जापान में PHP सुरक्षा खामियों के चलते 1,090 सेवाएं बंद, दोबारा शुरू करने में मुश्किल

सैकड़ों सेवाएं अब भी दोबारा शुरू होने का इंतजार कर रही हैं

PHP की दो गंभीर सुरक्षा खामियों पर जापान की प्रतिक्रिया से कम से कम 1,090 वेबसाइट और ऑनलाइन सेवाएं बाधित हुई हैं। 26 अक्टूबर 2026 तक सैकड़ों सेवाओं के दोबारा शुरू होने की घोषणा नहीं हुई थी। इस व्यवधान का असर ऑनलाइन खरीदारी, वित्तीय खातों से जुड़ी प्रक्रियाओं, बाल देखभाल सेवाओं और गेम पर पड़ा है। संचालक सुरक्षा सुधार लागू कर रहे हैं और जांच रहे हैं कि उनके सिस्टम सुरक्षित रूप से फिर से जोड़े जा सकते हैं या नहीं।

क्लाउड सेवाओं के लिए सुरक्षा आकलन संबंधी जानकारी देने वाली टोक्यो की कंपनी Assured ने 26 अक्टूबर को दोपहर 3 बजे तक 1,090 सेवाएं बंद होने की गिनती की। इसका विश्लेषण मुख्य रूप से X पर आधिकारिक खातों से बंदी की घोषणा करने वाली पोस्ट पर आधारित था। यह संख्या 23 अक्टूबर को दोपहर 2 बजे के 502 से बढ़कर करीब तीन दिनों में 588 यानी लगभग 117% अधिक हो गई।

Assured ने इनमें से 465 सेवाओं के दोबारा शुरू होने की घोषणा की पुष्टि नहीं की थी। यह दर्ज बंद सेवाओं का करीब 43% है। ये आंकड़े सार्वजनिक घोषणाओं पर आधारित हैं, इसलिए इन 465 सेवाओं की ताजा स्थिति की पुष्टि उनके संचालकों से करना अभी बाकी है।

Bandai Namco Holdings को उम्मीद थी कि खिलौने और अन्य सामान बेचने वाला उसका ऑनलाइन स्टोर 27 अक्टूबर को दोपहर में फिर खुल जाएगा। रखरखाव का काम 21 अक्टूबर की शाम शुरू हुआ था। Taiko no Tatsujin समेत आर्केड गेम के ऑनलाइन कनेक्शन बंद रहे। Daiwa Securities की वेबसाइट के कुछ फ़ंक्शन फिर से चालू हो गए थे, लेकिन NISA निवेश खाते खोलने के आवेदन और पते में बदलाव जैसी प्रक्रियाएं 26 अक्टूबर को शाम 5 बजे तक उपलब्ध नहीं थीं।

PHP2shell खामियां क्या कर सकती हैं

जापान की सूचना प्रौद्योगिकी संवर्धन एजेंसी, जिसे IPA के नाम से जाना जाता है, ने 22 अक्टूबर की अपनी PHP सुरक्षा चेतावनी में इन खामियों की पहचान CVE-2026-109618 और CVE-2026-109619 के रूप में की। इनके मेल को PHP2shell कहा जाता है। PHP ऐसा सॉफ्टवेयर है जिसका उपयोग कई वेबसाइट और वेब ऐप्लिकेशन चलाने के लिए होता है। यह सर्वर पर काम संभालता है, जिसके बाद जानकारी उपयोगकर्ता के ब्राउज़र तक पहुंचती है।

CVE-2026-109618 का संबंध PHP के पास मेमोरी खत्म होने पर त्रुटियों को संभालने से है। CVE-2026-109619 सर्वर को भेजे गए अनुरोधों के प्रसंस्करण से जुड़ी है। इन खामियों का फायदा उठाकर कोई दूर बैठा हमलावर मनमाना कोड चला सकता है। यानी ऐसे निर्देश, जिन्हें वेबसाइट संचालक के बजाय हमलावर चुनता है।

जापान की कंप्यूटर सुरक्षा घटना समन्वय संस्था JPCERT/CC के मुताबिक, यह कोड PHP प्रक्रिया को मिले अधिकारों के साथ चल सकता है। आसान शब्दों में, हमलावर वे काम कर सकता है जिनकी अनुमति वेबसाइट चलाने वाले सॉफ्टवेयर को है। इसका दायरा प्रभावित सिस्टम के अधिकारों और कॉन्फ़िगरेशन पर निर्भर करेगा।

IPA का कहना है कि संगठनों को अपने इस्तेमाल किए जा रहे उत्पादों के डेवलपरों या प्रदाताओं की जानकारी जांचनी चाहिए, क्योंकि PHP किसी बड़े ऐप्लिकेशन या सेवा का हिस्सा हो सकता है। JPCERT/CC ने यह भी चेताया है कि सॉफ्टवेयर उत्पादों या Linux वितरणों के साथ उपलब्ध कराया गया PHP भी प्रभावित हो सकता है, इसलिए प्रतिक्रिया में विक्रेता के निर्देशों को शामिल करना जरूरी है।

सेवाएं बंद होने का सिलसिला कैसे बढ़ा

संचालकों ने 21 अक्टूबर को सिस्टम ऑफलाइन करना शुरू कर दिया था। सुरक्षा अपडेट जापान के समयानुसार रात करीब 11 बजे उपलब्ध हुए। कुछ संचालक अपडेट जारी होने से पहले ही कार्रवाई कर रहे थे, क्योंकि कमजोरियों की सार्वजनिक जानकारी से हमलों का जोखिम बढ़ सकता था।

घटनाक्रम दिखाता है कि सॉफ्टवेयर का जरूरी अपडेट कई दिनों के व्यवधान में कैसे बदल गया:

• 21 अक्टूबर: BASE, Codmon, Pixiv, DMM.com, niconico और Sakura Internet की कुछ सेवाओं में रखरखाव शुरू हुआ या फ़ंक्शन बंद किए गए। Granblue Fantasy और Uma Musume Pretty Derby समेत कुछ गेम भी अस्थायी रूप से बंद हुए।
• 21 अक्टूबर, रात 9:55 बजे: प्रधानमंत्री Sanae Takaichi ने पैच लागू करने की तत्काल तैयारी करने को कहा और कहा कि तुरंत इंस्टॉल करना मुश्किल होने पर वेबसाइटों को अस्थायी रूप से बंद करना एक विकल्प है।
• 21 अक्टूबर, रात करीब 11 बजे: PHP के सुरक्षा अपडेट जारी हुए।
• 22 अक्टूबर: IPA और JPCERT/CC ने कमजोरियों और सुझाई गई प्रतिक्रियाओं की जानकारी देते हुए चेतावनियां जारी कीं।
• 23 अक्टूबर: Assured की गिनती में सेवाओं के बंद होने की संख्या 502 तक पहुंची। PHP के डेवलपरों ने एक और कमजोरी, CVE-2026-115560, का भी खुलासा किया।
• 26 अक्टूबर: Assured की कुल गिनती 1,090 तक पहुंची, जबकि JPCERT/CC ने हमले की कोशिशों की खबरों के साथ अपनी चेतावनी अपडेट की।
• 27 अक्टूबर, दोपहर: Bandai Namco को उम्मीद थी कि खिलौने और अन्य सामान बेचने वाला उसका ऑनलाइन स्टोर फिर खुल जाएगा।

वेबसाइट ऑफलाइन करना एक विकल्प क्यों बना

जापान के राष्ट्रीय साइबर सुरक्षा कार्यालय ने सलाह दी कि अगर संचालक तुरंत पैच इंस्टॉल नहीं कर सकते, तो वेबसाइट को अस्थायी रूप से बंद करने से जोखिम घट सकता है। Takaichi ने 21 अक्टूबर को अपनी अपील में इस विकल्प का जिक्र किया। CERT-EU और ब्रिटेन के राष्ट्रीय साइबर सुरक्षा केंद्र ने भी कार्रवाई करने का आग्रह किया और सुरक्षा उपाय लागू होने तक सिस्टम ऑफलाइन रखने को संभावित प्रतिक्रिया बताया।

IPA के दिशा-निर्देशों में विकल्पों का क्रम दिया गया है। अपडेट या माइग्रेशन की व्यवस्था करते हुए संगठनों को पहले अस्थायी सुरक्षा उपायों और पहुंच पर पाबंदियों पर विचार करना चाहिए। यदि प्रभावी अस्थायी उपाय अपनाना मुश्किल हो, तो संभावित नुकसान और कारोबार में व्यवधान को ध्यान में रखते हुए उन्हें बाहरी पहुंच रोकने या सेवा बंद करने की संभावना का आकलन करना चाहिए।

ग्राहकों के लिए इस फैसले का मतलब था कि संचालकों के काम करते समय रोजमर्रा के फ़ंक्शन उपलब्ध नहीं रहेंगे। कोई शॉपिंग साइट ऑर्डर लेना बंद कर सकती थी, कोई वित्तीय वेबसाइट खाते से जुड़ी प्रक्रियाएं रोक सकती थी और किसी आर्केड मशीन का ऑनलाइन फ़ीचरों से कनेक्शन टूट सकता था।

Assured की जांच का नेतृत्व करने वाले Yasuhiro Suzuki ने कहा कि ग्राहक जानकारी की सुरक्षा के लिए संचालक तेजी से सेवाएं बंद करने का विकल्प चुन रहे थे, जबकि सेवाओं के धीरे-धीरे लौटने से पता चलता था कि उन्हें सुरक्षित रूप से फिर शुरू करना कितना मुश्किल हो सकता है। उनका आकलन संचालन की मुख्य चुनौती बताता है: पहुंच बंद करना जल्दी हो सकता है, लेकिन इसे बहाल करने के लिए जरूरी काम पूरा करना पड़ता है।

पैच लगाना दोबारा शुरू करने का सिर्फ एक हिस्सा है

Bandai Namco में आए व्यवधान से पता चलता है कि एक ही कॉर्पोरेट समूह की सेवाएं अलग-अलग समय पर क्यों लौट सकती हैं। समूह को उम्मीद थी कि उसके सामान बेचने वाला स्टोर 27 अक्टूबर को फिर खुल जाएगा, जबकि आर्केड गेम के कनेक्शन बंद रहे। PHP पैच इंस्टॉल करने के लिए जरूरी सिस्टम में अपडेट करने में समय लग रहा था।

कुछ सेवाएं अस्थायी रूप से डेटा किसी दूसरी कंपनी के सर्वर पर ले जाने पर भी विचार कर रही थीं, जिनकी सुरक्षा जांची जा चुकी थी। इससे प्रभावित परिवेश पर काम जारी रहने के दौरान सेवा के संचालन की जगह बदल जाती, और ग्राहकों की वापसी से पहले तैयारी का एक और चरण जुड़ जाता।

Daiwa Securities ने अपनी वेबसाइट के कुछ हिस्से, जिनमें अक्सर पूछे जाने वाले सवाल भी शामिल थे, बहाल कर दिए थे। लेकिन 26 अक्टूबर को खाते खोलने के आवेदन और पते में बदलाव की प्रक्रिया उपलब्ध नहीं थीं। इस तरह जानकारी देने वाला पेज काम कर रहा था, जबकि ग्राहकों की प्रक्रियाएं बाधित थीं।

IPA बताता है कि लंबे समय तक अपडेट न किए गए सिस्टम में ऐप्लिकेशन कोड बदलने और PHP अपडेट के बाद फ़ंक्शन के काम करने की जांच की जरूरत पड़ सकती है। डेवलपमेंट दस्तावेजों का न होना, सिस्टम की जानकारी रखने वाले कर्मचारियों की कमी और रखरखाव अनुबंधों की अवधि खत्म हो जाना इस काम को कठिन बना सकता है। JPCERT/CC पर्याप्त परीक्षण के बाद सुधारे गए संस्करणों को जल्द इंस्टॉल करने की सलाह देता है।

किन संस्करणों पर ध्यान देना जरूरी है?

IPA और JPCERT/CC ने इन शुरुआती दो कमजोरियों के लिए सुधारे गए PHP के चार संस्करण बताए हैं: PHP 8.2.35, 8.3.36, 8.4.27 और 8.5.12। इन हर शाखा के पुराने संस्करण प्रभावित हैं। संचालकों को अपने सिस्टम में इस्तेमाल हो रही PHP शाखा के अनुरूप सुधार लागू करना चाहिए और अपने सॉफ्टवेयर या ऑपरेटिंग सिस्टम प्रदाता के निर्देश जांचने चाहिए।

पुराने इंस्टॉलेशन एक और समस्या पेश करते हैं। IPA ने सुरक्षा कंपनी Wiz के निष्कर्ष का हवाला दिया है कि PHP 5.4 और उसके बाद के संस्करण इन दोनों कमजोरियों में से कम से कम एक से प्रभावित हैं। PHP 8.1 और इससे पुराने संस्करणों का समर्थन समाप्त हो चुका है, यानी उन्हें समर्थित संस्करणों की तरह नियमित रखरखाव नहीं मिलता।

IPA की सलाह है कि ऐसे में समर्थित PHP संस्करणों पर जाएं या सुरक्षा उपायों वाले उत्पादों और सेवाओं का उपयोग करें, जब सुधार उपलब्ध न हो। JPCERT/CC का कहना है कि कमजोरियों की गंभीरता के कारण PHP के डेवलपरों ने PHP 7.4, 8.0 और 8.1 के लिए सीमित बचाव उपाय दिए हैं।

अस्थायी बचाव उपाय हमले के कुछ खास रास्तों से जोखिम घटाते हैं। JPCERT/CC के मुताबिक, शुरुआती कमजोरियों का समाधान अपडेट करना है। इसलिए अस्थायी सेटिंग इस्तेमाल करने वाले संगठनों को भी अपने सिस्टम के लिए जरूरी सॉफ्टवेयर अपडेट या माइग्रेशन की योजना बनानी होगी।

हमले की कोशिशों से बढ़ी तात्कालिकता

JPCERT/CC ने 26 अक्टूबर को अपनी PHP कमजोरी संबंधी सलाह अपडेट करते हुए कहा कि इन खामियों का फायदा उठाने का दावा करने वाले प्रदर्शन कोड के कई नमूने सामने आए हैं। संस्था ने नेटवर्क ट्रैफिक में हमले की कोशिशों की बार-बार मिली खबरों का भी जिक्र किया।

ऐसे कोड की सफलता PHP संस्करण, निष्पादन परिवेश और मेमोरी में डेटा की व्यवस्था समेत कई कारकों पर निर्भर करती है। JPCERT/CC ने चेताया है कि हमले के और तरीके तथा खास परिवेशों को निशाना बनाने वाली तकनीकें सामने आ सकती हैं। उसने अपडेट करने के साथ संभावित सेंध की जांच करने की भी सलाह दी।

जांच के लिए उसके दिशा-निर्देशों में असामान्य रूप से लंबी या अजीब तरीके से फ़ॉर्मैट की गई PHPSESSID कुकी की जांच शामिल है। इनमें ब्राउज़र के सत्र की पहचान के लिए इस्तेमाल होने वाली जानकारी होती है। अन्य चेतावनी संकेतों में multipart/form-data का उपयोग करने वाले संदिग्ध अनुरोध शामिल हैं। यह फ़ॉर्मैट आम तौर पर फ़ाइल अपलोड के लिए इस्तेमाल होता है, खासकर मेमोरी सीमा संबंधी त्रुटियों या HTTP 500 त्रुटियों के आसपास, जो सर्वर में समस्या का संकेत देती हैं।

PHP वर्कर प्रक्रियाओं का अचानक क्रैश होना या बार-बार रीस्टार्ट होना भी जांच का विषय है। वर्कर वे प्रक्रियाएं हैं जो आने वाले काम संभालती हैं। JPCERT/CC संदिग्ध प्रक्रियाओं, बाहरी संचार और नई बनाई गई फ़ाइलों की जांच करने के साथ लगातार निगरानी की सलाह भी देता है। सेंध का संदेह होने पर वह लॉग और अन्य साक्ष्य सुरक्षित रखने, प्रभावित हिस्से की जांच करने और जरूरत पड़ने पर सिस्टम को अलग करने की सलाह देता है।

तीसरी कमजोरी के लिए सेटिंग बदलना जरूरी

PHP के डेवलपरों ने 23 अक्टूबर को CVE-2026-115560 का खुलासा किया, जिससे प्रतिक्रिया के दौरान एक और काम जुड़ गया। JPCERT/CC का कहना है कि कॉन्फ़िगरेशन सेटिंग और ऐप्लिकेशन कोड के एक खास मेल के तहत यह कमजोरी मनमाना कोड चलाने की अनुमति दे सकती है।

डेवलपरों ने प्रभावित कॉन्फ़िगरेशन को असामान्य बताया और नियमित रिलीज़ चक्र के जरिए सुधार जारी करने की योजना बनाई। तब तक JPCERT/CC ने session.upload_progress.enabled=0 सेट करने और हर वर्कर प्रक्रिया को रीस्टार्ट करने की सलाह दी। 26 अक्टूबर के उसके अपडेट में इस सुधार की रिलीज़ तारीख नहीं दी गई।

इसी सेटिंग को पहले CVE-2026-109619 के बचाव उपाय के तौर पर भी सुझाया गया था। चेतावनी के मुताबिक, जिन संचालकों ने इसे लागू कर दिया था, उन्हें कॉन्फ़िगरेशन का यह चरण दोहराने की जरूरत नहीं थी। सिस्टम की जांच करते समय टीमों को शुरुआती दोनों कमजोरियों के साथ इस अतिरिक्त समस्या का भी ध्यान रखना होगा।

कुछ संगठनों को बड़ा फैसला लेना होगा

IPA की सलाह तत्काल मरम्मत से आगे तक जाती है। वह संगठनों से यह जांचने को कहता है कि कोई सिस्टम अब भी क्या भूमिका निभा रहा है, उसका कितना उपयोग होता है और क्या कोई दूसरी सेवा उसकी जगह ले सकती है। लंबे समय से रखरखाव से वंचित सॉफ्टवेयर को फिर शुरू करने के लिए यह तय करना पड़ सकता है कि आगे उसका समर्थन कौन करेगा।

IPA का कहना है कि तकनीकी कर्मचारियों के साथ कारोबारी प्रबंधकों और अधिकारियों को भी आकलन करना चाहिए कि अपडेट या माइग्रेशन और उसके बाद लगातार संचालन के लिए जरूरी कर्मचारी, बजट और रखरखाव व्यवस्था उपलब्ध कराई जा सकती है या नहीं। जहां ऐसा समर्थन संभव हो, वहां एजेंसी अपडेट करने या सुरक्षित सेवा पर जाने की सलाह देती है।

जहां आगे रखरखाव की व्यवस्था नहीं हो सकती, वहां IPA दूसरे विकल्प गिनाता है: समर्थन वाले उत्पाद पर जाना, फ़ंक्शन कम करना, सार्वजनिक पहुंच समाप्त करना या सिस्टम को बंद कर देना। वह जरूरी डेटा को सुरक्षित रखने या स्थानांतरित करने और उपयोगकर्ताओं को वैकल्पिक व्यवस्था की जानकारी देने की योजना बनाने को भी कहता है।

अब व्यावहारिक चुनौती PHP के खास संस्करण इंस्टॉल करने से लेकर ग्राहकों के अलग-अलग फ़ंक्शन बहाल करने तक फैली है। Bandai Namco के स्टोर को फिर खोलने की तय योजना एक कदम है, जबकि Assured की गिनती में दोबारा खुलने की पुष्टि न हुई 465 सेवाएं दिखाती हैं कि 26 अक्टूबर को सार्वजनिक स्थिति की जांच का कितना काम बाकी था।

मुख्य बातें

• Assured ने 26 अक्टूबर को दोपहर 3 बजे तक जापान में 1,090 सेवाएं बंद होने की गिनती की, जो 23 अक्टूबर के 502 से अधिक थी।
• 465 सेवाओं के दोबारा खुलने की घोषणा की पुष्टि नहीं हुई थी, जो कुल संख्या का करीब 43% है।
• PHP2shell कमजोरियां दूर बैठे हमलावरों को PHP प्रक्रिया के अधिकारों के साथ कोड चलाने की अनुमति दे सकती हैं।
• शुरुआती दो खामियों के सुधारे गए संस्करण PHP 8.2.35, 8.3.36, 8.4.27 और 8.5.12 हैं।
• JPCERT/CC ने प्रकाशित प्रदर्शन कोड और हमले की कोशिशों की खबरों को लेकर चेतावनी दी।
• तीसरी कमजोरी के लिए अस्थायी कॉन्फ़िगरेशन बदलाव और सुधार तैयार होने तक सभी वर्कर प्रक्रियाओं को रीस्टार्ट करना जरूरी है।
• Bandai Namco को उम्मीद थी कि उसका सामान बेचने वाला स्टोर 27 अक्टूबर को दोपहर में फिर खुल जाएगा; 26 अक्टूबर को आर्केड के कुछ कनेक्शन और Daiwa Securities की प्रक्रियाएं अब भी बंद थीं।