क्या यही नया साइबर सामान्य है?

पिछले हफ्ते में गंभीर और अत्यंत महत्वपूर्ण सॉफ़्टवेयर खामियों की बाढ़ आ गई, जिन्होंने हज़ारों प्रमुख साइटों को प्रभावित किया और लोगों में घबराहट फैला दी। PHP में दो रिमोट कोड निष्पादन (RCE) खामियाँ, जिन्हें PHP2Shell नाम दिया गया, Calif और Wiz की अलग-अलग सुरक्षा टीमों ने खोजीं। दोनों टीमों ने खामियों को ढूंढने और कार्यशील एक्सप्लॉइट बनाने के लिए फ्रंटियर AI मॉडल का उपयोग किया। अनुमान है कि यह खामी इंटरनेट के 70% से अधिक को प्रभावित कर सकती है, और हज़ारों वेबसाइटें प्रभावित हुई हैं, जिनमें विकिमीडिया फाउंडेशन, DeviantArt, ब्रिटेन सरकार का बड़ा हिस्सा, जापानी बैंकिंग सिस्टम और BBC की वेबसाइट The Traitors शामिल हैं।

इनमें से एक खामी, CVE-2026-109618, को वास्तव में 2024 के एक सुरक्षा ऑडिट में PHP Foundation ने चिह्नित किया था, जिसे Sovereign Tech Agency ने वित्त पोषित किया था। टीम ने इसे इसलिए किनारे रख दिया क्योंकि उसके पास बड़ी चिंताएँ थीं और वह किसी समाधान पर सहमत नहीं हो सकी। उनका तर्क था कि इस सैद्धांतिक समस्या से कोई वास्तविक एक्सप्लॉइट नहीं बना सकता। AI मॉडलों ने इस गणित को बदल दिया है। वे किसी अस्पष्ट खामी के विवरण को पूर्ण एक्सप्लॉइट में बदलने में बहुत कुशल हैं, और एजेंट अब पैच जारी होते ही कुछ ही क्षणों में पैच डिफ़ को स्कैन करके खामी तक पहुँच सकते हैं।

घोषणा पर लगी रोक (embargo) तब टूट गई जब petecooper नाम के एक उपयोगकर्ता ने Hacker News पर CVE के बारे में पोस्ट किया, जाहिर तौर पर उसे इस रोक के अस्तित्व का पता नहीं था। PHP Group ने जल्दबाज़ी में पैच की तारीख गुरुवार 22 से बुधवार 21 कर दी, लेकिन सुधार अभी भी एक और दिन बाद आना था। लीक हुए CVSS स्कोर 10.0 भी गलत थे, वास्तविक स्कोर 9.2 सूचीबद्ध था। पैच जारी होने तक, यह खामी पहले ही वास्तविक दुनिया में इस्तेमाल होने लगी थी।

PHP Foundation ने Calif को दोषी ठहराया, जिस पर एक्सप्लॉइट का वीडियो लीक करने की रिपोर्ट थी, और Chainguard को भी, जिसने रोक हटने से छह घंटे पहले सुधार प्रकाशित कर दिए थे। घटनाओं का क्रम भ्रमित करने वाला है, लेकिन लगता है कि कई जुड़ी हुई विफलताओं के कारण हमलावर एडमिनिस्ट्रेटरों के पैच लगाने से पहले सिस्टम तक पहुँच गए।

स्रोत: Hacker News · HeadlinesBriefing द्वारा सारांशित