PHP ने अग्रणी एआई मॉडलों की मदद से मिली RCE की दो गंभीर खामियों को दूर करने के लिए पैच जारी किए

PHP परियोजना ने 21 अक्टूबर, 2026 को PHP 8.5.12, 8.4.27, 8.3.36 और 8.2.35 जारी किए। ये सुरक्षा रिलीज़ ऐसी दो गंभीर कमजोरियों को ठीक करती हैं, जिनसे बिना प्रमाणीकरण के दूरस्थ कोड निष्पादन संभव हो सकता है और जिनका पता अग्रणी एआई मॉडलों की मदद से चला। इस समन्वित खुलासे में PHP परियोजना, OpenAI, सुरक्षा अनुसंधान फर्म Calif और क्लाउड सुरक्षा कंपनी Wiz शामिल थे।

पैच वाले रिलीज़

PHP परियोजना की सुरक्षा सलाह के अनुसार, इन चार रिलीज़ में CVE-2026-109618 को ठीक किया गया है, जिसे मेमोरी समाप्त होने के कारण होने वाली करप्शन के ज़रिए दूरस्थ कोड निष्पादन के रूप में वर्णित किया गया है; साथ ही CVE-2026-109619 को भी ठीक किया गया है, जिसे पुरानी वैश्विक अवस्था के ज़रिए दूरस्थ कोड निष्पादन के रूप में वर्णित किया गया है। PHP सुरक्षा टीम की 20 अक्टूबर, 2026 की अग्रिम सूचना में दोनों कमजोरियों को CVSS v4.0 पर 9.2 रेटिंग दी गई थी और रिलीज़ का समय 21 अक्टूबर को 14:00 UTC तय किया गया था।

सलाह के अनुसार, वेब अनुरोधों को सेवा देने वाले सभी PHP इंस्टॉलेशन जोखिम में हैं। इनमें PHP-FPM, mod_php के साथ Apache, php-cgi, FrankenPHP और LiteSpeed शामिल हैं। mod_php के लिए जोखिम सबसे अधिक माना गया है, क्योंकि इसका प्रदर्शित एक्सप्लॉइट बिना प्रमाणीकरण वाले अनुरोध से, किसी भी एप्लिकेशन कोड के चलने से पहले, सक्रिय किया जा सकता है।

परियोजना का कहना है कि इनसे पूरी तरह बचाव का कोई उपाय नहीं है और अपडेट करना ही एकमात्र सुरक्षित विकल्प है, हालांकि उसने कुछ ऐसे अस्थायी सेटिंग्स भी बताई हैं जो हमले के विशिष्ट रास्तों से जोखिम घटाती हैं। Linux वितरणों और दीर्घकालिक समर्थन (LTS) देने वाले प्रदाताओं को पैच पहले ही मिल गए थे। PHP सुरक्षा टीम ने PHP 7.4, 8.0 और 8.1 के लिए न्यूनतम स्रोत-स्तरीय बैकपोर्ट भी दिए, जिन्हें अब अपडेट नहीं मिलते। टीम ने यह भी बताया कि PHP 8.2 का जीवनकाल 31 दिसंबर, 2026 को समाप्त हो जाएगा।

कमजोरियाँ और Php2shell एक्सप्लॉइट

Wiz Research के तकनीकी खुलासे में CVE-2026-109618 को अपलोड-प्रगति अनसीरियलाइज़र में मुक्त की जा चुकी मेमोरी के पुनः उपयोग और दूरस्थ प्रक्रिया-मेमोरी के खुलासे से जुड़ा बताया गया है। वहीं, CVE-2026-109619 में घातक त्रुटि के बैकट्रेस में मुक्त की जा चुकी मेमोरी का पुनः उपयोग और OPcache में प्रकार-भ्रम शामिल हैं। ये सभी मेमोरी-सुरक्षा से जुड़ी समस्याएँ हैं, जो अनुरोधों को संसाधित करते समय PHP द्वारा घातक त्रुटियों—विशेषकर मेमोरी समाप्त होने की त्रुटियों—को संभालने के तरीके से पैदा होती हैं।

Wiz ने कहा कि पिछले दशक में जारी PHP के हर संस्करण में इनमें से कम-से-कम एक कमजोरी मौजूद है; इसकी शुरुआत संस्करण 5.4 से होती है। Calif ने बताया कि उसे मिला सबसे पुराना प्रभावित रास्ता PHP 5.4.0 का है और एक्सप्लॉइट के रास्ते, जो PHP संस्करण और SAPI पर निर्भर करते हैं, डिफ़ॉल्ट कॉन्फ़िगरेशन में हमेशा इस्तेमाल किए जा सकते हैं।

Wiz ने कमजोरियों को मिलाकर php2shell नाम की एक एक्सप्लॉइट स्क्रिप्ट बनाई और WordPress, Drupal तथा Joomla की नवीनतम कंटेनर इमेज पर बिना प्रमाणीकरण के दूरस्थ कोड निष्पादन करके दिखाया। इसके अलावा, उसने ऐसा खुलासा दिखाया जो किसी खास एप्लिकेशन पर निर्भर नहीं था और PHP वर्कर की मेमोरी तक पहुँच सकता था—इस मेमोरी में पासवर्ड, प्रमाणीकरण टोकन, API कुंजियाँ और प्रमाणपत्र हो सकते हैं। Calif की रिपोर्ट में WordPress 7.1.2, Drupal 11.4.3, Joomla 6.1.4, MediaWiki 1.46.2, Roundcube 1.7.4, Magento 2.4.9, phpMyAdmin 5.2.3, Nextcloud 35.0.1, Laravel 13.11, Symfony 8.1 और WHMCS पर प्रमाणीकरण से पहले दूरस्थ कोड निष्पादन की पुष्टि की गई है। कुछ मामलों में मनमानी PHP स्क्रिप्ट पर भी इसकी पुष्टि हुई।

Wiz के अनुसार, WordPress, Joomla, Drupal और Wikipedia के MediaWiki समेत सभी वेबसाइटों में से 70% PHP पर चलते हैं। उसने इन खोजों को PHP में पाई गई सबसे गंभीर कमजोरियों में गिना।

अग्रणी एआई मॉडलों ने इन खामियों का पता कैसे लगाया

OpenAI ने कहा कि पिछले दो महीनों में उसने कमजोरियों से निपटने के लिए अनुरक्षकों, शोधकर्ताओं और सुरक्षा प्रदाताओं के एक गठबंधन का नेतृत्व किया। इस दौरान Calif ने OpenAI की Patch the Planet पहल के तहत अपने GPT-5.6 Sol मॉडल की मदद से एक गंभीर खामी की पहचान की, जबकि Wiz ने स्वतंत्र रूप से दोनों कमजोरियों का पता लगाया और उनकी रिपोर्ट दी। PHP के अनुरक्षकों ने उन्हें ठीक करने और रिलीज़ जारी करने का नेतृत्व किया।

प्रतिभागियों की समय-रेखाएँ बताती हैं कि उनकी स्वतंत्र खोजें एक-दूसरे के समय से मेल खाती थीं। PHP Foundation के रिकॉर्ड के अनुसार, Calif ने 30 जुलाई, 2026 को अपना ऑडिट शुरू किया और Calif के शोधकर्ता Ryan A ने 11 अगस्त, 2026 को बिना किसी शर्त के दूरस्थ कोड निष्पादन की रिपोर्ट दी; OpenAI ने भी उसी दिन स्वतंत्र रूप से इसी मूल कारण की रिपोर्ट की। Calif के विवरण के अनुसार, उसने 1 अगस्त, 2026 को कमजोरी खोजी, 14 अगस्त, 2026 को दूरस्थ कोड निष्पादन का प्रूफ ऑफ कॉन्सेप्ट PHP के साथ साझा किया गया, PHP ने 15 अगस्त, 2026 को इसकी पुष्टि की और 21 अगस्त, 2026 को दूसरी खामी की रिपोर्ट दी गई।

Wiz के मुताबिक, उसने 19 अगस्त, 2026 को Wiz Atlas, Gemini 4 Argon और GPT-5.6 Sol की मदद से पहली कमजोरी का पता लगाया। उसने 20 अगस्त, 2026 को Drupal और 21 अगस्त को WordPress पर बिना प्रमाणीकरण के कोड निष्पादन की पुष्टि की तथा 24 अगस्त, 2026 को PHP सुरक्षा टीम को कमजोरियों की रिपोर्ट दी। Foundation के अनुसार, OpenAI ने 18 सितंबर, 2026 को हमले के और रास्ते जोड़े। Wiz के अनुसार, PHP ने 21 सितंबर, 2026 को रिपोर्टों को स्वीकार किया और समन्वित सुधार विकसित करना शुरू किया।

इस कमजोरी का इतिहास लंबा है। Calif के विवरण के अनुसार, Stefan Esser ने 2004 में PHP की मेमोरी-सीमा से जुड़ी पहली दूरस्थ कमजोरी खोजी थी; 2020 में परियोजना को मेमोरी समाप्त होने की स्थिति बताने वाले एक बग की रिपोर्ट दी गई थी; और OSTIF तथा Quarkslab के 2024 के ऑडिट में इस समस्या को फिर से खोजा गया, लेकिन उसका शोषण साबित नहीं किया गया। PHP Foundation ने लिखा कि 2024 के ऑडिट के लिए Sovereign Tech Agency ने धन दिया था और सुधार पर काम कई महीनों तक बार-बार रुका और फिर शुरू हुआ: “हम इसके उलट दिखावा नहीं करेंगे: यह देरी व्यवस्था की नाकामी थी।”

OpenAI ने कहा कि इन खामियों की गंभीरता और PHP के व्यापक इस्तेमाल को देखते हुए, वह इसे हाल के समय की सबसे अधिक प्रभाव डालने वाली सुरक्षा समस्याओं में से एक मानता है। कंपनी ने यह भी कहा कि उसकी जानकारी के अनुसार, अत्याधुनिक एआई ने हमलावरों से पहले इन कमजोरियों का पता लगा लिया—जिससे वह अवसर बना, जिसे OpenAI “रक्षकों की खिड़की” कहता है। कंपनी ने अग्रिम मोर्चे पर तैनात सुरक्षा रक्षकों के लिए रियायती दर पर Daybreak तक पहुँच के लिए 1 अरब डॉलर देने की प्रतिबद्धता जताई और openai/php2shell-checker GitHub रिपॉज़िटरी में Codex स्किल के रूप में PHP संस्करण जाँचने वाला टूल प्रकाशित किया।

प्रकटीकरण लीक हुआ और गोपनीयता-प्रतिबंध टूटा

PHP Foundation के अनुसार, समन्वित प्रकटीकरण की गोपनीयता लक्षित रिलीज़ तिथि से केवल दो दिन पहले तक बनी रही। 20 अक्टूबर, 2026 को लगभग 15:00 UTC बजे, दोनों CVE आईडी ऑनलाइन फ़ोरम और सोशल मीडिया पर प्रसारित होने लगीं। इनके साथ रिलीज़ का गलत समय और 10.0 का गलत CVSS स्कोर भी दिया गया, हालांकि कोई तकनीकी जानकारी लीक नहीं हुई। PHP परियोजना ने उसी दिन अपनी पूर्व-घोषणा का समय बदलकर 19:30 UTC कर दिया और रिलीज़ की तारीख 22 अक्टूबर, 2026 से बदलकर 21 अक्टूबर, 2026 को 14:00 UTC कर दी। उसने कहा कि वितरक अब भी सुधार को पैकेज कर रहे थे।

Foundation के अनुसार, 20 अक्टूबर को लगभग 20:00 UTC बजे Calif ने गलती से एक वीडियो प्रकाशित कर दिया, जिसमें उसका प्रूफ ऑफ कॉन्सेप्ट कई लक्ष्यों पर काम करता दिखाया गया था। वीडियो की प्रतियां प्रसारित हुईं और 21 अक्टूबर को प्रूफ-ऑफ-कॉन्सेप्ट पर आधारित विभिन्न एक्सप्लॉइट के विकास में तेज़ी लाने में उनका योगदान रहा। Foundation के मुताबिक, 21 अक्टूबर को 07:41 UTC बजे—समन्वित रिलीज़ से छह घंटे से भी अधिक पहले—Chainguard ने एकतरफा रूप से गोपनीयता-प्रतिबंध तोड़ा और सुधार वाली बिल्ड की गई इमेजें प्रकाशित कर दीं। PHP की सुरक्षा टीम ने लीक के बाद सामने आए प्रूफ ऑफ कॉन्सेप्ट पर नज़र रखी, लेकिन रिलीज़ और सार्वजनिक प्रकटीकरण के समय तक उसे कोई काम करने वाला एक्सप्लॉइट नहीं मिला।

सरकारी समन्वय और प्रस्तावित रूपरेखा

OpenAI ने कहा कि उसने सुरक्षा संबंधी मार्गदर्शन को अहम संगठनों तक पहुँचाने में मदद के लिए साझेदारों के साथ मिलकर अमेरिकी सरकार के कई हिस्सों से संपर्क किया। इनमें व्हाइट हाउस की सुपर इंटेलिजेंस फ़ोर्स, राष्ट्रीय साइबर निदेशक का कार्यालय और साइबर सुरक्षा एवं अवसंरचना सुरक्षा एजेंसी शामिल थे। उसने अंतरराष्ट्रीय साझेदारों के साथ भी काम किया। Wiz ने कहा कि सार्वजनिक प्रकटीकरण से पहले उसने Google Cloud, Cloudflare, AWS, Microsoft, Automattic, Fastly, Akamai, Imperva, Vercel और अन्य कंपनियों के साथ मिलकर उन संगठनों के लिए ग्राहकों को दिए जाने वाले मार्गदर्शन, पहचान-प्रणालियाँ और तुरंत लागू किए जा सकने वाले सुरक्षा उपाय तैयार किए, जो तत्काल अपडेट नहीं कर सकते।

OpenAI ने व्यापक रूप से इस्तेमाल किए जाने वाले सॉफ़्टवेयर की गंभीर कमजोरियों से निपटने के लिए पाँच चरणों वाली एक प्रस्तावित रूपरेखा भी प्रकाशित की: मूल परियोजना में मौजूद भेद्यता की पुष्टि करना और उसे ठीक करना; प्रभावित संगठनों को कार्रवाई के लिए समय देना; सरकारी साझेदारों के साथ समन्वय करना; प्रभावित उत्पादों के लिए अपडेट तैयार करना; और पैच उपलब्ध होने पर मार्गदर्शन प्रकाशित करना। कंपनी ने सुरक्षा समुदाय से इस तरीके पर प्रतिक्रिया मांगी।

PHP Foundation ने मई 2026 में Ecosystem Security Team बनाई और जुलाई 2026 में Alexandre Daubois तथा सितंबर 2026 में Daniel Scherzer को नियुक्त किया। Foundation ने कहा कि टीम ने 1 जुलाई, 2026 से अब तक 15 CVE प्रकाशित किए हैं और इस दौरान 100 से अधिक ऐसी रिपोर्टों की जाँच की है, जो अमान्य, दोहराई गईं या पुनरुत्पादित न की जा सकने वाली साबित हुईं। Foundation ने उन कंपनियों, होस्टिंग प्रदाताओं, क्लाउड प्लेटफ़ॉर्मों, सॉफ़्टवेयर वितरणों और सरकारों से प्रायोजन की अपील की, जिनकी सेवाएँ PHP पर चलती हैं।