PHP2Shell: critical PHP vulnerabilities, remote code execution और साइबर सुरक्षा

चर्चा में क्यों?

CERT-In ने अक्टूबर 2026 में PHP की दो critical vulnerabilities पर चेतावनी जारी की, जिन्हें सामूहिक रूप से PHP2Shell कहा जा रहा है। CERT-In के अनुसार इनका large-scale exploitation “in the wild” देखा गया और vulnerable systems पर remote attacker arbitrary code चला सकता है। दुनिया भर में कई organisations ने patching के दौरान precautionary shutdowns किए।

PHP क्या है और vulnerability कहाँ थी?

PHP एक open-source server-side scripting language है, जिसका उपयोग dynamic websites और web applications में व्यापक रूप से होता है। CERT-In के अनुसार vulnerabilities memory corruption और improper resource control से जुड़ी थीं। crafted request भेजकर unauthenticated remote attacker vulnerable server पर code execution प्राप्त कर सकता था।

Remote Code Execution (RCE) क्या है?

RCE वह स्थिति है जिसमें attacker network के माध्यम से target machine/server पर अपनी पसंद का code execute कर सके। इससे web shell, data theft, credential theft, ransomware deployment, lateral movement या पूर्ण system compromise संभव हो सकता है। इसलिए RCE vulnerabilities को cyber defence में अत्यंत गंभीर माना जाता है।

प्रभावित और fixed versions

CERT-In ने प्रभावित versions को patch करने की सलाह दी। सुरक्षित releases में कम-से-कम PHP 8.5.12, 8.4.27, 8.3.36 और 8.2.35 तक update करना आवश्यक बताया गया। दो संबंधित identifiers CVE-2026-109618 और CVE-2026-109619 हैं। Organisations को vendor patches तत्काल लागू करने चाहिए।

CERT-In और भारत का संस्थागत ढाँचा

Indian Computer Emergency Response Team (CERT-In) भारत की राष्ट्रीय cyber incident response agency है और Information Technology Act, 2000 की धारा 70B के तहत वैधानिक भूमिका निभाती है। इसका काम vulnerabilities/advisories, incident coordination, cyber alerts और response guidance प्रदान करना है।

Cyber resilience के लिए सीख

• Asset inventory: organisation को पता हो कि कौन-से servers किस version पर हैं।
• Risk-based emergency patching और rollback plan.
• Internet-facing services पर WAF/segmentation और least privilege.
• Continuous logging, EDR/IDS और compromise indicators की hunting.
• Software Bill of Materials तथा third-party dependency visibility.
• Backups को network से अलग और नियमित restoration tests.

मुख्य परीक्षा विश्लेषण

PHP2Shell दिखाता है कि critical infrastructure केवल zero-day discovery से नहीं, patch latency से भी जोखिम में आता है। Digital Public Infrastructure, banking, government portals और MSMEs में common open-source stacks होने के कारण एक vulnerability का systemic impact हो सकता है। भारत को vulnerability disclosure, skilled SOC teams, coordinated incident reporting और secure-by-design procurement मजबूत करना चाहिए।

प्रारंभिक परीक्षा अभ्यास

प्रश्न 1. Remote Code Execution का आशय है— (a) केवल password reset (b) attacker द्वारा remote system पर arbitrary code चलाना (c) offline encryption (d) hardware cooling failure

प्रश्न 2. CERT-In के संबंध में कौन-सा सही है? 1. यह भारत की national cyber incident response agency है। 2. इसकी वैधानिक भूमिका IT Act की धारा 70B से जुड़ी है।

मुख्य परीक्षा अभ्यास प्रश्न

PHP2Shell जैसी गंभीर सॉफ्टवेयर भेद्यताएँ साइबर सुरक्षा में “एक भेद्यता, व्यापक प्रणालीगत प्रभाव” की समस्या को कैसे दर्शाती हैं? भारत की डिजिटल प्रत्यास्थता बढ़ाने के उपाय बताइए।

10 अंक · 150 शब्द · GS-III

आदर्श उत्तर पढ़ें →

स्रोत और संदर्भ

• CERT-In — Critical remote code execution vulnerabilities in PHP
• CERT-In Vulnerability Note CIVN-2026-0510
• PHP — Security release notice