eMudhra में एक बड़ी सुरक्षा समस्या का पता चलने से हलचल मच गई है, जिससे इंटरनेट उपयोगकर्ताओं के डेटा के लिए संभावित खतरे पर सवाल उठ रहे हैं। केंद्र बिंदु eMudhra की कमजोर क्रिप्टोग्राफ़िक निजी कुंजियों का मुद्दा है।
गूगल और मोज़िला ने प्रभावित प्रमाणपत्रों को ब्लॉक करने का निर्णय लिया है। यह स्वाभाविक प्रश्न उठता है कि क्या भारतीय उपयोगकर्ता डेटा खतरे में है, और इलेक्ट्रॉनिक्स और सूचना प्रौद्योगिकी मंत्रालय (MeitY) द्वारा जांच को क्या जवाब देना चाहिए।
पिछले चौबीस घंटों में साइबर सुरक्षा के क्षेत्र में घटनाओं में उल्लेखनीय वृद्धि हुई है। विभिन्न क्षेत्रों में गंभीर सुरक्षा समस्याएं सामने आई हैं - वेबसाइटों के लिए सॉफ़्टवेयर और डिजिटल प्रमाणपत्रों से लेकर आर्टिफिशियल इंटेलिजेंस उपकरणों और क्लाउड प्लेटफॉर्म तक। पाए गए दोषों में ऐसी कमजोरियाँ शामिल थीं जो हमलावरों को सर्वर पर अपना कोड निष्पादित करने की अनुमति देती थीं, साथ ही सॉफ़्टवेयर अपडेट में दुर्भावनापूर्ण कोड डालने के मामले भी शामिल थे।
एक प्रमुख घटना भारतीय कंपनी eMudhra के डिजिटल प्रमाणपत्रों से संबंधित थी, जिसने साइबर सुरक्षा के क्षेत्र में वैश्विक समुदाय का ध्यान आकर्षित किया।
इस इतनी बड़ी संख्या में समस्याओं के एक साथ होने के कारणों पर सवाल उठ रहा है। पहले ही AI क्षेत्र के नेताओं ने चेतावनी दी थी कि शक्तिशाली AI मॉडल मनुष्यों की तुलना में सॉफ़्टवेयर में खामियों को बहुत तेज़ी से ढूंढ सकते हैं। जनता को डर है कि यदि AI द्वारा कमजोरियों का पता लगाने की गति उनके समाधान की गति से अधिक हो जाती है, तो दुनिया भर के उपयोगकर्ताओं की सुरक्षा और गोपनीयता खतरे में पड़ जाएगी।
इन घटनाओं ने एक बार फिर प्रदर्शित किया है कि इंटरनेट की सुरक्षा केवल एक कंपनी या वेबसाइट पर निर्भर नहीं करती है। इंटरनेट पर विश्वास ब्राउज़र, सर्वर, सॉफ़्टवेयर अपडेट और डिजिटल प्रमाणपत्र जैसे कई घटकों की परस्पर क्रिया से बना रहता है। इनमें से किसी भी तत्व में खराबी अन्य सेवाओं और कंपनियों को प्रभावित कर सकती है। हालांकि फिलहाल बड़े नुकसान की कोई सूचना नहीं है, स्थिति का आगे मूल्यांकन आवश्यक है।
सबसे महत्वपूर्ण घटना प्रोग्रामिंग भाषा PHP में दो गंभीर कमजोरियों की खोज थी। PHP का उपयोग वेबसाइटों और वेब एप्लिकेशन बनाने के लिए व्यापक रूप से किया जाता है, और कई सर्वर इस प्लेटफॉर्म पर चलते हैं। भारतीय साइबर सुरक्षा एजेंसी CERT-In ने 21 अक्टूबर को इन कमजोरियों के बारे में एक चेतावनी जारी की, उन्हें CVE-2026-109618 और CVE-2026-109619 पहचानकर्ता दिए।
इन कमजोरियों का उपयोग करके, हमलावर प्रमाणीकरण की आवश्यकता के बिना कुछ कमजोर सर्वरों पर अपना कोड निष्पादित कर सकते थे। इससे सर्वर पर नियंत्रण प्राप्त करने और उस पर चल रही सेवाओं को प्रभावित करने का जोखिम पैदा होता था। PHP टीम ने इन कमियों को ठीक करने के लिए नए सुरक्षा अपडेट जारी किए: PHP 8.5 के लिए 8.5.12, PHP 8.4 के लिए 8.4.27, PHP 8.3 के लिए 8.3.36 और PHP 8.2 के लिए 8.2.35। प्रभावित साइटों और सर्वरों के उपयोगकर्ताओं को तुरंत संबंधित अपडेट स्थापित करने की सलाह दी गई।
जोखिमों की जानकारी सार्वजनिक होने के बाद, हमलावरों की गतिविधि में काफी वृद्धि हुई। 22 अक्टूबर की रॉयटर्स रिपोर्ट के अनुसार, क्लाउडफ्लेयर ने PHP पर हमलों के प्रयासों में तेज उछाल दर्ज किया जब कमजोरियों की जानकारी सार्वजनिक हो गई। यदि पहले ऐसे प्रयास हजारों में थे, तो सार्वजनिक होने के बाद उनकी संख्या लाखों तक पहुंच गई। दुनिया भर की कई सरकारी एजेंसियों और कंपनियों ने अपनी प्रणालियों की तेजी से जांच करना और सुरक्षा अपडेट लागू करना शुरू कर दिया।
हालांकि, सिस्टम पर हमला करने का प्रयास और डेटा की सफल चोरी दो अलग-अलग प्रक्रियाएं हैं। प्रारंभिक रिपोर्टों ने इस घटना से जुड़े किसी भी बड़े सफल हमले की पुष्टि नहीं की है।
PHP कमजोरियों के इतिहास में आर्टिफिशियल इंटेलिजेंस से जुड़ा एक पहलू भी है। ओपनएआई के अनुसार, 'पैच द प्लैनेट' पहल के हिस्से के रूप में GPT-5.6 Sol का उपयोग करके एक गंभीर कमजोरी का पता लगाया गया था। स्वतंत्र रूप से, Wiz नामक कंपनी ने भी दोनों कमजोरियों की खोज की और इसकी सूचना दी। इसके बाद, PHP टीम और अन्य सुरक्षा कंपनियों ने मिलकर उन्हें ठीक करने पर काम किया।
यह मामला दर्शाता है कि आर्टिफिशियल इंटेलिजेंस का उपयोग न केवल सामग्री उत्पन्न करने या सवालों के जवाब देने के लिए किया जा सकता है, बल्कि सॉफ़्टवेयर में छिपी हुई कमजोरियों को खोजने के लिए भी किया जा सकता है। ऐसी तकनीकें सुरक्षा टीमों को खामियों की पहचान करने और समाधान विकसित करने में तेज़ी लाने में मदद कर सकती हैं। हालांकि, इसका एक दूसरा पहलू भी है: यदि हमलावर कमजोरियों को खोजने, हमलों की तैयारी करने और कमजोर प्रणालियों की पहचान करने के लिए इसी तरह की विधियों का उपयोग करना शुरू कर देते हैं, तो कंपनियों की प्रतिक्रिया का समय कम हो जाएगा। इसलिए, इस बात की चिंता बढ़ रही है कि AI की मदद से साइबर सुरक्षा मजबूत होने की उम्मीदों के बावजूद हमले और तेज़ हो सकते हैं।
साथ ही, भारतीय कंपनी eMudhra के डिजिटल प्रमाणपत्रों से संबंधित एक समस्या भी सामने आई। यह कंपनी डिजिटल प्रमाणपत्र जारी करती है, जिनका उपयोग इंटरनेट पर सुरक्षित कनेक्शन सुनिश्चित करने के लिए किया जाता है। ऐसे प्रमाणपत्र ब्राउज़रों को यह निर्धारित करने में मदद करते हैं कि क्या वेबसाइट विश्वसनीय है, और यह सुनिश्चित करते हैं कि सुरक्षित कनेक्शन सही संसाधन पर निर्देशित हो।
CERT-In के अनुसार, eMudhra के आठ मध्यवर्ती प्रमाणपत्रों में एक भेद्यता थी क्योंकि उनकी निजी क्रिप्टोग्राफ़िक कुंजियों को असुरक्षित तरीके से बनाया गया था। ये कुंजियाँ...
boolean
