क्रिप्टो आउटलेट कॉइन ब्यूरो ने चेतावनी दी है कि इंटरनेट लॉकडाउन में जा रहा है। वेब के एक बड़े हिस्से के पीछे प्रोग्रामिंग भाषा PHP में दो महत्वपूर्ण खामियाँ, लाखों वेबसाइटों को साइबर हमले के संभावित खतरे में डालती हैं। आउटलेट ने कहा कि सरकारें, बैंक और प्रमुख प्लेटफॉर्म पहले ही साइटों को ऑफ़लाइन ले चुके हैं और कई लोग इस एपिसोड को 'ब्लैक अक्टूबर' कह रहे हैं।
लाखों वेबसाइटें उजागर
कॉइन ब्यूरो ने कहा कि PHP2Shell नामक खामियां, हैकरों को बिना पासवर्ड के सर्वर में सेंध लगाने देती हैं और प्रत्येक को गंभीरता के लिए 10 में से 9.2 रेटिंग दी गई है। इसमें कहा गया है कि PHP लगभग दस में से सात वेबसाइटें चलाती है। सुरक्षा कंपनियां इसकी पुष्टि करती हैं। W3Tech का डेटा लगभग 69-70 प्रतिशत वेबसाइटों पर PHP डालता है जिनकी सर्वर-साइड भाषा ज्ञात है।
बग को CVE-2026-109618 और CVE-2026-109619 के रूप में ट्रैक किया गया है, और विज़, ओपनएआई और कैलिफ़ोर्निया के शोधकर्ताओं द्वारा इसका खुलासा किया गया था। सुरक्षा फर्म इम्पेर्वा के अनुसार, वे इसमें शामिल हैं कि PHP मेमोरी थकावट को कैसे संभालता है, और सफल शोषण से प्रमाणीकरण के बिना पूर्ण रिमोट कोड निष्पादन हो सकता है। ऐसा माना जाता है कि वे PHP 5.4 पर वापस जाने वाले संस्करणों को प्रभावित करते हैं।
सरकारें, बैंक और प्लेटफ़ॉर्म ऑफ़लाइन हो जाते हैं
कई देशों में साइबर सुरक्षा एजेंसियों ने PHP साइट मालिकों से तुरंत पैच करने या साइटों को ऑफ़लाइन लेने का आग्रह किया है। बिगगो फाइनेंस के अनुसार, सीईआरटी-ईयू ने उन संगठनों को सलाह दी जो प्रभावित साइटों को हटाने के लिए सुधार स्थापित नहीं कर सके। ऑफ़लाइन ली गई साइटों में डच और फ़िनिश सरकारी साइटें भी शामिल थीं। जापान के बैंक भी ऑफलाइन हो गए. बताया गया कि निंटेंडो और इंटरनेट आर्काइव ने भी सेवाएं बंद कर दी हैं।
हाथापाई की समयरेखा
कॉइन ब्यूरो ने कहा कि विवरण 20 अक्टूबर को प्रसारित होना शुरू हुआ और आपातकालीन सुधार अगले दिन आ गए, लेकिन हमलावर पहले से ही आगे बढ़ रहे थे। सीएनबीसी ने बताया कि पैच गुरुवार को भेजे जाने थे, लेकिन बग लीक होने के बाद तेजी से ट्रैक किया गया और कैलिफ़ोर्निया ने गलती से एक प्रूफ-ऑफ-कॉन्सेप्ट वीडियो पोस्ट कर दिया। PHP फ़ाउंडेशन ने बुधवार, 21 अक्टूबर को फ़िक्सेस जारी किए।
लाखों हमले के प्रयास
कॉइन ब्यूरो ने क्लाउडफ्लेयर के मुख्य कार्यकारी मैथ्यू प्रिंस के हवाले से कहा कि हैकिंग के प्रयास कुछ ही घंटों में हजारों से लाखों तक पहुंच गए। प्रिंस ने एक्स पर कहा है कि क्लाउडफ्लेयर ने घोषणा से पहले 10 घंटों में हजारों प्रयास देखे, उसके बाद 45 मिनट में हजारों और उसके तुरंत बाद लाखों प्रयास किए।
कॉइन ब्यूरो ने यह भी नोट किया कि क्लाउडफ्लेयर का कहना है कि हैकर्स इसकी सुरक्षा से बचने के लिए अपने हमलों में बदलाव कर रहे हैं। क्लाउडफ्लेयर ने कहा है कि अकेले अनुरोध-आधारित नियम पैचिंग का विकल्प नहीं हैं।
अभी तक उल्लंघन की कोई पुष्टि नहीं हुई है, लेकिन कुछ हमले अदृश्य हो सकते हैं
कॉइन ब्यूरो ने चेतावनी दी कि क्राउडस्ट्राइक का कहना है कि ऐसे हमले लगभग कोई निशान नहीं छोड़ते हैं, इसलिए कुछ साइटों को पता नहीं चल सकता है कि वे प्रभावित हुए हैं या नहीं। हालाँकि, अधिकारियों ने अब तक किसी सफल घुसपैठ की पुष्टि नहीं की है। द नेक्स्ट वेब के अनुसार, जर्मन, डच और जापानी अधिकारियों ने कहा कि उनके द्वारा देखे गए किसी भी प्रयास ने काम नहीं किया। जर्मनी की साइबर एजेंसी, बीएसआई ने कहा कि उसने हमले देखे हैं लेकिन खामियों का कोई सफल उपयोग नहीं हुआ है। क्रिप्टोपोलिटन ने बताया कि PHP फाउंडेशन का कहना है कि उसे किसी सफल कोड निष्पादन की जानकारी नहीं है।
हालाँकि, सुरक्षा फर्म वॉचटावर ने कहा कि उसने जंगल में शोषण देखा है, जिसका मतलब है कि केवल स्कैनिंग से परे हमले दर्ज किए गए हैं।
पुराने संस्करण सबसे बड़ी चिंता का विषय हैं
कॉइन ब्यूरो ने कहा कि लगभग 2.6 मिलियन इंटरनेट-फेसिंग सर्वर PHP चलाते हैं, प्रत्येक संभावित रूप से सैकड़ों साइटों की मेजबानी करता है, और 1.1 मिलियन से अधिक पुराने संस्करणों का उपयोग करते हैं जो अब आधिकारिक अपडेट प्राप्त नहीं करते हैं। अन्य अनुमान भिन्न हैं. CybelAngel ने लगभग 2.24 मिलियन इंटरनेट-फ़ेसिंग PHP होस्ट की गिनती की, जिनमें से 59 प्रतिशत ने शाखाओं पर संस्करण की रिपोर्ट करने वालों को कोई आधिकारिक समाधान नहीं मिला। पालो ऑल्टो नेटवर्क्स ने संभावित रूप से उजागर उदाहरणों की संख्या 22.6 मिलियन से अधिक बताई है।
कॉइन ब्यूरो ने इस बात पर भी जोर दिया कि पैचिंग उस पिछले दरवाजे को नहीं हटाती है जिसे हमलावर ने पहले ही लगा दिया हो। इसमें कहा गया है कि पुराने इंस्टॉलेशन को समर्थित संस्करण में अपग्रेड करने या उनके सॉफ़्टवेयर प्रदाता से सुधार की आवश्यकता हो सकती है।
Tags: