसाइटों पर रिमोट कोड एग्जीक्यूशन की अनुमति दे सकते हैं और प्रशासकों की प्रतिक्रिया के चलते सैकड़ों वेबसाइटें ऑफलाइन कर दी गईं। उसने PHP की सिक्योरिटी टीम को भी उद्धृत किया, जिसने यूज़र्स से तैयारी करने को कहा ताकि रिलीज़ उपलब्ध होते ही वे अपग्रेड कर सकें। यह घबराहट का जिम्मेदार संस्करण है: छोटा, निर्धारित, और बेहतर हो कि इसके बाद incident bridge के बजाय maintenance window आए।

BleepingComputer ने रिपोर्ट किया कि खामियों को CVE-2026-109618 और CVE-2026-109619 के रूप में ट्रैक किया गया, और शोधकर्ताओं का मानना था कि वे PHP वर्ज़न 5, 6, 7, और 8 को प्रभावित करती हैं। SANS ने कहा कि शुरुआती मार्गदर्शन में session.upload_progress.enabled को Off पर सेट करने को आंशिक mitigation के रूप में सुझाया गया था, लेकिन partial शब्द यहाँ सचमुच काम कर रहा है। Mitigation समय खरीदता है। Patching बिल चुकाता है।

CISA और SANS के अनुसार, टीमों के लिए असल में क्या बदलता है

CISA ने संगठनों से कहा कि वे किसी भी PHP वर्ज़न पर चल रहे सिस्टम्स की पहचान करें और उनकी इन्वेंटरी बनाएं, फिर इंटरनेट-फेसिंग सिस्टम्स की पैचिंग को प्राथमिकता दें। उसने यह भी चेतावनी दी कि PHP की "व्यापकता सीधे दिखाई नहीं दे सकती," क्योंकि इसे दूसरे सॉफ्टवेयर के कंपोनेंट के रूप में एम्बेड किया जा सकता है। अनुवाद: अगर आपकी एसेट इन्वेंटरी सिर्फ ऐप का नाम जानती है, उसके नीचे के रनटाइम को नहीं, तो बधाई हो, आपने incident response के लिए hide and seek का आविष्कार कर दिया है।

SANS ने नोट किया कि कई ओपन सोर्स फ़ायरवॉल और राउटर प्रोडक्ट्स PHP का उपयोग करते हैं और वेब एडमिन इंटरफेस को इंटरनेट पर एक्सपोज़ न करने की सलाह दी। यह सलाह ग्लैमरस नहीं है, लेकिन यह समझाना भी ग्लैमरस नहीं कि एक प्रशासनिक पैनल मुख्य दरवाज़ा कैसे बन गया। रनटाइम इन्वेंटरी में PHP-आधारित वेब एप्लिकेशन, कंटेंट मैनेजमेंट सिस्टम, वेब एडमिन इंटरफेस, और वेंडर सॉफ्टवेयर शामिल होने चाहिए, जहाँ PHP प्रोडक्ट नाम के नीचे बंडल हो सकता है।

आपके लिए इसका असल मतलब क्या है

अगर आप वेब रिक्वेस्ट सर्व करने वाला PHP चला रहे हैं, तो CISA की सिफारिश के अनुसार PHP 8.5.12, 8.4.27, 8.3.36, या 8.2.35 पर जाएँ। अगर आप PHP 8.1 या उससे पहले पर हैं, तो इसे केवल developer backlog item नहीं, बल्कि unsupported runtime problem मानें। बिल्डर्स के लिए सबक इन दो CVEs से बड़ा है: एप्लिकेशन सिक्योरिटी में इंटरप्रेटर, वेब सर्वर इंटीग्रेशन, और वे शांत प्लेटफॉर्म डिपेंडेंसीज़ शामिल होनी चाहिए जो आपका कोड खुद का परिचय दे उससे पहले ही कोड execute करती हैं।

अगली देखने वाली बात यह है कि क्या downstream products अपने अपडेट जारी करते हैं और क्या asset inventories वास्तव में PHP को वहाँ ढूँढ सकती हैं जहाँ वह दूसरे सॉफ्टवेयर के अंदर छिपा हुआ है। डरावना संगीत चलाने की ज़रूरत नहीं। बस रनटाइम पैच करें, चल रहे वर्ज़न को verify करें, अनावश्यक इंटरनेट exposure कम करें, और language engines को उन चीज़ों की सूची में जोड़ें जिन्हें आपका security program plumbing के बजाय production infrastructure मानता है।