बेंगलुरु: दो महत्वपूर्ण PHP कमजोरियां जो हैकर्स को प्रमाणीकरण के बिना सर्वर पर दूरस्थ रूप से कोड निष्पादित करने की अनुमति दे सकती हैं, ने साइबर सुरक्षा चेतावनी शुरू कर दी है, जो संभावित रूप से लाखों इंटरनेट-फेसिंग सेवाओं को उजागर कर रही है। एक अलग सलाह में, PHP ने उपयोगकर्ताओं से एक अन्य रिमोट कोड निष्पादन जोखिम को कम करने के लिए फ़ाइल-अपलोड ट्रैकिंग सुविधा को अस्थायी रूप से अक्षम करने का भी आग्रह किया, जिससे व्यापक रूप से उपयोग की जाने वाली प्रोग्रामिंग भाषा पर चिंताएं बढ़ गईं।PHP ने 23 अक्टूबर को उपयोगकर्ताओं को अगले नियमित बगफिक्स रिलीज़ तक अपने सत्र अपलोड प्रगति सुविधा को अस्थायी रूप से अक्षम करने की सलाह दी। यह चेतावनी संबंधित भेद्यता के बारे में 21 अक्टूबर को पहले दी गई सलाह के बाद दी गई है। नवीनतम समस्या अनुप्रयोगों को केवल तभी प्रभावित करती है जब चलते समय विशिष्ट सत्र सेटिंग्स बदल दी जाती हैं और अपलोड प्रगति सुविधा सक्षम रहती है। जिन उपयोगकर्ताओं ने पहले ही सुविधा को अक्षम कर दिया है, उन्हें आगे की कार्रवाई करने की आवश्यकता नहीं है।व्यापक चिंताएँ दो महत्वपूर्ण कमजोरियों पर केन्द्रित हैं जिन्हें सामूहिक रूप से PHP2Shell कहा जाता है। फोर्टिनेट में खतरे की खुफिया और प्रतिकूल कृत्रिम बुद्धिमत्ता अनुसंधान के वैश्विक निदेशक आमिर लखानी ने कहा: “इस सप्ताह सामने आई दो महत्वपूर्ण PHP कमजोरियां उन संगठनों के लिए तत्काल सुरक्षा और व्यापार निरंतरता जोखिम पैदा करती हैं जो वेबसाइटों, ग्राहक पोर्टलों और अन्य वेब अनुप्रयोगों पर निर्भर हैं।”
PHP जानकारी प्रदर्शित करने वाली सेवाओं में भारत विश्व स्तर पर नौवें स्थान पर है।
PHP एक सर्वर-साइड प्रोग्रामिंग भाषा है जिसका उपयोग वर्डप्रेस, ड्रुपल, जूमला और मैगेंटो जैसे व्यापक रूप से तैनात प्लेटफार्मों द्वारा किया जाता है। कंपनियों को व्यावसायिक अनुप्रयोगों, होस्टिंग प्रदाताओं और एम्बेडेड सॉफ़्टवेयर घटकों के माध्यम से उजागर किया जा सकता है, भले ही वे स्वयं PHP एप्लिकेशन विकसित न करें।जोखिम का संभावित पैमाना महत्वपूर्ण है। सेंसिस ने अपने 22 अक्टूबर के स्नैपशॉट में संभावित रूप से प्रभावित PHP संस्करणों की रिपोर्ट करने वाली लगभग 36.7 मिलियन इंटरनेट-फ़ेसिंग सेवाओं की पहचान की। ये सेवा गणनाएं हैं, अद्वितीय सर्वर या संगठन नहीं, और इसमें विक्रेता अपडेट के माध्यम से पहले से ही पैच किए गए इंस्टॉलेशन शामिल हो सकते हैं।क्वालिस में थ्रेट रिसर्च यूनिट के प्रमुख और उत्पाद निदेशक सईद अब्बासी ने कहा कि कंपनी को 12,000 संगठनों में 167 मिलियन PHP पैकेज इंस्टॉलेशन मिले, जिनमें से 73% को इंटरनेट-फेसिंग संपत्तियों पर तैनात किया गया, जिससे वे दूरस्थ हमलावरों की पहुंच में आ गए। “अकेले पैच लगाना असमर्थित संस्करण चलाने वाले सिस्टम के लिए पर्याप्त नहीं होगा, जहां अपग्रेड करना ही एकमात्र व्यवहार्य दीर्घकालिक समाधान है। मुख्य बात यह है कि लगभग सभी PHP इंस्टॉलेशन या तो असुरक्षित हैं या असमर्थित संस्करण चला रहे हैं, ”उन्होंने कहा।क्लाउडएसईके ने कहा कि शोडान ने दुनिया भर में PHP जानकारी प्रदर्शित करने वाली 2.2 मिलियन इंटरनेट-फेसिंग सेवाओं की पहचान की है, जिसमें भारत 53,400 सेवाओं के साथ नौवें स्थान पर है। क्लाउडएसईके के एक सुरक्षा शोधकर्ता आकाश कार्ति ने कहा कि 36,700 भारतीय सेवाओं ने अपने PHP संस्करणों का खुलासा किया है, जिनमें से लगभग 36,100 अनपैच किए गए हैं, जिनमें 19,500 चालू संस्करण भी शामिल हैं, जो जीवन के अंत तक पहुंच गए हैं।