--- title: PHP2Shell url: https://ftrlg.com/hi/wiki/php2shell/ lang: hi published: 2026-10-26 version: 1 summary: PHP की दो क्रिटिकल कमज़ोरियाँ, जो AI की मदद से मिलीं: सुधार 21.10.2026 को आए, लेकिन लीक ने खुलासे को बिगाड़ दिया, और हमले रिलीज़ से पहले ही शुरू हो गए। cite_as: "future.log, «PHP2Shell», https://ftrlg.com/hi/wiki/php2shell/" license: CC BY 4.0 https://creativecommons.org/licenses/by/4.0/ --- # PHP2Shell **PHP2Shell** (अंग्रेज़ी *PHP2Shell*) — PHP इंटरप्रेटर की दो क्रिटिकल कमज़ोरियों, CVE-2026-109618 और CVE-2026-109619, का साझा नाम, जिन्हें 21 अक्टूबर 2026 को ठीक किया गया। इनके ज़रिए कुछ शर्तों के तहत सिस्टम में लॉग इन किए बिना सर्वर पर कोड चलाया जा सकता था; वेब अनुरोधों को संभालने वाले PHP इंस्टॉलेशन प्रभावित हैं, और सबसे ज़्यादा जोखिम mod_php मॉड्यूल वाले Apache को है। दोनों को CVSS 4.0 पैमाने पर 9.2 अंक मिले। जिन वेबसाइटों के सर्वर-साइड की भाषा पता है, उनमें से 69.2% PHP पर चलती हैं।[^1][^2][^19] PHP Foundation के मुताबिक़, इनमें से एक ग़लती के पहले संकेत 2024 में ही मिल गए थे, लेकिन सुधार अटक गया। 2026 में इन कमज़ोरियों को AI की मदद से एक-दूसरे से स्वतंत्र रूप से ढूँढा: [OpenAI](https://ftrlg.com/hi/models/openai/) के Patch the Planet कार्यक्रम के तहत कंपनी Calif ने, ख़ुद OpenAI ने और Wiz ने। सुधारों की समन्वित रिलीज़ को लीक ने बिगाड़ दिया, और Amazon के डेटा के मुताबिक़ हमले की पहली कोशिश खुलासे से चार दिन पहले हुई। 25 अक्टूबर तक सेंधमारी का कोई पुष्ट मामला नहीं है; जो सर्विस अब भी असुरक्षित हैं, उनमें से ज़्यादातर PHP के ऐसे वर्शन पर चल रही हैं, जिनके लिए कोई आधिकारिक सुधार नहीं है।[^1][^7][^10][^18] ## इतिहास - **2024** Quarkslab कई सालों में PHP का पहला बाहरी सुरक्षा ऑडिट करती है; इसके लिए पैसा PHP Foundation को Sovereign Tech Agency से मिला। उसकी एक खोज को ठीक करते हुए PHP का एक डेवलपर मेमोरी की कमी से जुड़ी समस्या के पहले संकेत देखता है, जो बाद में CVE-2026-109618 बनेगी। सुधार महीनों तक अटका रहता है।[^1] - **22.06.2026** OpenAI, Patch the Planet कार्यक्रम की घोषणा करती है: कंपनी Trail of Bits के साथ मिलकर ओपन सोर्स मेंटेनरों को कमज़ोरियाँ ढूँढने और ठीक करने में मदद करना।[^5] - **11.08.2026** Calif, जो 30 जुलाई से Patch the Planet के तहत PHP की जाँच कर रही थी, PHP की सुरक्षा टीम को पहली कमज़ोरी की सूचना देती है। इस दिन से इसे ठीक करना PHP Foundation की टीम का सबसे बड़ा काम बन जाता है। OpenAI ने स्वतंत्र रूप से उसी मूल कारण की सूचना दी, और 18 सितंबर को — हमले के नए रास्तों की।[^1][^3] - **24.08.2026** Wiz अपनी खोजों की सूचना PHP को देती है। पहली खोज उसने 19 अगस्त को अपने टूल Wiz Atlas और मॉडलों Gemini 4 Argon व GPT-5.6 Sol की मदद से की थी, और लॉग इन किए बिना कोड चलाने की पुष्टि Drupal और WordPress पर की।[^4] - **20.10.2026** तय रिलीज़ से दो दिन पहले CVE नंबर इंटरनेट पर लीक हो जाते हैं; Calif ग़लती से काम करते एक्सप्लॉइट का वीडियो प्रकाशित कर देती है। रिलीज़ एक दिन पहले कर दी जाती है।[^1] - **21.10.2026** PHP वर्शन 8.5.12, 8.4.27, 8.3.36 और 8.2.35 जारी करता है। 8.1, 8.0 और 7.4 के लिए टीम सोर्स कोड में सिर्फ़ न्यूनतम सुधार प्रकाशित करती है; उनके लिए कोई आधिकारिक वर्शन नहीं है।[^1][^2] - **23.10.2026** PHP उसी तरह की तीसरी कमज़ोरी, CVE-2026-115560, की सूचना देता है: यह अपडेट किए गए वर्शनों पर भी असर डालती है, लेकिन सिर्फ़ असामान्य सेटिंग में, इसलिए इसका सुधार सामान्य क्रम में आएगा।[^2] ## डेटा **कौन सुधार के बिना रह गया।** Censys हर दिन इंटरनेट से पहुँच में आने वाली PHP सर्विसों को उन वर्शनों के हिसाब से गिनती है, जो वे अपने बारे में बताती हैं। इकाई सर्विस है, सर्वर या वेबसाइट नहीं: अलग-अलग कंपनियों की गिनतियों में दसियों गुना का फ़र्क़ होता है, इसलिए सिर्फ़ एक ही तालिका की पंक्तियों की तुलना की जा सकती है। वर्शन सभी नहीं बताते: 25 अक्टूबर तक PHP वाली 9.96 करोड़ मिली सर्विसों में से 5.69 करोड़ का वर्शन अज्ञात है, और एक हफ़्ते में यह संख्या 1.6 करोड़ से बढ़ गई, क्योंकि Censys ज़्यादा सर्विसें ढूँढने लगी। इसलिए तालिका के आँकड़े निचली सीमा हैं।[^18] | दिन | समर्थित वर्शन, बिना अपडेट | बिना आधिकारिक सुधार वाले वर्शन (8.1 और पुराने) | अपडेट हो चुकीं | |---|---|---|---| | 21.10.2026 | 1.70 करोड़ | 2.33 करोड़ | 4 लाख | | 22.10.2026 | 1.34 करोड़ | 2.33 करोड़ | 49 लाख | | 23.10.2026 | 97 लाख | 2.33 करोड़ | 92 लाख | | 24.10.2026 | 90 लाख | 2.35 करोड़ | 1.01 करोड़ | | 25.10.2026, 07:15 UTC | 90 लाख | 2.35 करोड़ | 1.03 करोड़ | 22 और 23 अक्टूबर को अपडेट हुई सर्विसों की संख्या हर दिन 40 लाख से ज़्यादा बढ़ी, 24 अक्टूबर को — 10 लाख से कम। सभी में सबसे आम वर्शन 7.4.33 है, जो बिना आधिकारिक सुधार वाली शाखा का है: 67 लाख सर्विस। Censys सभी पुरानी शाखाओं को बिना सुधार वाली असुरक्षित मानती है, लेकिन 2.35 करोड़ में से लगभग 31 लाख 5.4 से पुराने वर्शन हैं, जबकि Wiz लिखती है कि 5.4 से शुरू होने वाले वर्शन असुरक्षित हैं।[^4][^18] > **[संपादकीय निष्कर्ष]** जहाँ अपडेट करने वाला कोई है, वहाँ अपडेट तेज़ी से होता है, और फिर लगभग तुरंत रुक जाता है: 25 अक्टूबर की सुबह तक समर्थित वर्शनों पर लगभग 90 लाख सर्विस बिना सुधार के थीं, और लगभग 2 करोड़ — पुराने असुरक्षित वर्शनों पर, जिनके लिए सुधार है ही नहीं। इन दिनों में इन पुराने वर्शनों वाली सर्विसों की संख्या कम नहीं हुई। ## घटनाएँ ### रिलीज़ से पहले लीक, अक्टूबर 2026 रिलीज़ 22 अक्टूबर, 14:00 UTC पर तय थी। 20 अक्टूबर को लगभग 15:00 बजे CVE नंबर फ़ोरमों और सोशल मीडिया पर दिखने लगे — रिलीज़ के ग़लत समय और 10.0 के ग़लत स्कोर के साथ। लीक में कोई तकनीकी ब्योरा नहीं था। PHP ने 19:30 बजे प्रारंभिक घोषणा प्रकाशित की और रिलीज़ एक दिन पहले कर दी: डिस्ट्रीब्यूशन अभी पैकेज बना रहे थे, और तुरंत रिलीज़ करने का मतलब होता कई लोगों को अपडेट के आसान रास्ते के बिना छोड़ देना।[^1] लीक और प्रारंभिक घोषणा के बाद Calif ने ग़लती से एक वीडियो प्रकाशित कर दिया, जिसमें उसका एक्सप्लॉइट कई लक्ष्यों पर काम कर रहा था। वीडियो हटा दिया गया, लेकिन उसकी कॉपियाँ सोशल मीडिया पर फैल गईं; PHP Foundation के मुताबिक़, इससे परीक्षण वाले एक्सप्लॉइट (PoC) जल्दी सामने आए। फ़ाउंडेशन के मुताबिक़, बचाव की जो सलाह PHP ने लगभग 23:00 बजे अहम बुनियादी ढाँचे के कुछ ऑपरेटरों को भेजनी शुरू की थी, वह भी लीक हो सकती थी।[^1] फ़ाउंडेशन के डेटा के मुताबिक़, 21 अक्टूबर को 07:41 बजे — रिलीज़ से छह घंटे से भी ज़्यादा पहले — Chainguard ने सुधार वाली तैयार इमेजें डाल दीं। फ़ाउंडेशन के शब्दों में, Chainguard ने “एकतरफ़ा तौर पर एम्बार्गो तोड़ दिया”, और कोई भी हमलावर सुधार का अध्ययन कर सकता था, जबकि PHP के बाक़ी उपयोगकर्ता उसका इंतज़ार कर रहे थे। Chainguard के प्रमुख डैन लोरेंक (Dan Lorenc) ने यह फ़ैसला इस बात से समझाया कि एक्सप्लॉइट पहले ही इंटरनेट पर आ चुके थे।[^1][^6][^20] ### खुलासे से पहले और बाद में हमले, अक्टूबर 2026 Amazon के डेटा के मुताबिक़, एक्सप्लॉइट करने की पहली कोशिश उसके हनीपॉट नेटवर्क MadPot पर 17 अक्टूबर को आई — खुलासे से चार दिन पहले — एक व्यावसायिक गुमनामी नेटवर्क के पते से। 21 अक्टूबर की सुबह, रिलीज़ से पहले ही, कोशिशें बढ़ गईं और वे अलग-अलग पतों से आ रही थीं। इनमें से कोई भी असली सर्वर पर कामयाब होती या नहीं, यह Amazon नहीं जानती।[^7] Cloudflare ने 21 अक्टूबर को 03:02 बजे, खुलासे से पहले, मुफ़्त और सशुल्क वेब एप्लिकेशन फ़ायरवॉल वाले ग्राहकों के लिए डिफ़ॉल्ट रूप से सुरक्षा चालू कर दी। उसके CEO मैथ्यू प्रिंस (Matthew Prince) के मुताबिक़, खुलासे से 10 घंटे पहले कंपनी ने हमले की हज़ारों कोशिशें देखीं, उसके बाद 45 मिनट में — दसियों हज़ार, दो घंटे में — लाखों, और फिर गिनती दसियों लाख तक पहुँच गई।[^8][^9] हमलावरों में एक बॉटनेट भी है: Sophos ने Potassium को इंस्टॉल करने की एक कोशिश पकड़ी, जो उसके आकलन में Mirai का एक रूप है।[^15] सेंधमारी का कोई पुष्ट मामला नहीं है। CISA ने अपनी चेतावनी प्रकाशित करते समय तक कामयाब एक्सप्लॉइटेशन नहीं देखा था। Sophos ने 22 अक्टूबर को एक कामयाब सेंधमारी की सूचना दी, लेकिन उसी शाम इसे सुधार दिया: कामयाब सेंधमारी का कोई सबूत नहीं है। SOCRadar को हमलावरों के एक सर्वर पर हमले का टूलकिट और लगभग 20 वेबसाइटों की जाँच के निशान मिले: इनमें से कोई भी हमले की शर्तों पर खरी नहीं उतरी।[^10][^16][^17] ## आलोचना **अंदर की नाकामी।** PHP Foundation 2024 से हुई देरी को साफ़ तौर पर “ढाँचागत विफलता” कहता है — सुरक्षा टीम में फ़ैसले लेने के तरीक़े और लोगों की कमी की वजह से।[^1] **लीक के बावजूद कामयाबी।** SANS Internet Storm Center के योहानेस उलरिच (Johannes Ullrich) मानते हैं कि समन्वित खुलासा कुल मिलाकर कामयाब रहा और समय पर जाँचे-परखे सुधार दिए, और जो “नियमों के मुताबिक़ नहीं खेल रहे”, उनकी वजह से हुए लीक को इस पर पर्दा नहीं डालना चाहिए।[^11] **एक्सप्लॉइट की जगह AI कचरा।** प्रकाशित “एक्सप्लॉइट” बहुत निकले, काम करने वाले — लगभग नहीं। SANS के बोयान ज़्द्रन्या (Bojan Zdrnja) को उनमें AI का बनाया “अविश्वसनीय मात्रा में” कचरा दिखा; VulnCheck को GitHub पर सैकड़ों रिपॉज़िटरी दिखीं, जिनमें असली गिनती के ही हैं; Flare की समीक्षा के मुताबिक़, हैकर फ़ोरमों के सदस्य सार्वजनिक कोड को “AI कचरा” और “वाइब कोड किया हुआ” कहते हैं। उलरिच ने 23 अक्टूबर को लिखा कि जहाँ तक उन्हें पता है, कोई भरोसेमंद सार्वजनिक एक्सप्लॉइट नहीं है, लेकिन कई कंपनियों ने कहा है कि उनके पास काम करने वाला कोड है।[^11][^12][^13][^14] **AI के ख़िलाफ़ एम्बार्गो।** Amazon का निष्कर्ष है कि एम्बार्गो तभी तक बचाता है, जब तक वही ग़लती कोई और नहीं ढूँढ लेता: AI किसी सुधार या बुलेटिन को काम करने वाले एक्सप्लॉइट में बदलना सस्ता कर देता है, और जाँच पहले ज्ञात हमले से शुरू करनी चाहिए, खुलासे की तारीख़ से नहीं। Wiz लिखती है कि अत्याधुनिक मॉडलों के साथ एक शोधकर्ता ने एक हफ़्ते में वह कर दिया, जिसमें पहले विश्व-स्तरीय टीम को महीनों लगते।[^4][^7] ## आगे का विकास PHP Foundation सुरक्षा का ढाँचा बदल रहा है। सुरक्षा टीम में फ़ैसले सबकी सहमति से नहीं, बल्कि बहुमत से होंगे; गंभीर कमज़ोरी के बारे में फ़ाउंडेशन के नेतृत्व को कहीं पहले पता चलेगा। मई 2026 से इकोसिस्टम की सुरक्षा टीम काम कर रही है, फ़ाउंडेशन में एक AI सुरक्षा इंजीनियर है, और जुलाई व सितंबर में रिपोर्टों की छँटाई और कोड को मज़बूत करने के लिए कर्मचारी आए। बोझ उन्हीं AI टूल की वजह से बढ़ा है: 1 जुलाई से टीम ने 15 CVE जारी किए और 100 से ज़्यादा ऐसी रिपोर्टों को निपटाया, जो ग़लत, दोहराई गई या दोबारा न बनाई जा सकने वाली निकलीं। फ़ाउंडेशन कंपनियों, होस्टिंग प्रदाताओं और सरकारों से फ़ंडिंग माँग रहा है।[^1] CISA सलाह देती है कि जो अपडेट नहीं कर सकते या PHP 8.1 और पुराने वर्शन पर चल रहे हैं, वे अपडेट होने तक PHP पर चलने वाले सिस्टम बंद कर दें।[^10] > **[संपादकीय निष्कर्ष]** PHP2Shell में सबसे बड़े ओपन सोर्स प्रोजेक्टों में से एक की क्रिटिकल कमज़ोरियाँ तीन स्वतंत्र टीमों ने AI की मदद से अगस्त के दौरान ढूँढ लीं। इससे सबसे अहम बात निकलती है: राज़ अब टिकता नहीं। अगर एक ही ग़लती को कई टीमें इतनी जल्दी ढूँढ लेती हैं, तो 71 दिन का एम्बार्गो सिर्फ़ इस पर टिका है कि अभी किसी और ने उसे नहीं ढूँढा — और Amazon के डेटा के मुताबिक़ पहला हमला खुलासे से पहले ही आ गया। कमज़ोर कड़ी अब खोज नहीं, बल्कि सुधार के लिए लोग और पैसा, और वे पुराने वर्शन हैं, जिन्हें कोई अपडेट नहीं करेगा। इस परिघटना के बारे में ज़्यादा जानकारी — “[AI से कमज़ोरियों की खोज](https://ftrlg.com/hi/wiki/ai-vulnerability-discovery/)” लेख में। ## यह भी देखें [AI से कमज़ोरियों की खोज](https://ftrlg.com/hi/wiki/ai-vulnerability-discovery/) · [ओपन सोर्स](https://ftrlg.com/hi/wiki/open-source/) · [मेंटेनर संकट](https://ftrlg.com/hi/wiki/maintainer-crisis/) · [तरल कोड](https://ftrlg.com/hi/wiki/moving-target-defense/) ## संदर्भ [^1]: Today's PHP Security Release, and How We're Strengthening PHP Security — The PHP Foundation, 21.10.2026. [thephp.foundation](https://thephp.foundation/blog/2026/10/21/todays-php-security-release-and-how-were-strengthening-php-security/) [^2]: PHP: News Archive - 2026 — php.net, 20.10.2026–23.10.2026. [php.net](https://www.php.net/archive/2026.php) [^3]: PHP2Shell by Calif Research — Calif, 21.10.2026. [calif.io](https://calif.io/php2shell/) [^4]: PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the Internet — Wiz, 21.10.2026. [wiz.io](https://www.wiz.io/blog/php2shell-php-rce) [^5]: OpenAI launches new initiative to help find and patch open source bugs — TechCrunch, 22.06.2026. [techcrunch.com](https://techcrunch.com/2026/06/22/openai-launches-new-initiative-to-help-find-and-patch-open-source-bugs/) [^6]: डैन लोरेंक (dlor) की टिप्पणी — Hacker News, 21.10.2026. [news.ycombinator.com](https://news.ycombinator.com/item?id=50176735) [^7]: Amazon Threat Intelligence identifies PHP2Shell exploitation prior to public disclosure in MadPot — Amazon Web Services, 21.10.2026. [aws.amazon.com](https://aws.amazon.com/blogs/security/amazon-threat-intelligence-identifies-php2shell-exploitation-prior-to-public-disclosure-in-madpot/) [^8]: Cloudflare deploys protections against php2shell vulnerability — Cloudflare, 21.10.2026. [blog.cloudflare.com](https://blog.cloudflare.com/php-vulnerabilities-waf-protection/) [^9]: Hackers pile on PHP2Shell as AWS reveals attacks began before disclosure — The Register, 22.10.2026. [theregister.com](https://www.theregister.com/cyber-crime/2026/10/22/hackers-pile-on-php2shell-as-aws-reveals-attacks-began-before-disclosure/5304749) [^10]: Critical Vulnerabilities in PHP Require Immediate Patching — CISA, 21.10.2026. [cisa.gov](https://www.cisa.gov/news-events/alerts/2026/10/21/critical-vulnerabilities-php-require-immediate-patching) [^11]: PHP Vulnerability Wrap-Up — SANS Internet Storm Center, 23.10.2026. [isc.sans.edu](https://isc.sans.edu/diary/PHP+Vulnerability+WrapUp/33450/) [^12]: (Reliable)? php2shell exploitability — SANS Internet Storm Center, 23.10.2026. [isc.sans.edu](https://isc.sans.edu/diary/Reliable+php2shell+exploitability/33452/) [^13]: PHP2Shell Vulnerabilities: CVE-2026-109618 and CVE-2026-109619 — VulnCheck, 21.10.2026. [vulncheck.com](https://www.vulncheck.com/blog/php2shell-vulnerabilities) [^14]: "PoC Yes. RCE No.": What the Underground Actually Thinks of the Public PHP2Shell Exploits — Flare, 23.10.2026. [flare.io](https://flare.io/learn/resources/blog/php2shell-exploits-underground-analysis) [^15]: Mirai Botnet Operators Join PHP2Shell Attacks as ASLR Bypass Exploits Emerge — SecurityWeek, 23.10.2026. [securityweek.com](https://www.securityweek.com/mirai-botnet-operators-join-php2shell-attacks-as-aslr-bypass-exploits-emerge/) [^16]: Proof-of-concept exploit released for PHP vulnerabilities (CVE-2026-109618, CVE-2026-109619) — Sophos, 21.10.2026. [sophos.com](https://www.sophos.com/en-us/blog/proof-of-concept-exploit-released-for-php-vulnerabilities-109618-109619) [^17]: PHP2Shell Exploit Tooling Found on Exposed Attacker Server — SOCRadar, 22.10.2026. [socradar.io](https://socradar.io/blog/php2shell-exploit-tooling-attacker-server/) [^18]: PHP2Shell services — Censys, 25.10.2026 तक का डेटा. [php2shell.censys.com](https://php2shell.censys.com/) [^19]: Usage Statistics and Market Share of PHP for Websites, October 2026 — W3Techs, 10.2026. [w3techs.com](https://w3techs.com/technologies/details/pl-php) [^20]: PHP Foundation Says Chainguard Broke Security Embargo Ahead of Emergency Patches — Socket, 21.10.2026. [socket.dev](https://socket.dev/blog/php-embargo-dispute) — future.log, «PHP2Shell», https://ftrlg.com/hi/wiki/php2shell/ · CC BY 4.0