PHP मा सुरक्षा कमजोरीले इन्टरनेटका लागि के अर्थ राख्छ?

‘PHP’ प्रोग्रामिङ भाषामा रहेको गम्भीर सुरक्षा कमजोरीले सूचना प्रविधि क्षेत्र र वेबसाइट सञ्चालकहरूमा चिन्ताको सृजना गरेको छ। जर्मन संघीय सूचना सुरक्षा कार्यालय र अन्तर्राष्ट्रिय विशेषज्ञहरूले नजिकैको खतराको चेतावनी दिएका छन्। तल यस सम्बन्धी प्रमुख प्रश्नहरू र तिनीहरूका उत्तरहरू प्रस्तुत गरिएका छन्:

विश्वभरका धेरै वेबसाइटहरूको प्राविधिक आधार बनेको व्यापक रूपमा प्रयोग हुने ‘PHP’ प्रोग्रामिङ भाषामा दुईवटा अत्यन्तै गम्भीर सुरक्षा कमजोरीहरू पत्ता लागेका छन्। ‘PHP2Shell’ नामले परिचित र ‘CVE-2026-109618’ तथा ‘CVE-2026-109619’ क्रमशः दर्ता नम्बर भएका यी दुई कमजोरीहरूले अपराधीहरूलाई दूरस्थ रूपमा सर्भरहरूमा हानिकारक कोड चलाउने क्षमता प्रदान गर्दछन्।

प्रभावित प्रणालीहरू पूर्ण रूपमा नियन्त्रणमा आउने जोखिम र कमजोरीहरूको विवरण निर्धारित मितिभन्दा अगाडि नै अनजानै सार्वजनिक भएकाले, अधिकारीहरू र सूचना प्रविधि सुरक्षा विशेषज्ञहरूले परिस्थितिलाई असाधारण आपतकालीन अवस्थाको रूपमा वर्गीकरण गरेका छन्। धेरै वेबसाइट सञ्चालकहरूले सावधानीको रूपमा आफ्ना वेबसाइटहरूलाई इन्टरनेटबाट अस्थायी रूपमा हटाएका छन्।

हो, अप्रत्यक्ष जोखिम छ। यदि कुनै वेबसाइट, नागरिकहरूका लागि सेवा प्रदान गर्ने पोर्टल वा इ-कमर्स प्लेटफर्मले प्रभावित ‘PHP’ संस्करण प्रयोग गरिरहेको छ र समयमै यसको सुरक्षा गर्नु पर्याप्त रूपमा गरिएको छैन भने, आक्रमणकारीहरूले हानिकारक कोडको माध्यमबाट वेबसाइट पछाडि रहेका डाटाबेसहरूमा पहुँच प्राप्त गर्न सक्छन्। यसले ग्राहकहरूको संवेदनशील डाटा, जस्तै व्यक्तिगत विवरण, पासवर्डहरू र सम्पर्क जानकारी लिक हुन सक्छ।

तर, स्मार्टफोन, ट्याबलेट र कम्प्युटर जस्ता व्यक्तिगत उपकरणहरूमा प्रत्यक्ष जोखिम छैन, किनकि यो कमजोरी केवल पृष्ठभूमिमा वेबसाइटहरू सञ्चालन गर्ने सर्भरहरूमा सीमित छ।

अबसम्म PHP मा भएका दुईवटा सुरक्षा कमजोरीहरू कसरी पत्ता लागे भन्ने कुरा स्पष्ट भएको छैन। तथापि, धेरै संकेतहरूले कृत्रिम बुद्धिमत्ता (AI) को व्यापक प्रयोगले ती कमजोरीहरू पत्ता लगाउन सहयोग पुर्‍याएको देखाउँछ, विशेष गरी किनकि ती दुईवटा कमजोरीहरू दशकौंदेखि अनाहत नै थिए।

कृत्रिम बुद्धिमत्ताले आक्रमणको प्रकृतिको रूपमा पनि भूमिका खेल्छ। आक्रमणकारीहरूले सुरक्षित नभएका PHP सर्भरहरूमा कमजोरीहरूको खोजी गर्न, र हातले हस्तक्षेप गर्नुपर्ने आवश्यकता बिना नै सेकेन्डभित्र विशाल स्तरका आक्रमणहरू सञ्चालन गर्न यसको प्रयोग गर्न सक्छन्। यसरी, यस संकटमा कृत्रिम बुद्धिमत्ताले आक्रमण र रक्षा दुवै पक्षका लागि गति बढाउने कारकको रूपमा काम गरिरहेको छ।

वेबसाइट सञ्चालकहरूले, चाहे त्यो ब्लग होस्, गैर-लाभकारी संस्थाहरूको वेबसाइट होस्, वा कम्पनी तथा सरकारी संस्थाहरूको वेबसाइट होस्, आफ्नो सर्भर वातावरणमा प्रयोग गरिएको PHP को संस्करण जाँच गर्नुपर्छ।

विकास टोलीले बिहीबार आपतकालीन सुरक्षा अद्यावधिकहरू उपलब्ध गराएको थियो। IONOS जस्ता ठूला होस्टिङ कम्पनीहरूले पनि आफ्नो प्रणालीहरूमा PHP को संस्करण अद्यावधिक गरिसकेका छन्, जसले स्वचालित सुरक्षा अद्यावधिकहरूमा निर्भर गर्ने वेबसाइटहरूलाई कम्तीमा सुरक्षा प्रदान गर्दछ।

विश्वव्यापी रूपमा स्वचालित आक्रमणहरूको लहर सुरु भएको छ, र आक्रमणकारीहरूले सुरक्षा अद्यावधिकहरू स्थापना नगरिएका प्रणालीहरूको निरन्तर खोजी गरिरहेकाले यो लहर हप्ता वा महिनासम्म जारी रहने अपेक्षा गरिएको छ।

सुरक्षाको जोखिम अन्त्य भएको घोषणा गर्न सकिँदैन जबसम्म होस्टिङ कम्पनीहरू र प्रणाली प्रशासकहरूको बहुसंख्यकले सुरक्षा अद्यावधिकहरू स्थापना गर्दैनन्। पुराना प्रणालीहरू र PHP को त्यस्ता संस्करणहरू जसका लागि अब आधिकारिक अद्यावधिकहरू उपलब्ध छैनन्, तिनीहरूका सञ्चालकहरूले इन्टरनेट अपराधीहरूद्वारा दोषपूर्ण रूपमा प्रयोग हुन सक्ने स्थायी कमजोरीहरू बन्न नदिन तिनीहरूलाई तुरुन्तै अलग गर्नुपर्छ वा बन्द गर्नुपर्छ।