पीएचपी में दो गंभीर खामियां, जो अनुमानित 70% वेबसाइटों को चलाने वाली प्रोग्रामिंग भाषा है, इस सप्ताह वैश्विक पैचिंग होड़ शुरू कर दीं, जब शोधकर्ताओं ने दिखाया कि ये बग हमलावरों को बिना पासवर्ड के सर्वर पर नियंत्रण दे सकते हैं।
ये खामियां ओपनएआई मॉडल का उपयोग करके मिलीं, सुरक्षा कंपनियों विज़ और कैलिफ के साथ मिलकर। समूह ने बग सेट को पीएचपी2शेल नाम दिया। इनमें से एक खामी 14 साल से भाषा में मौजूद थी।
खामी क्या अनुमति देती है
हमलावर प्रभावित वेब सर्वरों पर बिना प्रमाणीकरण के नियंत्रण ले सकते थे और उस मेमोरी को पढ़ सकते थे जिसमें पासवर्ड और सत्र डेटा हो सकता है। चूंकि पीएचपी वर्डप्रेस, ड्रुपल और कई कस्टम साइटों के नीचे होती है, इसका जोखिम अस्पतालों, रिटेलरों और सरकारी पोर्टलों तक पहुंचता है, केवल तकनीकी कंपनियों तक नहीं।
विज़ ने इसकी गंभीरता की तुलना हार्टब्लीड से की, 2014 का एन्क्रिप्शन बग जिसने वेब के बड़े हिस्से में डेटा उजागर किया था। शोधकर्ताओं ने कहा कि यह खामी इतनी कठिन है कि यह मानव विश्लेषकों की क्षमता की सीमा पर है, और एक एआई एजेंट के लिए आसान है जो अपने आप हमले के चरण चला सकता है।
किसने संगठनों को कार्रवाई का निर्देश दिया
अमेरिकी राष्ट्रीय सुरक्षा एजेंसी और यूरोपीय संघ की साइबर सुरक्षा एजेंसी ने तत्काल पैचिंग की सलाह दी। दोनों ने कहा कि जिन प्रणालियों को जल्दी अपडेट नहीं किया जा सकता उन्हें ऑफलाइन कर दिया जाना चाहिए। कुछ यूरोपीय सरकारी साइटों ने ठीक यही किया, और उनकी सार्वजनिक सेवाओं के कुछ हिस्से एक दिन के लिए बंद रहे।
क्लाउडफ्लेयर के मुख्य प्रौद्योगिकी अधिकारी डेन नेक्ट ने कहा कि कंपनी ने पैच सार्वजनिक होने से पहले ही शुरुआती हमले के प्रयास देखे। ओपनएआई ने एक टूल जारी किया जिसे प्रशासक यह जांचने के लिए चला सकते हैं कि कोई इंस्टॉलेशन उजागर है या नहीं।
खुलासा जल्दी क्यों हुआ
इस सप्ताह विवरण ऑनलाइन लीक हो गए, जिससे पीएचपी के अनुरक्षकों को सलाह और अपडेट योजना से पहले प्रकाशित करने पर मजबूर होना पड़ा। इससे चेतावनी और शोषण के बीच का अंतराल छोटा हो गया, जिस अंतराल पर रक्षक सबसे अधिक निर्भर करते हैं।
यह घटना दोनों तरफ काटती है। एआई ने एक बग खोजा जो सालों की मानवीय समीक्षा से छूट गया था, और वही क्षमता हमलावरों को तेजी से एक्सप्लॉइट लिखने में मदद कर सकती है। सुरक्षा टीमों के सामने अब एक सरल परीक्षा है: पैच करें, या डिस्कनेक्ट करें।