PHP Foundation ने स्वीकार किया है कि निर्णय लेने से जुड़ी समस्याओं और सीमित संसाधनों के कारण 2024 में पहली बार पहचानी गई एक खामी के लिए PHP सुरक्षा सुधार में देरी हुई। बुधवार को इससे जुड़ी दो गंभीर कमजोरियों के लिए आपातकालीन पैच जारी किए जाने के बाद, सरकारी एजेंसियों और अन्य संगठनों ने एहतियातन वेबसाइटें ऑफलाइन कर दीं।
मुख्य बातें
- फाउंडेशन ने देरी से हुई प्रतिक्रिया को अपनी सुरक्षा प्रक्रिया और संसाधनों से जुड़ी संरचनात्मक विफलता बताया।
- इन कमजोरियों के चलते बिना प्रमाणीकरण वाले हमलावर प्रभावित सर्वरों पर कोड चला सकते थे।
- क्रिप्टो संगठनों ने अपने संभावित जोखिम की समीक्षा की, जबकि Coinbase और BitGo ने बताया कि उनका कोई सिस्टम प्रभावित नहीं था।
विषय-सूची
- अनुकूलता और कर्मचारियों की कमी के कारण PHP सुरक्षा सुधार अटका
- सार्वजनिक सेवाओं में एहतियाती बंदी का दायरा बढ़ा
- क्रिप्टो कंपनियों ने संभावित जोखिम का आकलन किया
- एक्सप्लॉइट की स्थिति और प्रदर्शित जोखिम अलग-अलग बने हुए हैं
- निष्कर्ष
अनुकूलता और कर्मचारियों की कमी के कारण PHP सुरक्षा सुधार अटका
फाउंडेशन के विवरण से ध्यान इस बात पर जाता है कि एक ज्ञात तकनीकी चिंता महीनों तक अनसुलझी कैसे रही। डेवलपर्स ने 2024 में कमजोरी के संकेत पहचाने, लेकिन ऐसा समाधान ढूंढने में उन्हें कठिनाई हुई जिससे PHP पर बने व्यापक सॉफ्टवेयर इकोसिस्टम में व्यवधान न आए। PHP वेबसाइटों और वेब एप्लिकेशनों में व्यापक रूप से इस्तेमाल की जाने वाली भाषा है।
उस समय तक डेवलपर्स ने रिमोट कोड एक्ज़ीक्यूशन का कोई तरीका स्थापित नहीं किया था। फाउंडेशन के अनुसार, PHP इंजन का आवश्यक ज्ञान रखने वाला छोटा समूह अन्य जिम्मेदारियों में भी व्यस्त था, जिसके चलते सुधार पर काम बार-बार रुकता और फिर शुरू होता रहा।
उसने इस देरी को सुरक्षा टीम की निर्णय प्रक्रिया और अपर्याप्त संसाधनों, दोनों के कारण हुई “संरचनात्मक विफलता” बताया।
11 अगस्त को सुरक्षा फर्म Calif और OpenAI ने स्वतंत्र रूप से इसी मूल समस्या की जानकारी दी, जिसके बाद यह मुद्दा सुरक्षा की सर्वोच्च प्राथमिकता बन गया। Calif ने बिना किसी शर्त के रिमोट कोड एक्ज़ीक्यूशन का प्रदर्शन किया।
सार्वजनिक सेवाओं में एहतियाती बंदी का दायरा बढ़ा
आपातकालीन अपडेट जारी होने के बाद कई देशों में व्यवधान हुआ, क्योंकि ऑपरेटरों ने अपडेट तैयार करते समय सेवाओं को डिस्कनेक्ट कर दिया। नीदरलैंड ने अपनी डिजिटल पहचान सेवा बंद कर दी और उसके राष्ट्रीय साइबर सुरक्षा केंद्र ने भी अपनी वेबसाइट ऑफलाइन कर दी।
फ़िनलैंड के सरकारी आईटी प्रदाता Valtori ने सरकार की सार्वजनिक वेब सेवाओं को डिस्कनेक्ट कर दिया, जबकि फ्रांस के गृह मंत्रालय ने प्रीफेक्चर की वेबसाइटें अस्थायी रूप से सेवा से हटा दीं। जर्मनी के संघीय आईटी प्रदाता ITZBund ने भी कई वेबसाइटें बंद कर दीं।
ऑस्ट्रेलिया के Signals Directorate ने कहा कि PHP समस्या से प्रभावित सरकारी वेबसाइटों में cyber.gov.au भी शामिल थी। जापान की प्रधानमंत्री Sanae Takaichi ने ऑपरेटरों से तेजी से पैच लगाने की तैयारी करने का आग्रह किया और कहा कि जब तत्काल अपडेट संभव न हों, तो वेबसाइट के कार्यों को अस्थायी रूप से निलंबित करने से जोखिम कम हो सकता है।
Wikimedia Foundation ने भी Toolforge और Cloud VPS समेत सहायक सेवाएं ऑफलाइन कर दीं, जिससे बुधवार को Wikipedia के कुछ कार्य प्रभावित हुए।
क्रिप्टो कंपनियों ने संभावित जोखिम का आकलन किया
ब्लॉकचेन सुरक्षा फर्म SlowMist ने कहा कि उसकी MistEye सेवा ने जांचे गए क्रिप्टो उद्योग के 1,488 डोमेन में से 793 पर PHP के प्रत्यक्ष फिंगरप्रिंट पाए। उसने एक्सचेंजों, DeFi प्लेटफॉर्मों और वॉलेट प्रदाताओं से अपने जोखिम की समीक्षा करने और अपग्रेड करने का आग्रह किया। निष्कर्षों से PHP का इस्तेमाल होने की पहचान हुई, न कि यह पुष्टि कि वे डोमेन कमजोरियों से प्रभावित थे।
Cardano के विकास और गवर्नेंस को समर्थन देने वाले सदस्यता संगठन Intersect ने संभावित जोखिम का आकलन करते समय अपना Members Area अस्थायी रूप से बंद कर दिया।
Coinbase के मुख्य सुरक्षा अधिकारी Jeff Lunglhofer ने कहा कि कंपनी को PHP के ऐसे इंस्टेंस का कोई सबूत नहीं मिला जो जोखिम में हों और वह तीसरे पक्ष के आपूर्तिकर्ताओं से भी जांच कर रही थी। BitGo ने अलग से कहा कि उसका प्लेटफॉर्म प्रभावित नहीं था।
एक्सप्लॉइट की स्थिति और प्रदर्शित जोखिम अलग-अलग बने हुए हैं
रिमोट कोड एक्ज़ीक्यूशन के जोखिम का प्रदर्शन किए जाने के बावजूद, PHP की सुरक्षा टीम ने कहा कि सार्वजनिक खुलासे के समय तक उसे कोई कार्यशील एक्सप्लॉइट नहीं मिला था।
OpenAI ने GitHub के माध्यम से Codex skill जारी किया, ताकि ऑपरेटर संभावित रूप से कमजोर PHP संस्करणों की जांच कर सकें और लागू अपडेट पहचान सकें।
निष्कर्ष
आपातकालीन पैच तत्काल कमजोरियों को दूर करते हैं, जबकि फाउंडेशन की स्वीकारोक्ति उस प्रक्रिया की विफलताओं को उजागर करती है जिसके कारण उनमें देरी हुई। रिपोर्ट की गई बंदियां एहतियाती कदम थीं, इस बात का सबूत नहीं कि प्रभावित संगठनों के सिस्टम से छेड़छाड़ हुई थी।
और खबरें पढ़ें
अस्वीकरण
FinanceVelix का यह लेख सामान्य जानकारी प्रदान करता है, व्यक्तिगत वित्तीय, निवेश, कानूनी या कर संबंधी सलाह नहीं। बाजार मूल्य, ब्याज दरें और आर्थिक स्थितियां बदल सकती हैं; निवेश में नुकसान का जोखिम होता है। तथ्य प्रकाशन के समय उपलब्ध सामग्री पर आधारित हैं और बदल सकते हैं। महत्वपूर्ण जानकारी की स्वतंत्र रूप से पुष्टि करें और जरूरत पड़ने पर किसी योग्य पेशेवर से सलाह लें। किसी परिसंपत्ति, कंपनी या सेवा का उल्लेख समर्थन या सिफारिश नहीं है।
