PHP2Shell हाल ही में PHP कोर में ठीक की गई गंभीर कमजोरियों का एक समूह है, जिसकी गंभीरता CVSS 9.2 तक पहुँचती है। ये बिना प्रमाणीकरण वाले हमलावरों को कोड चलाने या संवेदनशील प्रोसेस मेमोरी उजागर करने की अनुमति दे सकती हैं। PHP लगभग 70% वेबसाइटों को चलाता है, जिनमें WordPress, Drupal और Wikipedia का MediaWiki जैसे प्लेटफ़ॉर्म शामिल हैं।
Wiz Research के शोधकर्ताओं, जिनमें Sagi Tzadik, Shir Tamari, Nir Ohfeld और Tomer Schwartz शामिल हैं, ने Open AI Codex Security (Amy Burnett) और अन्य के साथ मिलकर ज़िम्मेदार खुलासे (responsible disclosure) पर काम किया। ये कमजोरियाँ PHP में ही मौजूद हैं, इसलिए वेबसाइटें प्रभावित हो सकती हैं, भले ही उनका एप्लिकेशन कोड सुरक्षित हो। प्रभावित PHP संस्करण पर चल रहा एक साधारण “Hello World” एप्लिकेशन भी उजागर होने के लिए पर्याप्त है। नवीनतम पैच किए गए PHP रिलीज़ चलाने वाली साइटें सुरक्षित हैं। PHP टीम ने तेज़ी से प्रतिक्रिया दी और व्यापक सुधारों पर शोधकर्ताओं के साथ निकटता से काम किया।
ये खामियाँ दो वर्गों में आती हैं, जिन्हें CVE-2026-109618 और CVE-2026-109619 के रूप में ट्रैक किया गया है। पहली में out-of-memory भ्रष्टाचार शामिल है, जो PHP web worker के रूप में बिना प्रमाणीकरण कोड निष्पादन की अनुमति दे सकता है। दूसरी में अनुरोधों के बीच पुराना (stale) global state शामिल है, जो use-after-free को सक्षम कर सकता है और worker मेमोरी उजागर कर सकता है या कोड चला सकता है। शोधकर्ताओं ने परीक्षण के समय अपनी नवीनतम container images का उपयोग करते हुए WordPress, Drupal और Joomla के विरुद्ध प्रमाणीकरण-पूर्व remote code execution का प्रदर्शन किया, और एप्लिकेशन-निरपेक्ष मेमोरी खुलासा दिखाया।
हमलावर सर्वरों पर नियंत्रण पा सकते हैं, संवेदनशील डेटा तक पहुँच सकते हैं, या अन्य अनुरोधों से पासवर्ड, प्रमाणीकरण टोकन, API keys और certificates पढ़ सकते हैं। मेमोरी खुलासा कोड निष्पादन हासिल किए बिना भी डेटा चुरा सकता है, जिससे गतिविधि का पता लगाना कठिन हो जाता है। एकमात्र पूर्ण समाधान है हर runtime पर एक सुधारा हुआ PHP रिलीज़ इंस्टॉल करना और Apache, PHP-FPM तथा किसी भी लंबे समय तक चलने वाले PHP workers को पुनः आरंभ करना। किसी एप्लिकेशन को अपडेट करने से उसके नीचे का PHP runtime अपडेट नहीं होता।
स्रोत: Hacker News · HeadlinesBriefing द्वारा सारांशित