21 अक्टूबर को दुनिया भर में कई महत्वपूर्ण वेबसाइटें और ऑनलाइन सेवाएं बंद हो गईं. इनमें हैकरों ने सेंध नहीं लगाई थी. इन्हें चलाने वाली संस्थाओं ने एहतियातन खुद ही ऐसा किया था. उन्हें डर था कि कहीं हैकर इनमें घुसपैठ न कर लें.
इसकी वजह थी पीएचपी नाम की एक प्रोग्रामिंग लैंग्युएज में मौजूद दो गंभीर खामियां. इंटरनेट का इस्तेमाल करने वाले ज्यादातर लोगों ने शायद इस लैंग्युएज का नाम भी नहीं सुना होगा. लेकिन हम हर रोज जिन वेबसाइटों पर जाते हैं, उनमें से कइयों में पर्दे के पीछे होने वाले महत्वपूर्ण काम पीएचपी की मदद से ही होते हैं.
भारत में सरकार की साइबर सुरक्षा एजेंसी सर्ट-इन ने करीब 60 हजार ऐसी वेबसाइटों की पहचान की जिनकी सुरक्षा इन खामियों के कारण खतरे में पड़ सकती थी. इनमें सरकारी विभागों, सार्वजनिक क्षेत्र के संगठनों और अति-महत्वपूर्ण क्षेत्रों से जुड़ी 303 वेबसाइटें भी शामिल थीं.
दिलचस्प बात यह है कि पीएचपी में ये खामियां पिछले एक दशक से भी ज्यादा समय से मौजूद थीं. फिर अचानक ऐसा क्या हुआ कि इनकी वजह से पूरी दुनिया में हड़कंप मच गया?
इसमें आर्टिफिशियल इंटेलिजेंस यानी एआई की अहम भूमिका थी. एआई ने सिक्योरिटी रिसर्चर्स को इन खामियों का पता लगाने और इनके जरिए सिस्टम में सेंध लगाने के तरीके खोजने में मदद की. उसने इन खामियों को दूर करने के उपाय ढूंढ़ने में भी शोधकर्ताओं का साथ दिया. लेकिन सिक्योरिटी अपडेट तैयार करने, उनकी समुचित जांच करने और उन्हें रिलीज़ करने में समय लग रहा था.
इसी दौरान, अपडेट जारी होने से कुछ समय पहले इन खामियों की जानकारी बाहर आने लगी. इससे यह डर पैदा हुआ कि वेबसाइटों को सुरक्षित किए जाने से पहले ही हैकर इनका फायदा उठा सकते हैं. इसी आशंका के चलते कई वेबसाइटों को एहतियातन बंद कर दिया गया.
खतरे की गंभीरता का अंदाजा इस बात से भी लग सकता है कि पीएचपी के डेवलपर्स ने सिक्योरिटी अपडेट जारी करने की तारीख 22 अक्टूबर से बदलकर 21 अक्टूबर कर दी. दुनिया की एक प्रमुख सीडीएन (कॉन्टेंट डिलीवरी नेटवर्क) कंपनी क्लाउडफ्लेयर ने भी आधिकारिक अपडेट आने से पहले ही पीएचपी की खामियों से बचाव के उपाय कर लिए.
पीएचपी की कमियों को लेकर इतना डर क्यों पैदा हुआ, इसे समझने के लिए यह जानना जरूरी है कि कोई वेबसाइट काम कैसे करती है. जब हम अपना बैंक बैलेंस देखते हैं, कोई खबर पढ़ते हैं या ऑनलाइन शॉपिंग करते हैं, तो हम वेबसाइट पर कहीं क्लिक करते हैं और वह उसके जवाब में कोई काम करती है. वह हमारे पासवर्ड की जांच कर सकती है, हमें कोई जानकारी दे सकती है या हमसे पेमेंट ले सकती है.
इनमें से ज्यादातर काम सर्वर नाम के ताकतवर कंप्यूटरों पर होते हैं. पीएचपी उन प्रोग्रामिंग लैंग्युएज में से एक है जिनकी मदद से सर्वर ये काम करते हैं. इंटरनेट के लिए पीएचपी इतनी अहम है कि दुनिया की जिन वेबसाइटों की सर्वर-साइड प्रोग्रामिंग लैंग्युएज ज्ञात है, उनमें से करीब 69 फीसदी पीएचपी इस्तेमाल करती हैं.
तो आखिर उसमें गड़बड़ी क्या थी?
शोधकर्ताओं ने पाया कि कुछ खास तरह की रिक्वेस्ट्स के जरिए पीएचपी से दो ऐसे काम करवाए जा सकते थे जो उसे बिल्कुल नहीं करने चाहिए थे.
पहला, किसी विजिटर को सर्वर पर मौजूद ऐसी जानकारियां मिल सकती थीं जो उसे नहीं मिलनी चाहिए थीं. दूसरा, कोई बाहरी व्यक्ति बिना लॉगिन किए सर्वर से अपनी मर्जी के काम करवा सकता था.
सोचिए कि किसी सरकारी पोर्टल पर गोपनीय रिकॉर्ड रखे हुए हैं. कोई हैकर पीएचपी की खामियों का फायदा उठाकर इन रिकॉर्डों को चुरा सकता था, इनमें बदलाव कर सकता था या उसके सर्वर पर कोई वायरस छोड़ सकता था.
यही वजह थी कि पीएचपी2शेल (PHP2Shell) नाम की इन दोनों खामियों को बेहद गंभीर माना गया. साइबर सुरक्षा से जुड़े खतरों की गंभीरता मापने वाले पैमाने पर इन दोनों को अलग-अलग 10 में से 9.2 अंक दिए गए.
. . .
सॉफ्टवेयरों में सुरक्षा संबंधी कमियां होना कोई नई बात नहीं है. बहुत सावधानी से लिखे गए प्रोग्रामों में भी खामियां रह सकती हैं. इनमें से कुछ जल्दी पकड़ में आ जाती हैं और कई पीएचपी की तरह वर्षों तक छिपी रह सकती हैं.
आज के एआई वाले दौर में जो बदल रहा है, वह है ऐसी खामियों को ढूंढ़ने और उनका फायदा उठाने के तरीके खोजने की हमारी क्षमता.
पीएचपी के विकास में मदद करने वाली संस्था पीएचपी फाउंडेशन के मुताबिक, पीएचपी की दो खामियों में से एक का पता 2024 में ही चल गया था. लेकिन उस समय कोई यह नहीं दिखा पाया था कि इसका फायदा कैसे उठाया जा सकता है. इसके अलावा पीएचपी की टीम के पास संसाधन भी सीमित थे. इसलिए इस खामी को दूर करने का काम टलता रहा.
फिर अगस्त और सितंबर 2026 में कैलिफ, ओपनएआई और गूगल की साइबर सुरक्षा कंपनी विज़ के शोधकर्ताओं ने स्वतंत्र रूप से पीएचपी की कमजोरियां खोज निकालीं. उन्होंने यह भी पता लगा लिया कि इनका फायदा कैसे उठाया जा सकता है. जीपीटी-5.6 सोल (GPT-5.6 Sol) और जैमिनी 4 आगन (Gemini 4 Argon) जैसे उन्नत एआई मॉडलों ने बहुत कम समय में ये खोज करने में उनकी मदद की. इसकी जानकारी पीएचपी का विकास, रखरखाव और उसे रिलीज़ करने वाले पीएचपी प्रोजेक्ट की सुरक्षा टीम को दे दी गई.
इन खोजों के बाद सुरक्षा संबंधी खामियों को ठीक करना बेहद जरूरी हो गया. अब हर अतिरिक्त दिन के साथ यह खतरा बढ़ रहा था कि यह जानकारी हैकरों के हाथ लग सकती है. लेकिन इसके लिए जरूरी सुरक्षा अपडेट तैयार करने और उन्हें जारी करने के लिए कई संगठनों के बीच तालमेल जरूरी होता है. और किसी खामी के बारे में जितने ज्यादा लोगों को पता हो, उसकी जानकारी बाहर आने का खतरा उतना ही बढ़ जाता है.
इस मामले में ठीक यही हुआ भी. सुरक्षा अपडेट जारी होने से कुछ समय पहले ही पीएचपी की कमियों की जानकारी बाहर आने लगी. इसके चलते पीएचपी प्रोजेक्ट को अपने सुरक्षा अपडेट तय समय से एक दिन पहले जारी करने पड़े.
यह घटना दिखाती है कि साइबर सुरक्षा से जुड़ी समस्याओं के हर चरण में एआई किस तरह की भूमिका निभा सकती है.
एआई ने पीएचपी की गंभीर कमजोरियां खोजने, उनका फायदा उठाने के तरीके पता लगाने और उन्हें दूर करने के प्रयासों में शोधकर्ताओं की काफी मदद की. ये ऐसे काम थे जिन्हें एआई के बिना करने के लिए बहुत ज्यादा विशेषज्ञता, मेहनत और समय की जरूरत होती. लेकिन एआई कमियां ढूंढ़ने और उन्हें एक्सप्लाइट करने में हैकरों की भी उतनी ही मदद कर सकती थी.
ऐसे में अगर सिक्योरिटी अपडेट रिलीज़ होते वक्त ही हैकर्स को सॉफ्टवेयर की खामियों का पता चले तो भी एआई की मदद से वे अपडेट इंस्टाल होने से पहले ही तमाम वेबसाइटों को अपना शिकार बना सकते हैं.
. . .
पीएचपी अकेला ऐसा सॉफ्टवेयर नहीं है जिस पर इंटरनेट का एक बड़ा हिस्सा निर्भर करता है. अपाचे और माईएसक्यूएल जैसे कई दूसरे सॉफ्टवेयर भी हमारी वेबसाइटों और ऑनलाइन सेवाओं के पीछे चुपचाप जरूरी काम करते रहते हैं. हैकरों से पहले इनकी कमजोरियां खोजना, उन्हें दूर करना और यह सुनिश्चित करना कि जरूरी सुरक्षा अपडेट उन सभी लोगों तक पहुंचें जिन्हें उनकी जरूरत है, एक बहुत बड़ी चुनौती है.
इस चुनौती का एक अहम पहलू तब सामने आता है जब हम इस ओर ध्यान देते हैं कि पीएचपी जैसे किसी सॉफ्टवेयर को डेवलप और मेंटेन कैसे किया जाता है.
आज का इंटरनेट काफी हद तक पीएचपी जैसे ओपन-सोर्स सॉफ्टवेयर पर निर्भर करता है. इसका मतलब यह है कि दुनिया में कहीं भी मौजूद डेवलपर इनका कोड देख सकते हैं, उनमें सुधार सुझा सकते हैं और उनकी खामियां दूर करने में मदद कर सकते हैं. लेकिन इन योगदानों की समीक्षा करने, आधिकारिक अपडेट तैयार करने और सॉफ्टवेयर के रखरखाव के लिए अनुभवी डेवलपर्स और काफी संसाधनों की जरूरत होती है.
इंटरनेट के लिए पीएचपी की इतनी अहमियत होने के बावजूद इसके विकास में आर्थिक मदद देने वाली गैर-लाभकारी संस्था पीएचपी फाउंडेशन बेहद सीमित संसाधनों में अपना काम करती है. 2025 में उसे महज 7,30,534 डॉलर का चंदा मिला था और उसके पास केवल 11 कॉन्ट्रैक्ट डेवलपर्स ही थे, जो पूर्णकालिक या अंशकालिक रूप से पीएचपी को बेहतर और मजबूत बनाने के लिए काम कर रहे थे.
दुनिया भर में पीएचपी के विकास में योगदान देने वाले लोगों का समुदाय इससे काफी बड़ा है. लेकिन इसका यह मतलब नहीं कि किसी गंभीर सुरक्षा समस्या के सामने आने पर उसे हल करने के लिए सही समय पर पर्याप्त संख्या में अनुभवी डेवलपर मिल ही जाएंगे. खुद पीएचपी फाउंडेशन ने स्वीकार किया कि सीमित संसाधन उन कारणों में से एक थे जिनकी वजह से 2024 में पहचानी गई खामी इतने लंबे समय तक दूर नहीं की जा सकी.
और अब एआई एक नई चुनौती पैदा कर रही है. पीएचपी फाउंडेशन की कार्यकारी निदेशक एलिजाबेथ बैरन के मुताबिक, पिछले एक साल में पीएचपी के कोड में बदलाव के लिए आने वाले प्रस्तावों की संख्या लगभग दोगुनी हो गई है. इसकी एक वजह यह भी है कि एआई ने सॉफ्टवेयर लिखना आसान बना दिया है.
तो फिर किया क्या जा सकता है?
इन समस्याओं से निपटने और इंटरनेट को ज्यादा सुरक्षित बनाने का एक रास्ता खुद पीएचपी की इस घटना में दिखाई देता है.
अगर उन्नत एआई मॉडल शोधकर्ताओं को पीएचपी की ऐसी कमजोरियां खोजने में मदद कर सकते हैं जो एक दशक से भी ज्यादा समय तक पकड़ में नहीं आईं, तो इनका इस्तेमाल हजारों दूसरे महत्वपूर्ण सॉफ्टवेयर को बेहतर बनाने के लिए भी किया जा सकता है.
ओपनएआई ने इस दिशा में पैच द प्लैनेट नाम से एक पहल शुरू भी कर दी है. इसके तहत उन्नत एआई तकनीकों, साइबर सुरक्षा शोधकर्ताओं और ओपन-सोर्स डेवलपरों को एक साथ लाया जाता है, ताकि महत्वपूर्ण सॉफ्टवेयरों में सुरक्षा संबंधी कमजोरियों का पता लगाकर उन्हें दूर किया जा सके.
पीएचपी की घटना इस तरीके के काम करने का एक उदाहरण है. कैलिफ, ओपनएआई और विज़ के शोधकर्ताओं ने स्वतंत्र रूप से पीएचपी की खामियों का फायदा उठाने के तरीके खोजे थे. लेकिन उसके बाद उन्होंने पीएचपी के डेवलपर्स और दूसरे साइबर सुरक्षा संगठनों के साथ मिलकर उन खामियों को दूर करने के तरीके भी खोजे. इस व्यापक प्रयास के लिए तालमेल बनाने में पैच द प्लैनेट ने महत्वपूर्ण भूमिका निभाई.
इसी तरह के प्रयास दूसरी जगहों पर भी चल रहे हैं. इनमें गूगल का ओएसएस-फज़ और लिनक्स फाउंडेशन का अल्फा-ओमेगा प्रोजेक्ट शामिल हैं, जो बड़े पैमाने पर इस्तेमाल होने वाले सॉफ्टवेयरों की सुरक्षा बेहतर बनाने में मदद करते हैं.
अब चुनौती ऐसे प्रयासों को ज्यादा से ज्यादा सॉफ्टवेयर परियोजनाओं तक पहुंचाने की है, खासकर उन परियोजनाओं तक जिन्हें सीमित संसाधनों वाली छोटी टीमें संभालती हैं. किसी खामी को खोजना केवल आधा काम है. उसे ठीक करना और फिर यह सुनिश्चित करना भी जरूरी है कि सुरक्षा अपडेट उन सभी वेबसाइटों तक पहुंचे जिन्हें उसकी जरूरत है.
इससे साइबर हमले पूरी तरह खत्म नहीं होंगे. न ही यह गारंटी दी जा सकती है कि सुरक्षा शोधकर्ता हमेशा अपराधियों से पहले किसी खामी का पता लगा लेंगे. लेकिन इससे पीएचपी जैसे उन महत्वपूर्ण सॉफ्टवेयरों की सुरक्षा काफी बेहतर की जा सकती है, जिनके विकास, रखरखाव और सुरक्षा का जिम्मा संभालने वाली टीमें लंबे समय से सीमित संसाधनों के साथ काम कर रही हैं.
अपडेट पाने, बुकमार्क या कॉमेंट करने के लिए सब्सक्राइब करें.