पीएचपी फाउंडेशन ने पुष्टि की कि विभिन्न देशों में कई वेबसाइटों को अस्थायी रूप से निलंबित करने के परिणामस्वरूप दोषों के पहले संकेत 2024 में सामने आए थे। संसाधनों की कमी और सुरक्षा टीम द्वारा सामना की गई कठिनाइयों के कारण इन कमजोरियों को ठीक करने की प्रक्रिया को कई बार रोका और फिर से शुरू किया गया।
इन दोषों में हमलावरों को लॉगिन या पासवर्ड क्रेडेंशियल्स की आवश्यकता के बिना सर्वर पर नियंत्रण प्राप्त करने की क्षमता है। एक सुरक्षा अपडेट जारी किया जा चुका है, और सरकारी संस्थाओं और निगमों दोनों ने हमलों की संभावना को कम करने के लिए निवारक उपाय लागू किए हैं।
इस समस्या का पता 2024 में क्वार्कस्लैब द्वारा किए गए एक बाहरी ऑडिट के दौरान चला, जो साइबर सुरक्षा में विशेषज्ञता रखने वाली एक फ्रांसीसी कंपनी है। पीएचपी फाउंडेशन के अनुसार, कमजोरियों को दूर करने का प्रयास कई महीनों तक चला और इसे तीन महत्वपूर्ण बाधाओं का सामना करना पड़ा।
फाउंडेशन ने यह भी स्वीकार किया कि भाषा की सुरक्षा सीमित डेवलपर्स पर निर्भर करती है, जिन्हें फाउंडेशन द्वारा समर्थन दिया जाता है, और स्वयंसेवी सहयोगियों पर निर्भर करती है। संसाधनों की कमी चिंता का विषय है, क्योंकि इंटरनेट पर पीएचपी का व्यापक उपयोग होता है, जिसका उपयोग फेसबुक, विकिपीडिया और वर्डप्रेस जैसे उल्लेखनीय प्लेटफार्मों के साथ-साथ शिक्षण संस्थानों द्वारा उपयोग किए जाने वाले मूडल और ई-कॉमर्स पर केंद्रित मैजेंटो में भी किया जाता है।
पीएचपी फाउंडेशन कोड का विश्लेषण करने और दोष रिपोर्टों का मूल्यांकन करने के लिए क्लॉड मिथोस जैसे आर्टिफिशियल इंटेलिजेंस टूल का उपयोग करता है। हालांकि ये संसाधन समस्याओं की पहचान तेजी से करने में मदद करते हैं, लेकिन वे सुधार की आदर्श संरचना को परिभाषित करने में सक्षम नहीं हैं।
दोषों की जांच फाउंडेशन से आगे बढ़ी। सुरक्षा कंपनी कैलिफ और चैटजीपीटी के लिए जिम्मेदार ओपनएआई ने स्वतंत्र रूप से कमजोरियों की पहचान की और इस वर्ष अगस्त में इसकी सूचना दी। बाद में, क्लाउड सुरक्षा विशेषज्ञ विज़ ने इन दोषों का फायदा उठाने के अन्य तरीके खोजे।
बुधवार (21) को, विज़ ने इस घटना को पीएचपी में अब तक दर्ज सबसे गंभीर घटनाओं में से एक के रूप में वर्गीकृत किया। कंपनी ने घोषणा की कि ऐसी खोजें पीएचपी में और संभवतः सॉफ्टवेयर के इतिहास में पाई गई सबसे गंभीर कमजोरियों के बीच आती हैं। कंपनी ने आगे कहा कि एक दशक से अधिक समय तक ये गंभीर दोष हल नहीं हो पाए क्योंकि एआई की सहायता के बिना कमजोरियों का पता लगाना और उनका शोषण करना बेहद जटिल था।
दोषों की जांच के लिए, विज़ ने गूगल के जेमिनी 4 आर्गन और ओपनएआई के जीपीटी-5.6 सोल मॉडल का उपयोग किया।
बुधवार (21) से, विभिन्न देशों की सरकारों और कंपनियों ने हमलों के खिलाफ निवारक उपाय के रूप में अपनी वेबसाइटों तक पहुंच को अस्थायी रूप से निलंबित कर दिया है। ब्राजील में, राष्ट्रीय दूरसंचार एजेंसी (Anatel) और अदालतों ने प्रशासनिक प्रक्रियाओं में उपयोग किए जाने वाले इलेक्ट्रॉनिक सूचना सिस्टम (SEI) तक पहुंच निलंबित कर दी है। अब तक, देश में बड़े नुकसान की कोई सूचना नहीं मिली है।
एक्सपोजर की व्यापकता दोष के बारे में चिंता को सही ठहराती है। सेज नेटवर्क्स के प्रौद्योगिकी निदेशक और दूरसंचार विशेषज्ञ, थियागो अयूब बताते हैं कि सार्वजनिक रैंकिंग दर्शाती हैं कि लगभग 70% वेबसाइटों में पीएचपी भाषा का उपयोग किया जाता है।
सुरक्षा अपडेट पहले से ही उपलब्ध होने के साथ, प्रभावित प्रणालियों में सुधार लागू करना घुसपैठ के जोखिम को कम करने की मुख्य रणनीति है।