Php2shell: कैसे Sweent ने हर क्लाइंट सिस्टम को 12 घंटे से कम समय में पैच किया

21 अक्टूबर, 2026 को, PHP प्रोजेक्ट ने PHP कोर, CVE-2026-109618 और CVE-2026-109619 में दो महत्वपूर्ण खामियों के लिए आपातकालीन सुधार भेज दिए, जिसे सुरक्षा समुदाय ने जल्दी से PHP2Shell नाम दिया। हाल के वर्षों में कुछ खुलासे के कारण इतना खतरा पैदा हुआ है। PHP WordPress, Drupal, Joomla, Magento, WooCommerce और वेब पर कस्टम एप्लिकेशन का एक बड़ा हिस्सा चलाता है, और PHP टीम ने कहा कि बग वेब अनुरोधों को पूरा करने वाले हर PHP इंस्टॉलेशन को प्रभावित करते हैं।

जैसे ही हमें समस्या का पता चला, हमारी टीम आगे बढ़ गई। 12 घंटों के अंदर, Sweent ने हर उस सिस्टम को पैच कर दिया, जिसके लिए हम जिम्मेदार हैं, हमारे अपने और हमारे क्लाइंट' फिर हमने घुसपैठ या समझौता करने की कोशिश के संकेतों के लिए उन सभी सिस्टम को स्कैन किया।

PHP2Shell क्या है

दोनों कमजोरियों में 10 में से 9.2 का CVSS v4.0 स्कोर है। वे एक हमलावर को सर्वर पर कोड चलाने देते हैं** बिना लॉग इन किए, PHP प्रक्रिया के समान अनुमतियों के साथ। व्यवहार में इसका मतलब यह हो सकता है कि चोरी किया गया डेटा, एक विकृत वेबसाइट, या एक छिपा हुआ बैकडोर जो मूल हमले के बाद लंबे समय तक जीवित रहता है।

• CVE-2026-109618 इस बात से आता है कि PHP कैसे मेमोरी खत्म हो रही है, जिससे अनुरोध डेटा को केवल आंशिक रूप से सेट किया जा सकता है।
• CVE-2026-109619 अनुरोध स्थिति से आता है जो इसकी मेमोरी को मुक्त करने के बाद भी बनी रहती है।

फिक्स्ड रिलीज़ PHP 8.5.12, 8.4.27, 8.3.36 और 8.2.35 हैं। PHP 8.1 और पुराने को अब PHP प्रोजेक्ट से नियमित सुरक्षा अपडेट प्राप्त नहीं होते हैं, इसलिए उन संस्करणों पर अभी भी साइटों को अपग्रेड करने की आवश्यकता है, न कि केवल एक पैच की।

इंडस्ट्री क्यों घबरा गई

यह खुलासा योजना के अनुसार नहीं किया गया। निर्धारित रिलीज़ से पहले विवरण लीक हो गया था, इसलिए रक्षक और हमलावर एक ही समय में दौड़ रहे थे। Cloudflare ने घंटों के भीतर शुरुआती हमले के ट्रैफ़िक की सूचना दी, और सुरक्षा फर्मों ने सक्रिय शोषण के प्रयासों की सूचना दी।

सरकारी एजेंसियों ने तुरंत जवाब दिया:

• CISA ने हर संगठन से अपने PHP सिस्टम को इन्वेंट्री करने और तुरंत पैच करने का आग्रह किया। जो कुछ भी अपडेट नहीं किया जा सकता है, जिसमें PHP 8.1 और पुराने शामिल हैं, को ऑफ़लाइन लिया जाना चाहिए।
• यूके के नेशनल साइबर सिक्योरिटी सेंटर ने सिस्टम को ऑफलाइन लेने की सलाह दी, जब तक कि उन्हें पूरी तरह से कम नहीं किया जा सकता।
• CERT-EU ने संगठनों से कहा कि वे सार्वजनिक नेटवर्क से इंटरनेट-फ़ेसिंग PHP अनुप्रयोगों को अलग करने पर विचार करें।
• NSA ने अपनी चेतावनी जारी की जिसमें साइटों को ऑफ़लाइन लेने का विकल्प भी उठाया गया।

बड़े संगठनों ने कठोर कदम उठाए। विकिपीडिया के कुछ हिस्से अस्थायी रूप से ऑफ़लाइन हो गए, जैसे कि पिनबोर्ड, 4चान और समथिंग एवफुल, जब वे पैच का इंतजार कर रहे थे। डोमेन रजिस्ट्रार NameSilo ने कथित तौर पर अपने पूरे ग्राहक पोर्टल को ऑफ़लाइन ले लिया, जिसमें एक रखरखाव नोटिस दिखाया गया था, जिसमें इस कदम को PHP की खामियों के खिलाफ एहतियात के रूप में वर्णित किया गया था। नोटिस के अनुसार, पैच इंस्टॉल होने और सुरक्षा जांच पूरी होने के बाद ही एक्सेस वापस आएगा। जब उस आकार की कंपनियां जोखिम के बजाय डाउनटाइम चुनती हैं, तो खतरा वास्तविक होता है।

Sweent ने क्या किया

जब इस आकार की भेद्यता आती है, तो पहले घंटे सबसे ज्यादा मायने रखते हैं। यहां बताया गया है कि हमने इसे कैसे संभाला।

1। इन्वेंटरी. हमने हर उस सर्वर, कंटेनर और एप्लिकेशन को सूचीबद्ध किया है जिसे हम प्रबंधित करते हैं जो PHP चलाता है, जिसमें PHP एम्बेड करने वाला सॉफ़्टवेयर भी शामिल है और जिसे अनदेखा करना आसान है।
2। पैच. हमने हर एक को एक निश्चित PHP रिलीज़ में अपग्रेड किया है, जो इंटरनेट-फ़ेसिंग सिस्टम से शुरू होता है। जहां एक क्लाइंट एक असमर्थित PHP संस्करण पर था, हमने इसे एक समर्थित संस्करण में अपग्रेड किया है।
3। सत्यापित करें. पैच किए गए बिल्ड को चलाने की पुष्टि करने के लिए हमने अपडेट के बाद हर सिस्टम की जाँच की। एक पैच केवल तभी गिना जाता है जब उत्पादन में इसकी पुष्टि हो जाती है, न कि शेड्यूल किए जाने पर।
4। घुसपैठ के लिए स्कैन करें. पैचिंग से दरवाजा बंद हो जाता है, लेकिन यह आपको यह नहीं बताता है कि कोई पहले से अंदर आया है या नहीं। क्योंकि पैच विंडो से पहले और उसके दौरान हमले शुरू हुए थे, इसलिए हमने घुसपैठ या प्रवेश की कोशिश के संकेतों के लिए हर उस सिस्टम को स्कैन किया जिसे हम प्रबंधित करते हैं। इसमें PHP कर्मचारियों द्वारा शुरू की गई अप्रत्याशित प्रक्रियाएँ, वेब निर्देशिकाओं में नई या संशोधित फ़ाइलें, अपरिचित व्यवस्थापक खाते और लॉग में संदिग्ध अनुरोध शामिल थे।

यह सब समस्या के बारे में पता चलने के 12 घंटे से कम समय में किया गया था।

यदि आप Sweent क्लाइंट हैं

आप पहले से ही PHP2Shell से सुरक्षित हैं. Sweent द्वारा प्रबंधित प्रत्येक सिस्टम को घुसपैठ या उल्लंघन के संकेतों के लिए पैच और स्कैन किया गया है। आपको कुछ भी करने की ज़रूरत नहीं है। यदि किसी विशिष्ट साइट या सर्वर के बारे में आपके कोई प्रश्न हैं, तो अपनी Sweent टीम से संपर्क करें और हम आपको बताएंगे कि आपके सिस्टम पर क्या किया गया था।

यदि आप Sweent क्लाइंट नहीं हैं

इंतज़ार न करें। यहां बताया गया है कि अब क्या करना चाहिए:

1। PHP चलाने वाले हर सिस्टम को ढूंढें, जिसमें प्लगइन्स, उपकरण और विक्रेता सॉफ़्टवेयर शामिल हैं, जो इसके साथ शिप किए जाते हैं।
2। PHP 8.5.12, 8.4.27, 8.3.36 या 8.2.35 में अपडेट करें, या यदि आप 8.1 या उससे अधिक उम्र के हैं तो अपग्रेड करें।
3। पुष्टि करें कि अपडेट लाइव है. अपने होस्ट या IT प्रदाता से यह पुष्टि करने के लिए कहें कि यह इंस्टॉल किया गया है, न कि केवल शेड्यूल किया गया है।
4। अगर आप तुरंत पैच नहीं कर सकते हैं, तो सिस्टम को ऑफ़लाइन ले जाएं. वेब एप्लिकेशन फ़ायरवॉल एक्सपोज़र को कम कर सकता है, लेकिन यह एक स्टॉपगैप है, फिक्स नहीं।
5। समझौता के संकेतों की तलाश करें. PHP प्रक्रियाओं, वेब निर्देशिकाओं में नई फ़ाइलों और नए व्यवस्थापक खातों द्वारा लॉन्च किए गए शेल या डाउनलोड की जांच करें।

अगर आपको इनमें से किसी के लिए भी मदद चाहिए, [Sweent से बात करें] (https://sweent.com/contact)। हम आपके सिस्टम को उसी तरह पैच, वेरिफाई और स्कैन कर सकते हैं जैसे हमने अपने क्लाइंट्स के लिए किया था।

**स्रोत: ** [CISA अलर्ट] (https://www.cisa.gov/news-events/alerts/2026/10/21/critical-vulnerabilities-php-require-immediate-patching) · [मालवेयरबाइट्स] (https://www.malwarebytes.com/blog/bugs/2026/10/php2shell-why-websites-are-going-offline-for-emergency-security-updates) · [NBC News] (https://www.nbcnews.com/tech/security/critical-vulnerabilities-php-update-systems-rcna604751) · [Qualys] (https://blog.qualys.com/vulnerabilities-threat-research/2026/10/20/php-announces-critical-security-release-for-two-vulnerabilities) · [द नेक्स्ट वेब] ( https://thenextweb.com/news/php-vulnerability-cert-eu-websites-offline