यूरोप की साइबर इमरजेंसी टीम ने उन वेबसाइट्स को सलाह दी है, जो दो क्रिटिकल PHP vulnerabilities को पैच नहीं कर सकती, कि वे ऑफलाइन होने पर विचार करें। इन दोनों खामियों के जरिए अटैकर्स बिना लॉगिन किए वेब सर्वर को पूरी तरह कंट्रोल कर सकते हैं।
PHP बहुत बड़ी संख्या में वेबसाइट्स के पीछे काम करता है, जैसे WordPress ब्लॉग्स और Magento ऑनलाइन स्टोर्स। लेकिन, दोनों vulnerabilities की डिटेल्स इंटरनेट पर लीकेज हो गईं, जबकि इनके फिक्स तैयार नहीं थे।
Attackers ने पहले ही शुरुआत कर दी
लीक की खबर 20 अक्टूबर को सामने आई, जो कि प्लान्ड डिस्क्लोजर से पहले था, Huntress ने बताया। इसके बाद PHP Foundation की सिक्योरिटी टीम ने इसका रिलीज 21 अक्टूबर 14:00 UTC को शेड्यूल किया।
Huntress के मुताबिक, सिक्योरिटी फर्म watchTowr ने इन दोनों बग्स में से एक को रिप्रोड्यूस किया है। Huntress ने खुद कहा कि उसने अभी तक अपने कस्टमर्स के सिस्टम्स में इसके कोई exploitation नहीं देखे हैं।
इसके उलट, Cloudflare के चीफ टेक्नोलॉजी ऑफिसर Dane Knecht ने कहा कि अटैक्स शुरू हो चुके हैं। उनकी कंपनी ने सभी कस्टमर्स (यहां तक कि फ्री यूजर्स) के लिए पहचाने गए अटैक पाथ्स पर फायरवॉल रूल्स डिप्लॉय कर दिए हैं।
हमने शुरुआती अटैक्स देखे हैं और जैसे ही नए अटैक वेक्टर सामने आ रहे हैं, हम अपनी mitigations अपडेट कर रहे हैं। यह सिर्फ एक STOPGAP है।
Knecht ने यह चेतावनी X पर एक पोस्ट में शेयर की।
European Union Computer Emergency Response Team (CERT-EU) और ऑस्ट्रेलिया की साइबर एजेंसी दोनों ने चेतावनी दी है कि यह PHP vulnerabilities, PHP 5 से लेकर आज तक के हर वर्जन को प्रभावित कर सकती है, Reuters के अनुसार।
कुछ रिसर्चर्स को उम्मीद है कि फिक्स सिर्फ सपोर्टेड PHP 8 वर्जन्स के लिए ही रिलीज होंगे, Huntress ने नोट किया। इसका मतलब है कि पुराने, अन-सपोर्टेड PHP वर्जन्स पर चल रही साइट्स के लिए कोई पैच नहीं मिल सकता।
यह अलर्ट ऐसे समय में आया है जब कुछ हफ्ते पहले ही 100 से ज्यादा कंपनियों ने AI साइबर अटैक्स के तेजी से बढ़ने की चेतावनी दी थी।
वेबसाइट ओनर्स के लिए PHP vulnerabilities का क्या मतलब है?
W3Techs के डेटा के मुताबिक, जिन वेबसाइट्स की सर्वर-साइड लैंग्वेज कंफर्म है, उनमें से लगभग 69% PHP का यूज करती हैं। सिर्फ WordPress ही लगभग 40% वेबसाइट्स को पावर देता है।
CERT-EU ने कहा कि इसकी severity स्कोर 9.2 है, जिससे यह साफ है कि यह unauthenticated remote code execution है। यानी, कोई भी outsider बिना लॉगिन किए सर्वर पर खतरनाक कोड चला सकता है।
वेब होस्ट GoDaddy ने चेतावनी दी है कि अटैकर डेटा चुरा सकते हैं, वेबसाइट को डिफेस कर सकते हैं, या पूरे सिस्टम को कंट्रोल कर सकते हैं। चोरी हुए डेटा की असली कीमत होती है, जैसा कि South Korean बैंक ब्रीच में देखा गया था।
सिक्योरिटी प्लगइन Wordfence ने नोट किया है कि हर WordPress साइट PHP सर्वर पर ही चलती है। लेकिन WordPress की ऑटोमैटिक अपडेट्स PHP वलनरेबिलिटीज़ को फिक्स नहीं कर पाती है। इसलिए साइट ओनर्स को ये पता करना जरूरी है कि उनके लिए PHP कौन मैनेज करता है।
हर रोज़ के इन्फ्रास्ट्रक्चर पर अटैक बढ़ते जा रहे हैं, जैसा कि French सुपरमार्केट फ्रिज हैक ने अक्टूबर में दिखाया था। ये PHP वलनरेबिलिटीज़ अब ये प्रेशर वेब के सॉफ्टवेयर लेयर पर ला रही हैं, जहां एक सर्वर अपडेट स्किप करने से ही सिस्टम खुल सकता है।
