सर्ट-इनने 21 आणि 22 ऑक्टोबर 2026 रोजी PHP या संगणकीय भाषेतील दोन गंभीर सुरक्षा त्रुटींविषयी इशारा प्रसिद्ध केला. या त्रुटींमुळे बाहेरील हल्लेखोराला संकेतस्थळाच्या सर्व्हरवर अनधिकृत आदेश चालवणे शक्य होऊ शकते. PHP प्रकल्पाने दुरुस्त आवृत्त्या उपलब्ध केल्या असून संकेतस्थळ व्यवस्थापकांना तातडीने अद्ययावतीकरण करण्यास सांगितले आहे.
त्रुटी कोणत्या आणि त्यांचा धोका किती?
सर्ट-इनच्या अधिकृत सूचनेनुसार CVE-2026-109618 आणि CVE-2026-109619 या दोन गंभीर त्रुटी PHP मध्ये आढळल्या आहेत. PHP ही सर्व्हरवर चालणारी भाषा आहे आणि अनेक संकेतस्थळांमागील प्रणाली चालवण्यासाठी तिचा वापर होतो. काही खास तयार केलेल्या बाह्य विनंत्यांमुळे PHP च्या स्मृतीची अंतर्गत हाताळणी विस्कळीत होऊ शकते. यामुळे हल्लेखोराला दूरवरून संगणकीय आदेश चालवण्याची संधी मिळू शकते. युरोपीय संगणक आपत्कालीन पथकानेही या त्रुटींना अतिगंभीर म्हटले आहे. मात्र त्रुटी आढळली म्हणजे PHP वापरणारे प्रत्येक संकेतस्थळ आधीच हॅक झाले असा अर्थ होत नाही. सर्ट-इनने प्रत्यक्ष मोठ्या प्रमाणावर गैरवापर नोंदवल्याचा उल्लेख केला आहे. त्यामुळे धोका केवळ भविष्यातील कल्पना नाही. काही प्रकरणांत हल्ल्यासाठी संकेतशब्दाशिवाय विनंती पाठवण्याचा मार्ग उपलब्ध असू शकतो. अशा संभाव्य प्रवेशाला गंभीरपणे पाहणे आवश्यक आहे. वेबसाइटवरील नुकसान घडले आहे का हे ठरवण्यासाठी स्वतंत्र सर्व्हर नोंदी तपासाव्या लागतील. सर्ट-इनच्या इशाऱ्याला सर्व PHP संकेतस्थळांवरील पुष्टी झालेल्या हल्ल्यांची यादी समजू नये.
दुरुस्त आवृत्त्या कोणत्या आहेत?
PHP च्या अधिकृत संघाने 21 ऑक्टोबरला 8.5.12, 8.4.27, 8.3.36 आणि 8.2.35 या दुरुस्त आवृत्त्या उपलब्ध केल्या. प्रत्येक शाखेतील या क्रमांकाआधीच्या आवृत्त्या असुरक्षित असल्याचे सर्ट-इनने सांगितले. म्हणजे 8.4 शाखेतील ग्राहकासाठी 8.4.27 हा महत्त्वाचा अद्ययावत टप्पा आहे. तसेच 8.3 वापरणाऱ्यांनी 8.3.36 आणि 8.2 वापरणाऱ्यांनी 8.2.35 तपासावे. 8.5 वापरणाऱ्यांना 8.5.12 आवृत्ती आवश्यक आहे. गुगल क्लाउड आणि हेरोकू यांनीही याच दुरुस्त आवृत्त्यांची माहिती दिली. PHP 8.1 आणि त्याआधीच्या शाखांना मूळ प्रकल्पाकडून नियमित सुरक्षा दुरुस्त्या मिळत नाहीत. काही होस्टिंग पुरवठादार अशा जुन्या शाखांसाठी स्वतंत्र दुरुस्त्या देऊ शकतात. पण त्या मर्यादित उपायांना अधिकृत दीर्घकालीन आधार असल्याचे मानू नये. सर्व्हरवर प्रत्यक्ष कोणती आवृत्ती चालू आहे हे तपासणे महत्त्वाचे आहे. संकेतस्थळाचा बाहेरून दिसणारा भाग अद्ययावत असणे म्हणजे अंतर्गत PHP सुरक्षित आहे याची हमी नाही.
दोन त्रुटींचे तांत्रिक कारण
सर्ट-ईयूच्या विश्लेषणानुसार पहिली त्रुटी स्मृतीची मर्यादा ओलांडल्यानंतर होणाऱ्या अंतर्गत कामकाजाशी संबंधित आहे. दुसऱ्या त्रुटीत एका विनंतीतील काही माहिती स्मृतीत चुकीने टिकून राहू शकते. पुढील विनंतीवर प्रक्रिया करताना या चुकीच्या अवस्थेचा गैरवापर होऊ शकतो. दोन्ही त्रुटी दूरवरून अनधिकृत आदेश चालवण्याचा धोका निर्माण करतात. काही सर्व्हर रचनांमध्ये हल्ल्याची शक्यता तुलनेने अधिक असू शकते. PHP-FPM, Apache तसेच इतर लोकप्रिय संकेतस्थळ सर्व्हरमध्ये PHP वापरली जाते. Plesk या सर्व्हर व्यवस्थापन कंपनीनेही स्वतःच्या ग्राहकांसाठी सुरक्षा दुरुस्त्या जाहीर केल्या. त्यामुळे हा प्रश्न केवळ एका संकेतस्थळ निर्मिती प्रणालीपुरता मर्यादित नाही. WordPress आणि इतर PHP आधारित साधनांच्या मागील सर्व्हर आवृत्तीची स्वतंत्र तपासणी करावी लागते. अनुप्रयोगाच्या बाह्य भागासाठी सुरक्षा साधन बसवणे म्हणजे मूळ भाषा दुरुस्त झाली असे नाही. तात्पुरत्या उपायांनी काही मार्ग बंद होऊ शकतात, पण संपूर्ण त्रुटी काढण्यासाठी समर्थित आवृत्तीत अद्ययावतीकरण आवश्यक ठरते.
संकेतस्थळ चालकांनी कोणती पावले उचलावीत?
सर्वप्रथम होस्टिंग नियंत्रणपटलामधील PHP ची सध्याची आवृत्ती पाहावी. ती प्रभावित शाखेतील जुनी आवृत्ती असल्यास सेवा पुरवठादाराच्या अधिकृत पद्धतीने दुरुस्ती करावी. बदल करण्यापूर्वी संकेतस्थळाच्या फाइल आणि माहितीकोशाचा सुरक्षित बॅकअप ठेवणे आवश्यक आहे. अद्ययावतीकरणानंतर संकेतस्थळ उघडणे, वापरकर्त्याची नोंदणी, देयक व्यवहार आणि प्रशासकीय प्रवेश व्यवस्थित चालतात का ते तपासावे. सामायिक होस्टिंगच्या ग्राहकांना सर्व्हरची काही व्यवस्था स्वतः बदलता येत नाही. त्यांनी होस्टिंग कंपनीकडून दुरुस्त आवृत्ती सक्रिय झाल्याची स्पष्ट पुष्टी मागावी. Plesk वापरणाऱ्या व्यवस्थापकांना PHP तसेच Plesk च्या स्वतःच्या व्यवस्थापन यंत्रणेतील दुरुस्त्यांची गरज असू शकते. फक्त WordPress चा नवीन प्रकार बसवून काम पूर्ण झाल्याचा निष्कर्ष काढू नये. संसर्ग झाला असल्याची शंका आल्यास सर्व्हरच्या नोंदी, संशयास्पद फाइल्स आणि खातेपरवानग्यांची तपासणी करावी. दुरुस्तीमुळे भविष्यातील धोका कमी होऊ शकतो, पण आधी झालेला गैरवापर आपोआप मागे फिरत नाही.
पुढील काळातील सुरक्षिततेसाठी मुद्दे
गुगल क्लाउडने या दोन्ही त्रुटींच्या गंभीरतेचा गुणांक 9.2 असल्याचे नमूद केले आहे. हा गुणांक संभाव्य परिणामाची तीव्रता दर्शवतो; प्रत्येक संकेतस्थळावर नुकसान झाले असल्याचा पुरावा नाही. जुन्या PHP आवृत्त्या वापरणाऱ्या व्यवसायांनी समर्थित शाखेकडे स्थलांतर करण्याचा निर्णय लवकर घ्यावा. नियमित बॅकअप, मर्यादित प्रशासकीय प्रवेश आणि उपलब्ध सुरक्षा नोंदी महत्त्वाच्या राहतात. PHP प्रकल्प आणि सर्ट-इनच्या अधिकृत अद्ययावतीकरणांकडे लक्ष ठेवावे. काही तात्पुरत्या उपायांनी विशिष्ट हल्ल्याचा मार्ग बंद होऊ शकतो, परंतु ते कायमस्वरूपी दुरुस्तीचे पर्याय नाहीत. ग्राहकांची वैयक्तिक माहिती किंवा आर्थिक व्यवहार हाताळणाऱ्या संकेतस्थळांवर या समस्येचे परिणाम गंभीर असू शकतात. त्यामुळे तांत्रिक टीमने सर्व्हरच्या प्रत्यक्ष आवृत्तीची नोंद ठेवावी. सुरक्षा काम पूर्ण झाल्यावर त्याच्या चाचणीची तारीख आणि बदलांची माहितीही उपलब्ध ठेवावी. पुढील अधिकृत अहवालांत कोणत्या सर्व्हर रचनांवर अधिक धोका आहे आणि कोणत्या नवीन दुरुस्त्या आवश्यक आहेत हे स्पष्ट होऊ शकते.
स्रोत
- सर्ट-इन — 21 ऑक्टोबर 2026
- PHP प्रकल्प — 21 ऑक्टोबर 2026
- हेरोकू — 21 ऑक्टोबर 2026
- सर्ट-ईयू — 21 ऑक्टोबर 2026
- प्लेस्क — 22 ऑक्टोबर 2026