PHP2Shell: अपने PHP सर्वर को जाँचने और पैच करने की पूरी गाइड
अगर आपकी वेबसाइट PHP पर चलती है, तो यह लेख आपके लिए है। 21 अक्टूबर 2026 को PHP प्रोजेक्ट ने दो गंभीर खामियों, CVE-2026-109618 और CVE-2026-109619, के पैच जारी किए। उसी दिन FBI, NSA, ब्रिटेन की NCSC और जापान की प्रधानमंत्री ने संस्थाओं से अपना PHP जाँचने को कहा। नीचे सबसे ज़रूरी बातें ऐसे चरणों में हैं जिन्हें आप एक बैठक में पूरा कर सकते हैं।
चार पंक्तियों में स्थिति
- दोनों खामियाँ PHP के कोर में हैं और हर एक का CVSS 4.0 स्कोर 9.2 है।
- PHP की अपनी एडवाइज़री के अनुसार हमलावर बिना लॉगिन किए सर्वर पर कोड चला सकता है।
- पैच सार्वजनिक होने से पहले ही हमले देखे गए।
- WordPress या प्लगइन अपडेट करने से यह हल नहीं होता। PHP को ही अपडेट करना होगा।
वीडियो देखें
पहला चरण: पता करें PHP कहाँ चल रहा है
इंटरनेट से जुड़े सर्वरों से शुरू करें, फिर कंट्रोल पैनल और उन प्रोडक्ट्स को देखें जिनके अंदर PHP आता है। हर सर्वर का PHP वर्ज़न लिख लें और यह भी कि वह mod_php, PHP-FPM या कुछ और इस्तेमाल करता है। PHP की एडवाइज़री के अनुसार mod_php सबसे जोखिम वाला सेटअप है।
php -v
php-fpm -v
apachectl -M | grep -i php
ps -eo pid,ppid,user,cmd | grep -E "php-fpm|apache2|httpd" | grep -v grepदूसरा चरण: पैच्ड वर्ज़न से मिलान करें
| ब्रांच | पैच्ड वर्ज़न |
|---|---|
| 8.5 | 8.5.12 |
| 8.4 | 8.4.27 |
| 8.3 | 8.3.36 |
| 8.2 | 8.2.35 (सपोर्ट 31 दिसंबर 2026 को खत्म) |
| 8.1 और पुराने | कोई आधिकारिक रिलीज़ नहीं। अपने वेंडर से बैकपोर्ट पूछें या नई ब्रांच पर जाएँ। |
अगर PHP लिनक्स डिस्ट्रीब्यूशन के पैकेज से आया है, तो बैकपोर्ट के बाद भी वर्ज़न नंबर पुराना रह सकता है। इसलिए changelog पढ़ें, जैसे Debian और Ubuntu पर apt changelog php8.3-fpm | head -n 30।
तीसरा चरण: अपडेट, रीस्टार्ट, पुष्टि
पैकेज या बिल्ड अपडेट करें, फिर वे प्रोसेस रीस्टार्ट करें जो वेब रिक्वेस्ट संभालते हैं। चल रहा PHP-FPM रीस्टार्ट होने तक पुराना कोड ही इस्तेमाल करता है। उसके बाद वर्ज़न वेब की तरफ़ से भी जाँचें, सिर्फ़ कमांड लाइन से नहीं।
चौथा चरण: गलत इस्तेमाल के संकेत खोजें
20 अक्टूबर के बाद के लॉग देखें। अगर वेब सर्वर का यूज़र shell, curl या wget चला रहा है तो यह संदिग्ध है। FBI के अनुसार सेंध के संकेत मिलें तो सिस्टम को अलग करें, लॉग सुरक्षित रखें और FBI के फ़ील्ड ऑफ़िस या ic3.gov को बताएँ।
अगर आज अपडेट संभव न हो
PHP ने php.net पर अस्थायी उपाय प्रकाशित किए हैं। ये जोखिम घटाते हैं, खत्म नहीं करते। Cloudflare के फ़ायरवॉल नियमों को उसके अपने CTO ने अस्थायी इंतज़ाम कहा है। FBI और NSA की सलाह है कि पूरी तरह सुरक्षित होने तक सिस्टम को ऑफ़लाइन कर दें।
इतना ध्यान क्यों मिला
जिन वेबसाइटों की सर्वर-साइड भाषा पता है, उनमें से लगभग 69 प्रतिशत PHP इस्तेमाल करती हैं, और यह खामी हर CMS व फ़्रेमवर्क के नीचे है। बेल्जियम में एक मीडिया समूह, एक विश्वविद्यालय और कई अस्पतालों ने एहतियात के तौर पर अपनी साइटें बंद कर दीं। कंपनियाँ अब पैच की समय-सीमा घंटों में नाप रही हैं, बिना सपोर्ट वाले PHP को घटना मान रही हैं और साइट ऑफ़लाइन करने की लिखित योजना बना रही हैं।
AI कहाँ काम आता है
रिपोर्टों के अनुसार शोधकर्ताओं ने इन खामियों को खोजने में AI टूल इस्तेमाल किए। बचाव करने वाले भी यही तरीका अपना सकते हैं। उदाहरण के लिए Anthropic का Claude Managed Agents कई एजेंट्स के बीच तालमेल (multi-agent orchestration) सपोर्ट करता है, यानी एक मुख्य एजेंट वर्ज़न इन्वेंटरी, डिपेंडेंसी ऑडिट और लॉग रिव्यू अलग-अलग एजेंट्स को देकर एक रिपोर्ट बना सकता है। हर बदलाव को कोई इंसान ही मंज़ूर करे। प्रोडक्ट की उपलब्धता बदलती रहती है, इसलिए Anthropic के डॉक्स देख लें।
अक्सर पूछे जाने वाले सवाल
क्या WordPress अपडेट करने से यह ठीक हो जाता है?
नहीं। खामी PHP में है, इसलिए PHP अपडेट करना ज़रूरी है।
क्या Cloudflare काफ़ी है?
नहीं। यह जाने-पहचाने हमलों में मदद करता है, पर पैच का विकल्प नहीं है।
PHP सिक्योरिटी और कहाँ सीखूँ?
मैंने PHP के कॉन्सेप्ट, शब्दावली और अभ्यास का एक रेफ़रेंस बनाया है: Notion पर PHP Master Guide।