दो खामियाँ, एक आपातकालीन रिलीज़
PHP परियोजना ने 21 अक्तूबर को चार आपातकालीन संस्करण जारी किए — 8.5.12, 8.4.27, 8.3.36 और 8.2.35 — जो दो ऐसी कमज़ोरियाँ ठीक करते हैं जिनमें से हर एक का CVSS v4.0 बेस स्कोर 9.2 है और जो बिना प्रमाणीकरण के दूरस्थ कोड निष्पादन की छूट दे सकती हैं। रखरखाव करने वालों ने साथ में एक परामर्श प्रकाशित किया जिसमें संचालकों से तुरंत अद्यतन करने को कहा गया है।
पहली, CVE-2026-109618, मेमोरी प्रबंधन की गड़बड़ी है। मेमोरी खत्म होने पर PHP मौजूदा संदर्भ छोड़ने के लिए longjmp() का उपयोग करता है, और परामर्श ऐसे मामलों का वर्णन करता है जहाँ अनुरोध की मेमोरी पूरी तरह आरंभ होने से पहले ही पहुँच में आ जाती है। यदि उसी क्षण कोई आवंटन विफल होता है, तो जल्दी बाहर निकलने से वह मेमोरी अमान्य रह जाती है और अनुरोध बंद करने की प्रक्रिया उसे पढ़ सकती है। परामर्श कहता है कि हमलावर मल्टीपार्ट पार्सिंग के ज़रिए इस रास्ते तक पहुँच सकता है — गायब content-length हेडर, हिस्सों के बहुत ज़्यादा हेडर, या नेस्टेड फ़ील्ड नामों वाले कई खाली फ़ाइल कंट्रोल — और इससे वेब वर्कर खाते के अधिकार से दूरस्थ कोड निष्पादन हो सकता है।
दूसरी, CVE-2026-109619, बची हुई स्थिति की गड़बड़ी है: एक अनुरोध की आंतरिक स्थिति उसकी मेमोरी मुक्त होने के बाद भी बची रह सकती है, इसलिए उसी प्रक्रिया पर आने वाला बाद का अनुरोध उन लटकते संदर्भों का अनुसरण कर सकता है।
PHP का परामर्श कहता है कि जोखिम mod_php पर सबसे अधिक है, पर वेब परोसने वाली सभी स्थापनाएँ प्रभावित हैं, और इसमें PHP-FPM, php-cgi, FrankenPHP और LiteSpeed शामिल हैं। गिटहब का परामर्श इस बारे में अधिक सटीक है कि काम कहाँ तक पहुँचा: mod_php और FrankenPHP सबसे सीधे प्रभावित बताए गए हैं, जबकि FPM को स्रोत कोड विश्लेषण के आधार पर प्रभावित माना गया है, बिना कोई पूर्ण एक्सप्लॉइट दिखाए।
एआई की भूमिका कहाँ है
ओपनएआई ने उसी दिन अपना विवरण प्रकाशित किया। जिसे वह Patch the Planet कहती है उस पर लिखी पोस्ट में कंपनी कहती है कि सुरक्षा फर्म कैलिफ़ ने GPT‑5.6 Sol की मदद से एक गंभीर खामी पहचानी, और विज़ ने स्वतंत्र रूप से दोनों कमज़ोरियाँ खोजकर रिपोर्ट कीं। सुधार और रिलीज़ का नेतृत्व PHP के रखरखावकर्ताओं ने किया।
गिटहब परामर्श की श्रेय सूची इस विवरण से मेल खाती है: इसमें चार रिपोर्ट करने वालों के नाम हैं, जिनमें -wiz और -oai से खत्म होने वाले उपयोगकर्ता नाम शामिल हैं, और चार PHP डेवलपर जिन्होंने समाधान बनाया।
ओपनएआई का कहना है कि समय के मामले में उद्योग भाग्यशाली रहा। कंपनी लिखती है, “हमारी जानकारी में, फ्रंटियर एआई ने ये कमज़ोरियाँ हमलावरों से पहले खोजीं”, जिससे “रखरखावकर्ताओं और सुरक्षा प्रदाताओं के लिए प्रकटीकरण से पहले सुधार और बचाव तैयार करने की एक खिड़की खुली”। PHP की पहुँच को देखते हुए वह इस जोड़ी को “हाल की स्मृति की सबसे प्रभावशाली सुरक्षा समस्याओं में से एक” कहती है, और कहती है कि ऐसे निष्कर्ष “आने वाले महीनों में तेज़ी से बढ़ेंगे”। पोस्ट के साथ उसने सीमित सुरक्षा संसाधनों वाले संगठनों के लिए अपने सुरक्षा उत्पाद Daybreak की रियायती पहुँच पर एक अरब डॉलर देने की घोषणा की, और कहा कि प्रकटीकरण से पहले उसने व्हाइट हाउस की सुपर इंटेलिजेंस फ़ोर्स, राष्ट्रीय साइबर निदेशक कार्यालय और CISA से संपर्क किया था।
क्लाउडफ्लेयर का विवरण कम सुखद है
उसी समन्वित प्रतिक्रिया में शामिल क्लाउडफ्लेयर ने इस जोड़ी को नाम दिया — php2shell — और अपना विश्लेषण प्रकाशित किया, जिसमें कहा गया कि PHP 5.4 या उसके बाद का संस्करण चलाने वाला हर वेब सर्वर प्रभावित है। कंपनी कहती है कि उसने अक्तूबर की शुरुआत में वेब एप्लिकेशन फ़ायरवॉल नियम बनाने शुरू किए और सार्वजनिक प्रकटीकरण से लगभग नौ घंटे पहले उन्हें चालू कर दिया, और 21 अक्तूबर को 03:02 UTC से मुफ़्त और सशुल्क दोनों योजनाएँ डिफ़ॉल्ट रूप से सुरक्षित थीं।
वह यह भी कहती है कि उसे अपने ग्राहकों के विरुद्ध हमले का ट्रैफ़िक दिख रहा है, और हमलावरों ने नियमों से बचने के लिए अपने पेलोड बदले, जबकि उसके विश्लेषक इन बदलावों का पीछा करने के लिए मिलान की मात्रा पर नज़र रखते रहे। यह ओपनएआई के इस दावे का खंडन नहीं करता कि बचाव करने वालों ने खामियाँ पहले खोजीं, पर खिड़की को काफ़ी सँकरा कर देता है: प्रकटीकरण की सुबह तक कोई पहले से कोशिश कर रहा था।
संचालकों को क्या करना है
अद्यतन करना ही पूरा समाधान है। PHP का परामर्श अंतरिम उपाय गिनाता है — ini_set() के बजाय php_admin_value से memory_limit=-1 सेट करना, post_max_size घटाना, session.upload_progress बंद करना और 8.5 पर fatal_error_backtraces=0 रखना — और साफ़ कहता है कि इनमें से कोई भी स्थापना को सुरक्षित नहीं बनाता। वह RLIMIT_AS और RLIMIT_DATA के विरुद्ध भी चेतावनी देता है, जो कमज़ोर रास्ते को सक्रिय कर सकते हैं।
PHP 8.1 और उससे पुराने संस्करणों को अब अपस्ट्रीम अद्यतन नहीं मिलते, इसलिए उन शाखाओं पर चलने वाले अपनी डिस्ट्रीब्यूशन के बैकपोर्ट पर निर्भर हैं। लिनक्स डिस्ट्रीब्यूशन और दीर्घकालिक समर्थन देने वाले विक्रेताओं को पैच पहले दे दिए गए थे। PHP 8.2 का जीवनकाल 31 दिसंबर 2026 को समाप्त होता है।
क्लाउडफ्लेयर W3Techs का हवाला देकर कहता है कि PHP लगभग 70% वेबसाइटों पर चलता है। अगले पखवाड़े में देखने लायक आँकड़ा गंभीरता का स्कोर नहीं, बल्कि साझा होस्टिंग पर पैच लगने की दर है, जहाँ सुधार लगाने वाला अक्सर वह नहीं होता जिसकी साइट है।
