What does a CVSS score tell you about a software flaw?

How serious the flaw is, on a scale of 0 to 10. CVSS rates the severity of a flaw from 0 to 10. The two PHP flaws of October 2026 each scored 9.2, which is called critical. Read more: Cyber Crime and Cyber Security.

What does remote code execution (RCE) allow an attacker to do?

Run their own commands on a server from far away. RCE means an outsider can make a server run commands of their choice. The October 2026 PHP flaws allowed this without any login. Read more: Cyber Crime and Cyber Security.

Which statement about the October 2026 PHP flaws is correct?

Updating PHP is the only complete fix; settings only reduce the risk. Only an update removes the flaw itself. The listed settings reduce exposure to some attack paths, but they do not make a server safe. Read more: Cyber Crime and Cyber Security.

Under CERT-In's Directions of 28 April 2022, within what time must listed cyber incidents be reported to CERT-In?

6 hours of noticing them. The Directions require service providers, firms and government bodies to report listed incidents within 6 hours. They must also keep logs for a rolling 180 days. Read more: Mandatory Cyber Security Incident Reporting in India.

CERT-In works under which section of the Information Technology Act, 2000?

Section 70B. Section 70B makes CERT-In the national agency for incident response. Section 70A is the basis for NCIIPC, which protects critical information infrastructure. Read more: Cyber Crime and Cyber Security.

Which law requires a Data Fiduciary to inform the Data Protection Board and affected people about a personal data breach?

Digital Personal Data Protection Act, 2023. Section 8(6) of the DPDP Act, 2023 requires this intimation. Section 8(5) also requires reasonable security safeguards against breaches. Read more: Cyber Crime and Cyber Security.

PHP2Shell: अक्टूबर 2026 की PHP सुरक्षा खामियों की सरल व्याख्या

कल्पना कीजिए कि आपके शहर की दस में से सात दुकानों पर एक ही तरह का ताला लगा है। एक दिन ताला बनाने वाला कहता है कि चोर इसे बिना चाबी के खोल सकते हैं। October 2026 में वेबसाइटों के साथ कुछ ऐसा ही हुआ।

यह पाठ इस खामी को आसान शब्दों में समझाता है। इसमें यह भी बताया गया है कि भारत के कानून और एजेंसियाँ क्या कहते हैं और आपको क्या करना चाहिए।

संक्षेप में मुख्य बात

सॉफ्टवेयर: PHP एक प्रोग्रामिंग भाषा है। जिन वेबसाइटों की सर्वर भाषा ज्ञात है, उनमें से लगभग 10 में से 7 PHP पर चलती हैं।
खामियाँ: दो अत्यंत गंभीर सुरक्षा खामियाँ, CVE-2026-109618 और CVE-2026-109619, जिनकी घोषणा 21 October 2026 को हुई।
खतरा: कोई बाहरी व्यक्ति बिना पासवर्ड के सर्वर पर कमांड चला सकता है।
समाधान: PHP को 8.5.12, 8.4.27, 8.3.36 या 8.2.35 में अपडेट करें।
भारत: CERT-In ने 22 October 2026 को इसे अत्यंत गंभीर श्रेणी में रखा और बड़े पैमाने पर हमलों की चेतावनी दी।

PHP क्या है और यह क्यों महत्वपूर्ण है?

PHP क्या है और इसकी एक खामी इतनी सारी वेबसाइटों को क्यों प्रभावित करती है?

PHP एक प्रोग्रामिंग भाषा है जो वेब सर्वर पर चलती है। इसे किसी रेस्तराँ की रसोई की तरह समझें। आप कोई पेज माँगते हैं और PHP उसे तैयार करती है।

W3Techs के अनुसार, जिन वेबसाइटों की सर्वर भाषा ज्ञात है, उनमें से 69.2% PHP पर चलती हैं। यानी लगभग 10 में से 7। वेब के एक बड़े हिस्से को चलाने वाला WordPress भी PHP में लिखा गया है।

इसलिए PHP की खामी उस ताले की खामी जैसी है, जिसका इस्तेमाल ज्यादातर दुकानों में होता है। एक कमजोरी से कई दरवाजे खुल जाते हैं।

स्रोत: W3Techs: PHP के उपयोग के आँकड़े.

मुख्य शब्द: हर शब्द का अर्थ एक पंक्ति में

सुरक्षा खामी (Vulnerability) सॉफ्टवेयर की ऐसी कमजोरी जिसका हमलावर फायदा उठा सकते हैं।

पैच (Patch) सॉफ्टवेयर का ऐसा अपडेट जो किसी कमजोरी को दूर करता है।

CVE किसी ज्ञात खामी की सार्वजनिक पहचान संख्या, जैसे CVE-2026-109618।

CVSS किसी खामी की गंभीरता बताने वाला 0 से 10 तक का स्कोर। 9.0 या उससे अधिक स्कोर वाली खामी अत्यंत गंभीर होती है।

ज़ीरो-डे (Zero-day) ऐसी खामी जिसका समाधान उपलब्ध होने से पहले ही हमलावर उसका फायदा उठाने लगते हैं।

RCE दूर से कोड चलाना (Remote code execution)। कोई बाहरी व्यक्ति आपके सर्वर पर अपनी कमांड चलवा देता है।

स्रोत: CERT-In की सुरक्षा सलाह CIAD-2026-0052; PHP.net की सुरक्षा अपडेट सूचना, 21 Oct 2026.

October 2026 में क्या हुआ?

PHP टीम ने 21 October 2026 को क्या घोषणा की?

PHP टीम ने दो अत्यंत गंभीर खामियों को दूर करने के लिए अपडेट जारी किए। उसने एक दिन पहले, 20 October को, आगामी अपडेट की घोषणा की थी।

CVE-2026-109618: मेमोरी खत्म होने पर उसमें गड़बड़ी पैदा करके दूर से कोड चलाना।
CVE-2026-109619: PHP के अंदर बची हुई पुरानी आंतरिक स्थिति का फायदा उठाकर दूर से कोड चलाना।
स्कोर: दोनों को CVSS v4.0 पैमाने पर 9.2 स्कोर मिला, जो अत्यंत गंभीर श्रेणी में आता है।
इन संस्करणों में ठीक किया गया: PHP 8.5.12, 8.4.27, 8.3.36 और 8.2.35।

सिंगापुर (Singapore) की साइबर एजेंसी ने बड़े पैमाने पर हमलों के प्रयासों और खामी का फायदा उठाने का तरीका दिखाने वाले कई सार्वजनिक उदाहरणों की जानकारी दी। CERT-In ने बताया कि वास्तविक हमलों में बड़े पैमाने पर इन खामियों का फायदा उठाया जा रहा था।

स्रोत: PHP.net का सुरक्षा रिलीज़ नोटिस, 21 अक्टूबर 2026; सिंगापुर की साइबर सुरक्षा एजेंसी (Cyber Security Agency of Singapore), अलर्ट AL-2026-151; CERT-EU परामर्श 2026-018; CERT-In परामर्श CIAD-2026-0052.

अगर आप PHP का पुराना संस्करण इस्तेमाल करते हैं तो क्या करें?

PHP 8.1 और उससे पुराने संस्करणों को अब PHP टीम से नियमित अपडेट नहीं मिलते। 7.4, 8.0 और 8.1 के लिए टीम ने सोर्स कोड में केवल कुछ सीमित सुधार पुराने संस्करणों के अनुकूल बनाकर दिए। ये संस्करण इस्तेमाल करने वाले होस्ट को ऐसे संस्करण पर जाना चाहिए जिसे अभी सहायता और अपडेट मिल रहे हों।

23 अक्टूबर को तीसरी खामी, CVE-2026-115560, सामने आई। यह केवल कुछ असामान्य सेटअप को प्रभावित करती है और टीम ने इसके लिए कोई आपातकालीन रिलीज़ जारी नहीं की।

स्रोत: PHP.net का सुरक्षा रिलीज़ नोटिस, 21 अक्टूबर 2026.

जाँच 1

PHP का कहना है कि कुछ सेटिंग बदलना ही सर्वर को पूरी तरह सुरक्षित बनाने के लिए पर्याप्त है।

यह खामी कैसे काम करती है?

वेब अनुरोध हमले में कैसे बदल सकता है?

कोई विज़िटर अनुरोध भेजता है। वेब सर्वर उसे PHP को सौंपता है। PHP पेज बनाकर वापस भेजता है। खामी PHP के भीतर ही मौजूद है।

ऐसे वेटर की कल्पना करें जो मेज़ साफ करना भूल जाता है। अगले मेहमान को पिछले मेहमान की छोड़ी हुई चीज़ें दिखती हैं। एक खामी में PHP पिछली स्थिति की जानकारी बचाए रखता है, जिसका बाद के अनुरोध के ज़रिए दुरुपयोग हो सकता है। दूसरी खामी में PHP की मेमोरी खत्म हो जाती है और उसका अपना कार्यक्षेत्र बिगड़ जाता है।

हमलावर को किसी पासवर्ड की ज़रूरत नहीं होती। सबसे अधिक खतरा उन सर्वरों पर है जो इस्तेमाल करते हैं mod_php। वहाँ खास तौर पर तैयार किया गया अनुरोध आपकी साइट का कोई भी कोड चलने से पहले हमला कर सकता है।

सामान्य वेब अनुरोध की प्रक्रिया में खामी कहाँ होती है। सरल रूप में।

स्रोत: PHP.net का सुरक्षा रिलीज़ नोटिस, 21 अक्टूबर 2026; CERT-EU परामर्श 2026-018.

सोचकर जवाब दें। अगर आपकी वेबसाइट का अपना कोड बिल्कुल सही है, तो क्या आपकी साइट सुरक्षित है?

व्याख्या दिखाएँ

नहीं। खामी PHP में है, जो आपके कोड को चलाने वाला इंजन है। कुछ सर्वरों पर आपके कोड के शुरू होने से पहले ही इस खामी का फायदा उठाया जा सकता है। आपके कोड की सुरक्षा उसे चलाने वाले इंजन की सुरक्षा पर भी निर्भर करती है।

यह भारत के लिए क्यों महत्वपूर्ण है?

भारत में ऐसी खामी से कौन निपटता है?

CERT-In: साइबर घटनाओं से निपटने वाली राष्ट्रीय एजेंसी, जो सूचना प्रौद्योगिकी अधिनियम की धारा 70B के तहत काम करती है। इसने छोटे और मध्यम व्यवसायों के लिए 22 अक्टूबर 2026 को जारी परामर्श CIAD-2026-0052 में इस खामी को अति गंभीर श्रेणी में रखा।
NCIIPC: बिजली, बैंकिंग और दूरसंचार जैसे क्षेत्रों के महत्वपूर्ण सूचना ढाँचे की सुरक्षा करता है। यह राष्ट्रीय तकनीकी अनुसंधान संगठन (National Technical Research Organisation) की एक इकाई है।
6 घंटे का नियम: CERT-In के 28 अप्रैल 2022 के निर्देशों के अनुसार, सूची में शामिल घटनाओं की सूचना 6 घंटे के भीतर देना ज़रूरी है। लॉग 180 दिनों तक रखने होते हैं।

स्रोत: CERT-In परामर्श CIAD-2026-0052; धारा 70B के तहत CERT-In के निर्देश, 28 अप्रैल 2022; NCIIPC.

डेटा संरक्षण कानून में और क्या प्रावधान हैं?

मान लीजिए कि हमलावर ऐसी साइट में सेंध लगाते हैं जिसमें ग्राहकों का डेटा रखा है। तब डिजिटल व्यक्तिगत डेटा संरक्षण अधिनियम, 2023 लागू होता है।

धारा 8(5): संगठन को उचित सुरक्षा उपाय बनाए रखने होंगे।
धारा 8(6): उसे डेटा में सेंध की जानकारी डेटा संरक्षण बोर्ड और हर प्रभावित व्यक्ति को देनी होगी।
जुर्माना: सुरक्षा उपाय बनाए न रखने पर 250 करोड़ रुपये तक और सूचना न देने पर 200 करोड़ रुपये तक।

डेटा में सेंध की सूचना देने के नियम लगभग मई 2027 से लागू होने की उम्मीद है। सुरक्षा उपाय बनाए रखने का दायित्व अधिनियम में पहले से मौजूद है।

स्रोत: डिजिटल व्यक्तिगत डेटा संरक्षण अधिनियम, 2023 (MeitY).

जाँच 2

CERT-In के 2022 के निर्देशों के तहत, सूची में शामिल साइबर घटनाओं का पता चलने के 6 घंटे के भीतर उनकी सूचना देना ज़रूरी है।

आपको क्या करना चाहिए?

छोटी वेबसाइट के मालिक को अभी क्या करना चाहिए?

अपने होस्टिंग प्रदाता से पूछें। पता करें कि आपकी साइट PHP के किस संस्करण पर चलती है।
अपडेट करें। PHP 8.5.12, 8.4.27, 8.3.36 या 8.2.35, या इससे नए संस्करण पर जाएँ।
दोबारा शुरू करें और जाँचें। सेवाएँ दोबारा शुरू करें और पुष्टि करें कि नया संस्करण चल रहा है।
हमले के संकेत तलाशें। लॉग में असामान्य अनुरोध, नए एडमिन खाते, अजीब प्रक्रियाएँ और अनजान बाहरी कनेक्शन जाँचें।
बैकअप रखें। जाँची हुई प्रतियाँ सर्वर से अलग जगह पर रखें।
सुरक्षा मजबूत करें। मजबूत और अलग-अलग पासवर्ड तथा बहु-कारक लॉगिन का उपयोग करें।
रिपोर्ट करें। घटनाओं की सूचना incident@cert-in.org.in पर भेजें।

स्रोत: CERT-In की एडवाइजरी CIAD-2026-0052; PHP.net की सुरक्षा रिलीज़ सूचना, 21 अक्टूबर 2026.

एक सामान्य वेबसाइट उपयोगकर्ता क्या कर सकता है?

जिस साइट को आप नहीं चलाते, उसमें आप सुरक्षा पैच नहीं लगा सकते। लेकिन उसके हैक होने पर नुकसान कम कर सकते हैं।

हर साइट पर अलग पासवर्ड इस्तेमाल करें।
ईमेल और बैंकिंग के लिए दो-चरणीय लॉगिन चालू करें।
अगर आपकी इस्तेमाल की जाने वाली कोई साइट डेटा में सेंध की सूचना दे, तो सावधान रहें। अपना पासवर्ड बदलें और बैंक से आने वाले अलर्ट पर नज़र रखें।

स्रोत: CERT-In की एडवाइजरी CIAD-2026-0052.

सोचकर जवाब दें। आपका वेब होस्ट कहता है कि वह “जल्द” सुरक्षा पैच लगा देगा। क्या कुछ न करना ठीक है?

व्याख्या देखें

पूरी तरह नहीं। हमले पहले से हो रहे हैं, इसलिए इंतज़ार करना जोखिम भरा है। होस्ट से तारीख पूछें। जाँचें कि आपकी साइट पर PHP का कौन-सा संस्करण चल रहा है। बैकअप तैयार रखें और सुरक्षा सुधार लागू होने तक लॉग पर नज़र रखें।

पहले की बड़ी घटनाओं से इसकी तुलना कैसे होती है?

घटना	कब	क्या हुआ
हार्टब्लीड (Heartbleed)	2014	OpenSSL की एक खामी से सर्वर की मेमोरी में मौजूद गोपनीय जानकारी लीक हो सकती थी।
वानाक्राई (WannaCry)	मई 2017	Windows की एक खामी का इस्तेमाल करके रैनसमवेयर दुनिया भर में फैल गया।
लॉग4शेल (Log4Shell)	दिसंबर 2021	Log4j लाइब्रेरी की एक खामी से दूर बैठकर कोड चलाना संभव हो गया।
क्राउडस्ट्राइक (CrowdStrike) की सेवाएँ ठप होना	19 जुलाई 2024	एक खराब सुरक्षा अपडेट से Windows कंप्यूटर क्रैश हो गए। यह साइबर हमला नहीं था।
PHP2Shell	21 अक्टूबर 2026	PHP की दो खामियों से दूर बैठकर कोड चलाना संभव है। कुछ ही दिनों में हमले शुरू हो गए।

स्रोत: Heartbleed.com; WannaCry पर CISA की जानकारी; Log4j पर CISA की जानकारी; CrowdStrike का समस्या समाधान केंद्र; PHP.net की सुरक्षा रिलीज़ सूचना, 21 अक्टूबर 2026.

ध्यान दें कि “PHP2Shell” कुछ रिपोर्टों में इस्तेमाल किया गया एक अनौपचारिक नाम है। आधिकारिक नाम वे दो CVE नंबर हैं।

परीक्षा के लिए महत्वपूर्ण बातें

CVE, CVSS, पैच, ज़ीरो-डे और RCE का सरल अर्थ समझें।
CERT-In, सूचना प्रौद्योगिकी अधिनियम (IT Act), 2000 की धारा 70B के तहत काम करता है। NCIIPC धारा 70A के तहत काम करता है।
6 घंटे के भीतर रिपोर्ट करने का नियम 28 अप्रैल 2022 से लागू है।
डिजिटल व्यक्तिगत डेटा संरक्षण अधिनियम (DPDP Act), 2023 की धारा 8(5) और 8(6) में डेटा में सेंध से जुड़े दायित्व दिए गए हैं।
साइबर हमले और CrowdStrike की सेवाएँ ठप होने की घटना को एक जैसा न समझें। उस घटना का कारण एक खराब अपडेट था।

समझ की जाँच में 0/0 उत्तर सही

Was this helpful?

Take a Science and Technology QuizRandom practice question from this subject →