यूरोप में बुधवार को कई सरकारी वेबसाइटें अस्थायी रूप से बंद कर दी गईं। इसकी वजह वेबसाइट बनाने में इस्तेमाल होने वाली प्रोग्रामिंग भाषा PHP में सामने आईं दो गंभीर सुरक्षा खामियां थीं। यूरोपीय संघ की साइबर सुरक्षा एजेंसियों ने संगठनों को जल्द से जल्द सुरक्षा अपडेट लागू करने की सलाह दी। जो संगठन तत्काल अपडेट नहीं कर सकते, उन्हें प्रभावित वेबसाइटें ऑफलाइन करने को कहा गया।
PHP एक प्रोग्रामिंग भाषा है, जिसका इस्तेमाल वेबसाइटों को चलाने के लिए किया जाता है। यह वेबसाइट के पीछे काम करती है। जब कोई उपयोगकर्ता वेबसाइट खोलता है, तो PHP चलाने वाला सर्वर पेज की सामग्री तैयार करके ब्राउजर तक भेजता है। यह मुफ्त और ओपन-सोर्स सॉफ्टवेयर है, जिसका रखरखाव स्वयंसेवक करते हैं। आमतौर पर वेबसाइट संचालकों का इससे सीधे संपर्क नहीं होता।
वेब प्रौद्योगिकी पर नजर रखने वाली कंपनी W3Techs के अनुसार, जिन वेबसाइटों की प्रोग्रामिंग भाषा की पहचान की जा सकती है, उनमें से लगभग 70 प्रतिशत PHP का इस्तेमाल करती हैं। वर्डप्रेस भी इसी पर आधारित है। वर्डप्रेस का उपयोग ब्लॉग, छोटे कारोबार की वेबसाइटों, सरकारी पोर्टल, ऑनलाइन दुकानों और समाचार वेबसाइटों सहित इंटरनेट पर मौजूद करीब 40 प्रतिशत वेबसाइटों में किया जाता है।
इसलिए PHP में सामने आई गंभीर सुरक्षा खामियों का असर बड़ी संख्या में वेबसाइटों पर पड़ सकता है।
रिपोर्ट के अनुसार, PHP में मिली दोनों सुरक्षा खामियों को CVSS v4.0 गंभीरता पैमाने पर 10 में से 9.2 अंक दिए गए। यह साइबर सुरक्षा में खामियों की गंभीरता मापने की एक मानक प्रणाली है।
यूरोपीय संघ की साइबर सुरक्षा प्रतिक्रिया टीम CERT-EU ने बताया कि इन खामियों के कारण बिना लॉगिन या पासवर्ड के इंटरनेट के जरिए किसी कमजोर सर्वर पर दूर से कोड चलाया जा सकता है। इसका अर्थ है कि हमलावर प्रभावित सर्वर पर अपनी इच्छानुसार निर्देश चला सकते हैं और वेबसाइट या उसके सिस्टम पर नियंत्रण हासिल करने की कोशिश कर सकते हैं।
वेब होस्टिंग कंपनी GoDaddy के अनुसार, ऐसी खामी का फायदा उठाए जाने पर डेटा चोरी हो सकता है, वेबसाइट के पेजों में अनधिकृत बदलाव किए जा सकते हैं या पूरा सिस्टम प्रभावित हो सकता है। क्लाउडफ्लेयर के मुख्य प्रौद्योगिकी अधिकारी ने भी शुरुआती साइबर हमलों के संकेत मिलने की बात कही।
छोटी वेबसाइटों के लिए जोखिम अधिक हो सकता है, क्योंकि उनके संचालकों के पास अक्सर अलग से साइबर सुरक्षा कर्मचारी नहीं होते। कई वेबसाइटें साझा होस्टिंग सेवाओं पर चलती हैं, जहां वेबसाइट संचालक खुद सर्वर का प्रबंधन नहीं करते। ऐसे में उन्हें यह भी पता नहीं हो सकता कि PHP का अपडेट कौन और कब लागू करेगा।
वर्डप्रेस वेबसाइटों के लिए सुरक्षा प्लगइन बनाने वाली कंपनी Wordfence ने चेतावनी दी कि सामान्य स्वचालित अपडेट से यह सुरक्षा सुधार लागू नहीं होगा। CERT-EU ने सलाह दी कि जब तक प्रभावित वेबसाइटों पर सुरक्षा पैच लागू नहीं हो जाता, तब तक उन्हें ऑफलाइन रखना चाहिए।
इन खामियों का पता कृत्रिम बुद्धिमत्ता (एआई) की मदद से लगाया गया। साइबर सुरक्षा कंपनी कैलिफ के शोधकर्ताओं ने ओपनएआई के साथ काम करते हुए 11 अगस्त को PHP डेवलपर्स को पहली खामी की जानकारी दी थी। कंपनी के अनुसार, इसका पता ओपनएआई के GPT-5.6 Sol मॉडल की मदद से लगाया गया।
गूगल के स्वामित्व वाली साइबर सुरक्षा कंपनी विज ने स्वतंत्र रूप से इन खामियों की पहचान की। कंपनी ने 24 अगस्त को दूसरी खामी की जानकारी दी। विज ने भी अपने शोध में एआई मॉडल का इस्तेमाल किया था।
विज के अनुसार, ये खामियां PHP में दशकों से मौजूद थीं। कंपनी ने कहा कि इनका फायदा उठाया जा सकता है, यह साबित करने के लिए कई जटिल तकनीकी चरणों की जरूरत थी, जिन्हें पारंपरिक तरीकों से पूरा करना मानव शोधकर्ताओं के लिए बेहद मुश्किल हो सकता था। कंपनी ने इन खामियों को PHP में खोजी गई सबसे गंभीर खामियों में से एक बताया।
अमेरिकी राष्ट्रपति डोनाल्ड ट्रंप के प्रशासन ने कहा कि वह सुरक्षा समाधान जारी करने में तेजी लाने के लिए संघीय एजेंसियों और प्रमुख सुरक्षा एवं एआई प्रयोगशालाओं के साथ समन्वय कर रहा है। प्रशासन ने इस खोज को अमेरिकी ‘सुपर इंटेलिजेंस’ की राष्ट्रीय सुरक्षा क्षमताओं को मजबूत करने के उदाहरण के रूप में भी पेश किया।
