AI દ્વારા ખુલ્લા કરવામાં આવેલા PHP ખામી
એઆઈ ટૂલ્સ દ્વારા ખુલ્લા પડેલી ગંભીર ખામીઓ વેબના બેક‑એન્ડ ભાષા PHPમાં મળી આવી છે અને બાળકથી વૈશ્વિક સ્તર સુધીની અનેક વેબસાઇટ્સ ખતરામાં પડી ગઈ છે. વૈશ્વિક સાયબર‑સિક્યુરિટી એજન્સીઓ અને કંપનીઓએ વેબસાઇટ ઓપરેટર્સને તરત જ ઇમર્જન્સી પેચ લાગુ કરવાની અથવા પેચ ન કરી શકતા હોય તો પ્લેટફોર્મ સમયાંતરે બંધ કરવાની સલાહ આપી છે.
સુરક્ષા કંપનીઓ Wiz અને Calif દ્વારા શોધાયેલા આ ખામીઓને “php2shell” તરીકે ઓળખવામાં આવ્યું છે અને એવી ચેતવણી આપવામાં આવી છે કે આ ખામીઓ આખા ઇન્ટરનેટ પરની PHP‑આધારિત સેવાઓને અસર કરી શકે છે. PHP (PHP: Hypertext Preprocessor) એક ઓપન‑સોર્સ બેક‑એન્ડ પ્રોગ્રામિંગ ભાષા છે જે વેબ સર્વર પર ચાલીને ડાયનામિક પેજો અને એપ્લિકેશનો તૈયાર કરે છે.
PHPનું મહત્વ
PHP આજે Wikipedia, ઓનલાઈન દુકાનો અને WordPress સહિત અનેક પ્લેટફોર્મ ચલાવે છે. Laravel, Symfony અને Drupal જેવા લોકપ્રિય ફ્રેમવર્ક્સ પણ PHP પર આધારિત છે. સાઇબર‑સિક્યુરિટી ફર્મ Wizનું કહેવું છે કે PHP વિશ્વની વેબસાઇટ્સના 70% સુધી સંચાલન કરે છે.
ખામીની વિગતો આ અઠવાડિયે કેટલાક સાયબર‑સિક્યુરિટી રિસર્ચર્સ અને સંસ્થાઓએ PHPમાં બે ખામીઓ જાહેર કરી, જેનો ઉપયોગ સાચા પરિસ્થિતિમાં હોવાનો અર્થ આવેલા સર્વર્સ પર નિયંત્રણ મેળવવા અને સંવેદનશીલ માહિતી ચોરી કરવા માટે થઇ શકે છે. Wiz અને Califે જણવ્યું છે કે આ ખામીઓ ભાષાના આંતરિક ગઠન સાથે સંકળાયેલી છે અને છેલ્લા દાયકાના PHP વર્ઝનમાં અસરકારક છે.
જાગૃતિ અને પગલાં
Wizના બ્લેગ પોસ્ટ અનુસાર યોગ્ય પરિસ્થિતિ હેઠળ હેકર્સ affected સર્વર્સ પર કંટ્રોલ મેળવી શકે છે અને PHP પર ધારી બનાવેલ સર્વિસિસ ગંભીર જોખમમાં પડી શકે છે. Califના રિસર્ચર Ryan Austinએ ખામી વિશે કહ્યું કે તે “the most serious vulnerability I’ve ever found” છે. Wizએ પણ ખામીઓને એઆઈ દ્વારા અત્યાર સુધી દેખાયેલી સૌથી “most severe” ખામીઓમાં ગણાવ્યું છે.
નિષ્ણાંતોએ ચેતવ્યું છે કે એઆઇ આ પ્રકારના હુમલાઓને ઝડપી અને સહલ બનાવી શકે છે: Gorilla Cyber Securityના Paul Spainએ અંદાજ કર્યો છે કે ખામી “millions and millions” વેબસાઇટ્સને અસર કરી શકે છે. University of Adelaideની Jill Slayએ કહ્યું છે કે જો કોઇ દેશ અથવા ગુનાહિત ગઠબંધન આ ખામીનો હથિયારમાં ફેરવશે તો પરિસ્થિતિ “disastrous” બની શકે છે.
આ એલર્ટને પગલે વૈશ્વિક સ્તરે અનેક સેવાઓ અને વેબસાઇટ્સને અસર થઇ અને કેટલાક સિસ્ટમો અસ્થાયી રીતે બંધ કરવામાં આવ્યા. અસરગ્રસ્ત ઉદાહરણો તરીકે Wikimedia‑એ કેટલાક સિસ્ટમો બંધ કર્યા; ફિનલેંડની સરકાર, Edinburgh કાઉન્સિલ અને BBC‑એ સિસ્ટમોને અસરથી બચાવવા પગલાં લીધાં; નેધરલેન્ડ્સની સાયબર‑સિક્યુરિટી એજન્સીએ પોતાની વેબસાઇટ ખેંચી લીધી.
નિષ્ણાંતોએ જણાવ્યું છે કે જેઝલ જાળવણી ન હોય તેવા અથવા સિક્યુરિટી સંસાધનો ઓછા ધરાવતા નાના સંસ્થાનાં સાઇટ્સ વિશેષ જોખમમાં રહેશે. UNSW Sydneyના સાયબર‑રિસર્ચર Salil Kanhereએ જણાવ્યું છે કે ખામી અંગેની તકનીકી વાતો જાહેર થયા પછી આવતા અઠવાડિયામાં વધુ એક્સ્પ્લોઇટ પ્રયાસો જોવા મળી શકે છે.
પેચ અને સલાહ
PHP Foundationએ બુધવારે ખામીઓ સુધારવા માટે પેચ અપલોડ કર્યા અને તમામ PHP વપરાશકર્તાઓને તરત અપડેટ કરવા મજબૂર રીતે ભલામણ કરી: All PHP users are strongly encouraged to update immediately. આમ જ આંતરરાષ્ટ્રીય સુરક્ષા એજન્સીઓ અને સરકારોએ પણ તાકીદના પગલાંથી ચેતવણી જારી કરી છે.
યુએસ નેશનલ સિક્યુરિટી એજન્સી (NSA)એ કહ્યું કે જો તરત પેચ ન કરી શકાય તો સંસ્થાઓ માટે સિસ્ટમ્સનો બંધ‑વિકલ્પ વિચારવો અને ખામી ડેટાબેસ સુધી “a direct path” પ્રદાન કરી શકે તેની શક્યતા છે. એજન્સીએ કહ્યું: “These risks are serious enough to require immediate patching across United States Government departments and agencies.”
યુકેનો National Cyber Security Centre એ પણ સમાન સલાહ આપી અને સંસ્થાઓને તપાસ કરવા કહ્યું કે શું કોઈ કારણે “backdoors installed by an attacker” તો દાખલ થયાં નથી. યુરોપ, સિંગાપુર અને ઓસ્ટ્રેલિયાના સરકારી સાયબર એજન્સીઓએ પણ સમાન સતર્કતા સૂચવતા એલર્ટ આપ્યા છે.
જાપાનના પ્રધાનમંત્રી Sanae Takaichiએ X પર લખ્યું: “We have an urgent request for everyone to take action tonight.” તેનાં અનુસૂચિત પગલાંમાં જો તરત પેચ લાગુ ન કરી શકાય તો વેબસાઇટ્સને સમયાતે બંધ કરવાનો વિકલ્પ પણ ગણવામાં આવે તેવી સલાહ છે.
OpenAIએ આ શોધને “one of the most impactful security issues in recent memory” ગણાવી અને PHP પ્લેટફોર્મની સુરક્ષા તપાસવા માટે એક પ્રોગ્રામ જાહેર કર્યો છે.
વેબસાઇટ માલિકો અને વપરાશકર્તાઓ માટે સલાહ છે કે PHPને તરત સૌથી તાજેતરું પેચ કરેલ અને સુરક્ષિત વર્ઝનમાં અપડેટ કરો. હોસ્ટિંગ પ્રોવાઇડર અથવા વેબ ડેવલપરે PHPના પેચ લાગુ કર્યા છે કે નહીં તે ખાતરી કરો; WordPress અથવા પ્લગ‑ઇન અપડેટ દ્વારા સમસ્યા સિદ્ધાંતમાં ઉકેલી નથી આવતી કારણ કે બાબત PHPના સ્તર પર છે.
જ્યારે તરત પેચ લાગુ ન કરી શકાય તો વેબસાઇટ અસ્થાયી રીતે બંધ કરવાનો વિકલ્પ તપાસો, જેનુ ઉલ્લેખ યુએસ અને યુકે જેવા સત્તાવાળાઓએ પણ કર્યો છે. સરકારી અને મોટા માળખાના સંસ્થાઓએ NSA જેવી એજન્સીઓની સલાહમાં રાખીને “heightened awareness” જાળવવાની અને સપ્લાયચેઇન અપડેટ્સને ધ્યાનથી તપાસવાની આગ્રહણીય સૂચના અપાઈ છે.
આ ઘટના ઝડપી પ્રગટતી રહ્યું અને સંસ્થાઓને આવનારા સમયમાં વધુ સુધારા અને ચેતવણીઓ માટે બધી જાહેરાતો નોતરવી જરૂરી રહેશે.