साइबर सुरक्षा
Dream ने PHP2Shell हमले की ऐसी श्रृंखला की जानकारी दी, जिसने 25 सर्वरों को प्रभावित किया
Unite.AI को Google पर अपने पसंदीदा स्रोतों में जोड़ें
Dream ने PHP2Shell हमले की एक ऐसी श्रृंखला की जानकारी दी है, जिसके बारे में उसका कहना है कि उसने 25 सर्वरों को प्रभावित किया। इनमें अमेरिकी सरकार से संबद्ध परिवेश के सिस्टम भी शामिल हैं। उसकी 26 अक्टूबर की जाँच में बताया गया है कि उजागर फ़ायरवॉल प्रबंधन इंटरफ़ेस आंतरिक पहचान ढाँचे तक पहुँचने का रास्ता बन गया।
बताई गई कुल संख्या में परिधि पर लगे 24 फ़ायरवॉल और एक आंतरिक प्रबंधन सर्वर शामिल हैं। Dream ने प्रभावित विक्रेता और सॉफ़्टवेयर संस्करणों की जानकारी नहीं दी और कहा कि उसने विक्रेता को सूचित कर दिया है।
शोषण की श्रृंखला ने सुरक्षा की दो सीमाएँ कैसे पार कीं
इस श्रृंखला में PHP2Shell का इस्तेमाल Fragnesia नाम की Linux विशेषाधिकार-वृद्धि भेद्यता के साथ किया गया। PHP2Shell को CVE-2026-109618 और CVE-2026-109619 के रूप में दर्ज किया गया है, जबकि Fragnesia का पहचानकर्ता CVE-2026-46300 है।
ये भेद्यताएँ अलग-अलग सुरक्षा बाधाओं से जुड़ी हैं। रिमोट कोड निष्पादन हमलावर को किसी पहुँच योग्य सेवा के ज़रिए कोड चलाने का रास्ता देता है। इसके बाद स्थानीय विशेषाधिकार-वृद्धि सीमित पहुँच को ऑपरेटिंग सिस्टम पर नियंत्रण में बदल सकती है। इन दोनों को मिलाने से घटना पर कार्रवाई की चुनौती बदल जाती है: जाँचकर्ताओं को यह देखना पड़ता है कि प्रभावित उपकरण के प्रबंधन इंटरफ़ेस से आगे उसे किन संसाधनों तक पहुँच हासिल हो सकती थी।
Red Hat के अनुसार, Fragnesia Linux कर्नेल के XFRM ESP-in-TCP सबसिस्टम की एक खामी है। असुरक्षित क्रिप्टोग्राफ़िक प्रसंस्करण के कारण कम विशेषाधिकार वाला स्थानीय हमलावर केवल-पढ़ने योग्य फ़ाइलों के पेज कैश में बदलाव कर सकता है, विशेषाधिकार-युक्त बाइनरी फ़ाइलों को अधिलेखित कर सकता है और रूट विशेषाधिकार हासिल कर सकता है। इसलिए यह शुरुआती, बिना प्रमाणीकरण वाले प्रवेश-बिंदु से अलग विशेषाधिकार-वृद्धि का तरीका है।
Dream ने LDAP सेवा-खाते के क्रेडेंशियल निकालने और डायरेक्टरी की जानकारी खँगालने की पुष्टि की। वह यह तय नहीं कर सका कि पासवर्ड-स्प्रेइंग, पिछले दरवाज़े वाला खाता बनाने की कोशिश या SAML साइनिंग कुंजी निकालने के प्रयास सफल हुए थे या नहीं। इन सीमाओं का महत्व है: डायरेक्टरी की जानकारी तक पहुँच की पुष्टि से यह साबित नहीं होता कि Active Directory पर पूरी तरह कब्ज़ा कर लिया गया था।
एआई से जुड़े साक्ष्य क्या साबित करते हैं
जाँचकर्ताओं को सिस्टम पर Claude Code स्थापित मिला और एक आक्रामक प्लेटफ़ॉर्म DeepSeek और Kimi के साथ कॉन्फ़िगर किया हुआ मिला। Dream ने कहा कि उसके पास इस बात का कोई प्रत्यक्ष साक्ष्य नहीं था कि इन टूल ने शोषण या शोषण के बाद इस्तेमाल की गई स्क्रिप्टें लिखी थीं। उसने इस अभियान को पूरी तरह स्वायत्त भी नहीं बताया। चीन से संभावित संबंध के बारे में उसका सुझाव अनिश्चित है; उसने किसी ख़तरा पैदा करने वाले पक्ष का नाम नहीं लिया।
रक्षा-पक्ष के लिए यह अंतर दिखाई देने वाले टूल और लेखन, संचालक की पहचान या स्वायत्तता के बारे में निकाले गए निष्कर्षों को अलग रखता है। कोडिंग सहायक की मौजूदगी कार्यप्रणाली से जुड़ी किसी परिकल्पना का आधार हो सकती है, लेकिन इससे अपने आप यह साबित नहीं होता कि मॉडल ने कौन-से निर्णय लिए या अभियान का निर्देशन किसने किया।
PHP के सुधार और शोषण की शुरुआती अवधि
PHP परियोजना की 21 अक्टूबर की सलाह में PHP 8.5.12, 8.4.27, 8.3.36 और 8.2.35 को उन सुरक्षा रिलीज़ के रूप में बताया गया है, जो रिमोट कोड निष्पादन की दोनों गंभीर भेद्यताओं को ठीक करती हैं। इनमें से एक खामी में आउट-ऑफ़-मेमोरी स्थिति को संभालने के दौरान अनुरोध का आंतरिक डेटा आंशिक रूप से आरंभ होता है; दूसरी में, उसे सँभालने वाली मेमोरी मुक्त हो जाने के बाद भी पुरानी आंतरिक स्थिति बनी रहती है।
परियोजना ने चेतावनी दी है कि वेब अनुरोध सँभालने वाले PHP इंस्टॉलेशन जोखिम में हैं; Apache के mod_php कॉन्फ़िगरेशन के लिए जोखिम का आकलन सबसे अधिक है। उसके अनुसार, आंशिक शमन से पूरी सुरक्षा नहीं मिलती और वह उपयोगकर्ताओं को अपडेट करने का निर्देश देती है। पैकेज के रूप में उपलब्ध उपकरणों के मामले में, व्यावहारिक सुधार का तरीका केवल रनटाइम संस्करण संख्या पर नहीं, बल्कि विक्रेता द्वारा समर्थित फ़र्मवेयर और उसमें पहले से शामिल किए गए सुधारों पर निर्भर करता है।
Unite.AI ने पहले PHP के पैच और खामियों का पता लगाने में फ्रंटियर एआई की भूमिका पर रिपोर्ट प्रकाशित की थी। यह नई रिपोर्ट ध्यान को खामियों की खोज से हटाकर उजागर तैनाती के परिणामों पर केंद्रित करती है।
अलग से, Amazon Threat Intelligence ने PHP2Shell के शोषण के प्रयासों की जानकारी दी, जो सार्वजनिक खुलासे से पहले 17 अक्टूबर से उसके MadPot हनीपॉट नेटवर्क में दिखाई दिए। यह टेलीमेट्री साबित नहीं करती कि Dream द्वारा वर्णित अभियान को उसी संचालक ने चलाया था।
AWS की सलाह है कि इंटरनेट से जुड़े अहम सिस्टम की गंभीर भेद्यताओं के शमन में लगने वाले समय को घंटों में मापा जाए, खुलासे की तारीख के बजाय शोषण के सबसे शुरुआती ज्ञात समय से जाँच शुरू की जाए और ऐसे डिटेक्शन विकसित किए जाएँ जो केवल किसी CVE-विशिष्ट हस्ताक्षर पर निर्भर न हों। PHP2Shell के मामले में, वह कम-से-कम 17 अक्टूबर तक पीछे जाकर जाँच करने की सलाह देता है।
Dream की तकनीक की भूमिका
अपनी कंपनी की वेबसाइट पर Dream, Hero को एक स्वायत्त साइबर-अनुसंधान प्रणाली के रूप में प्रस्तुत करता है, जो भेद्यता की जाँच, मैलवेयर के रिवर्स इंजीनियरिंग, फोरेंसिक विश्लेषण और सत्यापित सुधारों में सहायता करती है। इसका पूरक Sphere प्लेटफ़ॉर्म सरकारी और महत्त्वपूर्ण अवसंरचना वाले परिवेशों में जोखिमों का मानचित्रण करने और रक्षा को प्राथमिकता देने पर केंद्रित है।
तकनीकी तौर पर अंतर यह है कि किसी खास कमज़ोरी की जाँच करना और यह समझना दो अलग बातें हैं कि परिचालन नेटवर्क में उसका असर कहाँ पड़ सकता है। किसी परिधि उपकरण, उसके प्रबंधन सर्वर और पहचान डायरेक्टरी के अलग-अलग स्वामी और पैच लागू करने के चक्र हो सकते हैं, फिर भी हमलावर उन्हें जोड़कर एक ही रास्ता बना सकता है। प्रभावी रोकथाम के लिए संबंधित अपडेट स्थापित करने के साथ-साथ उस रास्ते की भी जाँच करना ज़रूरी है।
