PHP डेवलपर्स ने 21 अक्टूबर को PHP2Shell नाम से पहचानी जा रही दो गंभीर सुरक्षा खामियों के लिए आपातकालीन पैच जारी किए। दोनों कमजोरियों को 10 में 9.2 की गंभीरता रेटिंग मिली है। इनके जरिए हमलावर बिना पासवर्ड के प्रभावित सर्वर तक पहुंच बना सकते हैं, संवेदनशील जानकारी चुरा सकते हैं और संभावित रूप से वेबसाइट का नियंत्रण अपने हाथ में ले सकते हैं।
जोखिम केवल क्रिप्टो सेवाओं तक सीमित नहीं है। Cloudflare ने पुष्टि की है कि उसके कुछ ग्राहकों को निशाना बनाकर इन कमजोरियों का फायदा उठाने की कोशिश की गई है। एहतियात के तौर पर कुछ यूरोपीय सरकारी वेबसाइटों को अस्थायी रूप से ऑफलाइन भी किया गया। क्रिप्टो कंपनियों के लिए पैच लगाने की गति महत्वपूर्ण है, क्योंकि कई प्लेटफॉर्म अकाउंट लॉगिन, भुगतान अनुरोध और प्रशासनिक कार्यों के लिए PHP पर निर्भर हैं।
PHP की मेमोरी प्रोसेसिंग से खुलता है रास्ता
PHP एक सर्वर-साइड सॉफ्टवेयर है, जिसका इस्तेमाल बड़ी संख्या में वेबसाइटें उपयोगकर्ता अनुरोधों को प्रोसेस करने के लिए करती हैं। जब कोई उपयोगकर्ता लॉगिन करता है, भुगतान भेजता है या वेबसाइट के किसी फीचर का इस्तेमाल करता है, तो उस प्रक्रिया में PHP अक्सर बैकएंड डेटा संभालता है। शोधकर्ताओं ने पाया कि हमलावर PHP के कंप्यूटर मेमोरी प्रोसेस करने के तरीके में हेरफेर कर ऐसी जानकारी तक पहुंच बना सकते हैं, जिसे सुरक्षित रहना चाहिए।
Wiz Research के अनुसार, सफल हमले में पासवर्ड, ऑथेंटिकेशन टोकन और API कुंजियां उजागर हो सकती हैं। ये डिजिटल क्रेडेंशियल वेबसाइट खातों से जुड़े हो सकते हैं और संबंधित थर्ड-पार्टी सेवाओं तक भी पहुंच दे सकते हैं। डिजिटल एसेट संभालने या क्रिप्टो भुगतान प्रोसेस करने वाली वेबसाइटों में चोरी हुए क्रेडेंशियल का असर शुरुआती रूप से प्रभावित सर्वर से आगे तक जा सकता है।
पेमेंट गेटवे और छोटे एक्सचेंजों की जांच जरूरी
तीन तरह की सेवाओं की विशेष रूप से समीक्षा की जानी चाहिए। पहली श्रेणी क्रिप्टो पेमेंट गेटवे की है। PHP-आधारित पेमेंट इंटीग्रेशन इस्तेमाल करने वाले मर्चेंट, खासकर WooCommerce से जुड़े इंटीग्रेशन, अपडेट न किए गए सर्वर होने पर जोखिम में आ सकते हैं। सार्वजनिक रिकॉर्ड के अनुसार Binance Pay, Crypto.com Pay, BitPay, CoinGate और CoinPayments WooCommerce इंटीग्रेशन उपलब्ध कराते हैं। हालांकि, केवल इन इंटीग्रेशन की मौजूदगी से यह साबित नहीं होता कि इन कंपनियों का इंफ्रास्ट्रक्चर कमजोर है।
दूसरी श्रेणी छोटे क्रिप्टोकरेंसी एक्सचेंजों की है। यदि किसी एक्सचेंज का अकाउंट पोर्टल या भुगतान सिस्टम प्रभावित PHP वातावरण पर चलता है, तो सफल सर्वर समझौते में ग्राहक जानकारी और संवेदनशील क्रेडेंशियल उजागर हो सकते हैं। बड़े प्लेटफॉर्मों की तुलना में छोटे प्रदाताओं को पहले यह पुष्टि करनी पड़ सकती है कि उनकी वेबसाइट, एडमिन पैनल और थर्ड-पार्टी प्लगइन अभी भी प्रभावित PHP संस्करणों का इस्तेमाल कर रहे हैं या नहीं। बड़े प्लेटफॉर्म आमतौर पर अधिक व्यापक नेटवर्क आइसोलेशन और पैचिंग प्रक्रियाएं अपनाते हैं।
तीसरी श्रेणी DeFi और वॉलेट वेबसाइटों की है। यदि किसी साइट के इंटरफेस में बदलाव कर दिया जाए, तो हमलावर उपयोगकर्ताओं को फर्जी वॉलेट पते पर भेज सकते हैं या उनसे दुर्भावनापूर्ण ट्रांजैक्शन को मंजूरी दिलाने की कोशिश कर सकते हैं। अभी तक PHP2Shell के जरिए ऊपर बताए गए पेमेंट प्रदाताओं या प्रमुख एक्सचेंजों के हैक होने की कोई सत्यापित जानकारी नहीं है।
ब्लॉकचेन नेटवर्क और ऑफलाइन कुंजियां सीधे प्रभावित नहीं
वेबसाइट स्तर के जोखिम को ब्लॉकचेन इंफ्रास्ट्रक्चर और सुरक्षित तरीके से रखी गई परिसंपत्तियों की सुरक्षा से अलग समझना जरूरी है। PHP2Shell सीधे PHP चलाने वाले वेबसाइट सर्वरों को निशाना बनाता है। यह सीधे तौर पर ब्लॉकचेन नेटवर्क, स्मार्ट कॉन्ट्रैक्ट या ऑफलाइन हार्डवेयर वॉलेट में सुरक्षित रखी गई प्राइवेट कुंजियों को प्रभावित नहीं करता।
इसी तरह, किसी क्रिप्टो पेमेंट उत्पाद में PHP या WooCommerce इंटीग्रेशन होने भर से यह साबित नहीं होता कि कंपनी के मुख्य ट्रांजैक्शन सिस्टम पर हमला हुआ है। वास्तविक जोखिम इस बात पर निर्भर करता है कि कोई खास सर्वर प्रभावित संस्करण चला रहा है या नहीं, पैच लगाया गया है या नहीं, और अकाउंट सिस्टम, पेमेंट इंटरफेस तथा प्रशासनिक कार्यों को पर्याप्त रूप से अलग रखा गया है या नहीं।
बड़े एक्सचेंजों का जोखिम अपेक्षाकृत कम हो सकता है, यदि उन्होंने समय पर पैच लागू कर दिए हों या महत्वपूर्ण इंफ्रास्ट्रक्चर को कमजोर वेब सेवाओं से अलग रखा हो। Kraken ने कहा है कि उसके मुख्य बैकएंड को PHP से Rust में स्थानांतरित करने का काम 2025 में पूरा हो गया। इसलिए उसके मुख्य बैकएंड और इन कमजोरियों के बीच सीधा संबंध किसी वेबसाइट की तकनीकी पहचान देखकर नहीं, बल्कि संबंधित डिप्लॉयमेंट वातावरण के आधार पर तय किया जाना चाहिए।
उपयोगकर्ता एक्सचेंज सर्वर पर खुद पैच नहीं लगा सकते
PHP सुरक्षा सुधार वेबसाइट ऑपरेटर, पेमेंट प्रदाता या होस्टिंग इंफ्रास्ट्रक्चर प्रदाता ही लागू कर सकते हैं। सामान्य उपयोगकर्ता किसी एक्सचेंज के सर्वर पर सीधे पैच इंस्टॉल नहीं कर सकते। वे यह देख सकते हैं कि प्लेटफॉर्म सुरक्षा अपडेट जारी करता है या नहीं, और असामान्य लॉगिन अलर्ट, पासवर्ड रीसेट संदेश तथा वॉलेट पते में बदलाव को सावधानी से जांच सकते हैं। संदिग्ध पेजों पर एक्सचेंज पासवर्ड या API कुंजी दर्ज करने और अनजान ट्रांजैक्शन को मंजूरी देने से भी बचना चाहिए।
अब तक पुष्ट तथ्य यह हैं कि PHP डेवलपर्स ने दो कमजोरियों के लिए आपातकालीन सुधार जारी किए हैं, Cloudflare ने अपने ग्राहकों को निशाना बनाकर शोषण के प्रयासों की पहचान की है और कुछ यूरोपीय सरकारी वेबसाइटें अस्थायी रूप से बंद की गई हैं। किसी खास एक्सचेंज, पेमेंट गेटवे या वॉलेट वेबसाइट पर जोखिम है या नहीं, यह उसके सर्वर संस्करण, पैच की स्थिति और नेटवर्क आइसोलेशन उपायों पर निर्भर करेगा। केवल PHP इंटीग्रेशन की मौजूदगी से जोखिम का निर्धारण नहीं किया जा सकता।