PHP में गंभीर सुरक्षा खामी से लाखों वेबसाइटों को खतरा

PHP में सुरक्षा खामी का खुलासा

(एंड्रयू कलन, कंप्यूटिंग और सूचना प्रणाली संकाय, मेलबर्न विश्वविद्यालय) मेलबर्न, 25 अक्टूबर - प्रोग्रामिंग भाषा PHP (हाइपरटेक्स्ट प्रीप्रोसेसर) में एक गंभीर सुरक्षा खामी का पता चला है। यह भाषा दुनिया की 70 प्रतिशत से अधिक वेबसाइटों की नींव है।

यदि इस खामी का समाधान नहीं किया गया, तो हैकर लाखों वेबसाइटों पर नियंत्रण प्राप्त कर सकते हैं और उनके सर्वर में मौजूद डेटा तक पहुंच बना सकते हैं। इस खतरे के मद्देनजर, यूरोप की कई सरकारों और रॉटरडैम बंदरगाह जैसे संस्थानों ने अपनी वेबसाइटों को अस्थायी रूप से बंद कर दिया है।

ऑस्ट्रेलियाई संचार निदेशालय, अमेरिका की साइबर सुरक्षा एजेंसी, और ब्रिटेन, यूरोप तथा जापान के अन्य संस्थानों ने वेब डेवलपर्स को अपने सिस्टम में तुरंत सुरक्षा अपडेट लागू करने की सलाह दी है। उन्होंने यह भी सुझाव दिया है कि जब तक वेबसाइट की सुरक्षा सुनिश्चित नहीं हो जाती, तब तक उन्हें इंटरनेट से हटाने पर विचार किया जाए।

PHP का विकास करने वाले संगठन ने इस खामी को ठीक करने के लिए एक अपडेट जारी किया है। हालांकि, PHP का उपयोग करने वाले लाखों सिस्टम में इस अपडेट को लागू करने में समय लगेगा।

PHP की विशेषताएँ

PHP को अक्सर 'इंटरनेट की रीढ़' कहा जाता है। यह एक प्रोग्रामिंग भाषा है, जो कंप्यूटर को निर्देश देने का एक साधन है। 1997 से उपयोग में लाई जा रही यह भाषा वेबसाइटों को उपयोगकर्ताओं से मिली जानकारी को संभालने और पर्दे के पीछे विभिन्न प्रक्रियाओं को पूरा करने में मदद करती है।

PHP की सबसे बड़ी विशेषता इसकी बहुउपयोगिता है। इसका उपयोग वेबसाइट पर उपयोगकर्ताओं को लॉगिन कराने, ऑनलाइन दुकानों का संचालन करने, डेटाबेस से जानकारी प्राप्त करने और लाखों ब्लॉग और समाचार वेबसाइटों को चलाने में किया जाता है।

PHP आपके कंप्यूटर के बजाय वेबसाइट के सर्वर पर कार्य करती है, यही कारण है कि हम में से अधिकांश लोग हर दिन PHP द्वारा संचालित वेबसाइटों का उपयोग करते हैं, लेकिन हमें इसका एहसास नहीं होता।

चिंताओं का बढ़ना: घटनाक्रम

अगस्त में, विज नामक कंपनी के साइबर सुरक्षा शोधकर्ताओं ने अपने टूल के माध्यम से Google के जेमिनी और OpenAI के ChatGPT कृत्रिम बुद्धिमत्ता मॉडल के नवीनतम संस्करणों का उपयोग करते हुए PHP के विशाल प्रोग्राम कोड की जांच की।

विज की टीम ने छिपी हुई प्रोग्रामिंग खामियों की खोज की, जिनका उपयोग करके साइबर हमलावर इंटरनेट के माध्यम से विशेष अनुरोध भेजकर PHP पर चलने वाले सिस्टम पर नियंत्रण प्राप्त कर सकते थे।

कुछ ही दिनों में, शोधकर्ताओं ने ऐसे तरीके खोज लिए, जिनसे Drupal और WordPress जैसे प्लेटफार्मों पर संचालित सिस्टम में सेंध लगाई जा सकती थी। इंटरनेट पर बड़ी संख्या में वेबसाइटें इन्हीं प्लेटफार्मों का उपयोग करती हैं।

विज ने मिली खामियों की जानकारी PHP की सुरक्षा टीम को दी। सितंबर के अंत तक, PHP के डेवलपर्स ने पुष्टि की कि यह समस्या वास्तविक है और इसके समाधान पर काम शुरू कर दिया।

साइबर सुरक्षा में किसी खामी का पता चलने पर जिम्मेदारी से कदम उठाना आवश्यक होता है, ताकि समाधान के लिए सुरक्षा अपडेट तैयार होने तक जानकारी सार्वजनिक न की जाए।

खामियों का बार-बार सामने आना

इंटरनेट का एक बड़ा हिस्सा उन बुनियादी तकनीकों पर निर्भर है, जिन्हें शौकिया डेवलपर्स ने विकसित किया है और जिनका रखरखाव भी वही करते हैं। इनमें से कई तकनीकें मजबूत कॉर्पोरेट वित्तपोषण के बजाय लोगों की सद्भावना और दान पर निर्भर हैं।

इनमें से कई टूल दशकों पहले विकसित किए गए थे, जब ऐसी दुनिया की कल्पना नहीं की गई थी, जिसमें लाखों वेबसाइटें और अरबों टूल संवेदनशील और निजी जानकारी संभालने के लिए उपयोग किए जाएंगे।

समस्या इसलिए भी बढ़ती है क्योंकि संस्थानों में सॉफ्टवेयर के रखरखाव को अक्सर प्राथमिकता नहीं दी जाती। कई कंपनियों को अपनी आपूर्ति श्रृंखला के सभी हिस्सों की बुनियादी जानकारी तक नहीं होती। यह कमी भौतिक वस्तुओं की आपूर्ति श्रृंखला में भी देखी जाती है।

इस तरह के बड़े और चर्चित घटनाक्रमों में भी कई कंपनियों को यह पता नहीं होता कि वे किन-किन सॉफ्टवेयर पर निर्भर हैं और इन सॉफ्टवेयर की सुरक्षा का वास्तविक स्तर क्या है।

आपको क्या करना चाहिए?

यह समस्या मुख्य रूप से उन लोगों से संबंधित है, जो वेबसाइट का रखरखाव करते हैं या तकनीकी ढांचे का प्रबंधन करते हैं। उनके लिए प्राथमिकता स्पष्ट है: सुरक्षा अपडेट उपलब्ध होते ही उन्हें अपने सिस्टम में लागू करें। जब तक सुरक्षा को लेकर भरोसा न हो जाए, तब तक महत्वपूर्ण सिस्टम को इंटरनेट से हटाने पर भी विचार करें।

इंटरनेट का सामान्य उपयोग करने वालों के लिए यह समझना आवश्यक है कि ये खामियां मुख्य रूप से वेबसाइट को संचालित करने वाले सर्वर को प्रभावित करती हैं, न कि उनके व्यक्तिगत उपकरणों को।

हालांकि, सुरक्षा अपडेट लागू होने से पहले कुछ वेबसाइटों में अस्थायी रूप से छेड़छाड़ की जा सकती है। इसलिए अगले कुछ दिनों तक अनजान वेबसाइटों पर संवेदनशील व्यक्तिगत जानकारी दर्ज करने से बचना समझदारी होगी।

बड़ी क्लाउड सेवा कंपनियां और साइबर सुरक्षा संस्थान आपातकालीन सुरक्षा उपाय लागू कर रहे हैं। लेकिन इंटरनेट को सुरक्षित करने की वैश्विक कोशिश अभी शुरू हुई है।

दुनिया भर की साइबर सुरक्षा टीमें नुकसान को सीमित करने के लिए तेजी से काम कर रही हैं। फिर भी, इस समस्या का व्यापक दायरा एक गंभीर चेतावनी है।