जिस बात का डर था वही हुआ! 24 घंटे में साइबर दुनिया में मचा हड़कंप, PHP, eMudhra और AI सॉफ्टवेयर में मिलीं गंभीर खामियां

जिस बात का डर था आखिर वही हुआ है. इंटरनेट की दुनिया में पिछले 24 घंटे काफी हलचल भरे रहे हैं. वेबसाइट चलाने वाले सॉफ्टवेयर से लेकर डिजिटल सर्टिफिकेट, AI टूल और क्लाउड प्लेटफॉर्म तक, कई अलग-अलग जगहों पर सुरक्षा से जुड़ी गंभीर घटनाएं सामने आई हैं. कहीं ऐसी खामियां मिलीं जिनसे हमलावर किसी सर्वर पर अपना कोड चला सकते थे, तो कहीं सॉफ्टवेयर के अपडेट में ही खतरनाक कोड डाल दिया गया. भारत की कंपनी eMudhra से जुड़े डिजिटल सर्टिफिकेट का मामला भी इसी दौरान ग्लोबल साइबर सिक्योरिटी की बड़ी चर्चा बन गया.

सवाल ये है कि एक ही साथ इतना कुछ क्यों हुआ? अगर आपको याद हो तो हाल ही में AI लीडर्स ने वॉर्न किया था कि AI के पावरफुल मॉडल्स दुनिया भर के सॉफ्टवेयर्स में खामी इंसानों के मुकाबले काफी तेजी से ढूंढ सकते हैं. लोगों को डर है कि अगर AI ने तेजी से खामियां ढूंढना शुरू कर दिया तो इन्हें फिर पैच कौन करेगा? यानी जिस तेजी से खामी ढूंढी जाएगी क्या उसी तेजी से इसे ठीक किया जा सकेगा? अगर ऐसा नहीं हुआ तो दुनिया भर के यूजर्स की सिक्योरिटी और प्राइवेसी तुरंत खतरे में आ जाएगी. 

यह भी पढ़ें: Explained: eMudhra की सुरक्षा में चूक से उठे बड़े सवाल, क्या HTTPS लॉक पर अब भी कर सकते हैं भरोसा?

सम्बंधित ख़बरें

दिवाली से पहले Flipkart की Big Bang Sale, मिलेगी बंपर छूट!

हार्ट हेल्थ से सांस तक! Oura Ring5 भारत में लॉन्च, हैरान कर देंगे फीचर्स

HTTPS वेबसाइट से भरोसा उठा! eMudhra की एक गलती और करोड़ों लोग खतरे में?

सालों बाद वापसी करेगा ये स्वदेशी ब्रांड, ला रहा है धांसू सस्ता 5G फोन

₹3 हजार की रेंज में एयर प्यूरिफायर, Amazon सेल में कीमत धड़ाम!

इन घटनाओं ने एक बार फिर दिखाया है कि इंटरनेट की सिक्योरिटी सिर्फ किसी एक कंपनी या वेबसाइट पर निर्भर नहीं करती. ब्राउजर, सर्वर, सॉफ्टवेयर अपडेट और डिजिटल सर्टिफिकेट जैसे कई हिस्से मिलकर इंटरनेट पर भरोसा बनाए रखते हैं. इनमें से किसी एक हिस्से में चूक होने पर उसका असर दूसरी कंपनियों और सेवाओं तक पहुंच सकता है. अच्छी बात ये है कि अब तक कोई बड़े नुकसान की खबर नहीं है, लेकिन बाद में ये खबरें आ सकती हैं, क्योंकि अभी इनका असेस्मेंट होना बाकी है. 

PHP में मिलीं दो गंभीर खामियां, दुनियाभर में बढ़े हमले की कोशिशें

इस पूरे घटनाक्रम में सबसे बड़ी खबर PHP प्रोग्रामिंग लैंग्वेज में मिली दो गंभीर सुरक्षा खामियों की है. PHP का इस्तेमाल वेबसाइट और वेब ऐप बनाने में बड़े पैमाने पर होता है. कई वेबसाइट्स के पीछे चलने वाला सर्वर इसी लैंग्वेज की मदद से काम करता है.

भारत की साइबर सिक्योरिटी एजेंसी CERT-In ने 21 अक्टूबर को इन खामियों को लेकर अलर्ट जारी किया. इन्हें CVE-2026-109618 और CVE-2026-109619 नाम दिए गए हैं. इनका फायदा उठाकर अटैकर्स कुछ कमजोर सर्वर पर बिना लॉगिन किए अपना कोड चला सकते थे. ऐसा होने पर सर्वर पर कंट्रोल पाने और उस पर मौजूद सर्विसेज को प्रभावित करने का खतरा पैदा हो सकता था.

यह भी पढ़ें: अमेरिका- यूरोप... में हड़कंप, PHP में खामी और कई देशों ने बंद की वेबसाइट, तुरंत कर लें ये काम

PHP की टीम ने इन खामियों को ठीक करने के लिए नए सिक्योरिटी अपडेट जारी किए. PHP 8.5 इस्तेमाल करने वालों के लिए 8.5.12, PHP 8.4 के लिए 8.4.27, PHP 8.3 के लिए 8.3.36 और PHP 8.2 के लिए 8.2.35 अपडेट जारी किए गए. प्रभावित वेबसाइटों और सर्वरों को जल्द से जल्द अपडेट करने की सलाह दी गई है.

तुरंत बढ़ गए साइबर अटैक्स

खतरा सामने आने के बाद अटैकर्स की कोशिशें भी तेजी से बढ़ीं. रॉयटर्स की 22 अक्टूबर की रिपोर्ट के मुताबिक, क्लाउडफ्लेयर ने PHP की खामियों की जानकारी पब्लिक होने के बाद हमले की कोशिशों में भारी उछाल देखा. क्लाउडफ्लेयर के सीईओ ने खुद माना है कि सिर्फ 10 घंटों के अंदर दुनिया की कई वेबसाइट्स पर करोड़ों साइबर अटैक्स हुए हैं.

पहले जहां ऐसी कोशिशें हजारों में थीं, वहीं खुलासे के बाद इनकी संख्या लाखों तक पहुंच गई. कई देशों में कंपनियों और सरकारी सेवाओं ने अपने सिस्टम की जांच और सिक्योरिटी अपडेट्स लिए तेजी से कदम उठाए.

हालांकि, किसी सिस्टम पर हमला करने की कोशिश होना और उसमें सफल होकर डेटा चुरा लेना दो अलग बातें हैं. शुरुआती रिपोर्ट्स में इस घटनाक्रम से जुड़े किसी व्यापक सफल अटैक की पुष्टि नहीं हुई थी. क्लाउड

AI ने खोजीं खामियां, लेकिन यही तकनीक हमलावरों के लिए भी मददगार हो सकती है

PHP की इन खामियों की कहानी में एआई का पहलू भी खास है. OpenAI के मुताबिक, उसकी सुरक्षा पहल 'Patch the Planet' के तहत GPT-5.6 Sol की मदद से एक गंभीर खामी खोजी गई. साइबर सुरक्षा कंपनी Wiz ने भी इंडिपेंडेंट रूप से इन दोनों खामियों का पता लगाया और उन्हें रिपोर्ट किया. इसके बाद PHP की टीम और दूसरी सुरक्षा कंपनियों ने मिलकर इन्हें ठीक करने की डायरेक्शन में काम किया.

यह भी पढ़ें: eMudhra की बड़ी गलती से इंटरनेट की सुरक्षा पर खतरा, Google-Apple ने कमजोर सर्टिफिकेट को किया ब्लॉक!

यह मामला दिखाता है कि आर्टिफिशियल इंटेलिजेंस का इस्तेमाल केवल सवालों के जवाब देने या कंटेंट बनाने के लिए नहीं, बल्कि सॉफ्टवेयर में छिपी सुरक्षा कमजोरियों को खोजने के लिए भी हो सकता है. ऐसी तकनीक सुरक्षा टीमों को खामियां जल्दी पहचानने और उनका समाधान तैयार करने में मदद कर सकती है.

लेकिन इसका दूसरा पहलू भी है. अगर अटैकर इसी तरह की तकनीक से खामियां खोजने, हमले की तैयारी करने और कमजोर सिस्टम की पहचान करने लगें, तो कंपनियों के पास प्रतिक्रिया देने के लिए कम समय बचेगा. इसलिए AI से साइबर सुरक्षा मजबूत होने की उम्मीद के साथ यह चिंता भी बढ़ रही है कि हमले पहले से ज्यादा तेजी से किए जा सकते हैं. 

eMudhra मामला: डिजिटल सर्टिफिकेट में छोटी चूक से कैसे पैदा हुआ बड़ा खतरा?

इसी दौरान भारतीय कंपनी ई-मुद्रा से जुड़े डिजिटल सर्टिफिकेट का मामला भी सामने आया. कंपनी इंटरनेट पर सिक्योर कनेक्शन के लिए इस्तेमाल होने वाले डिजिटल सर्टिफिकेट जारी करती है. ऐसे सर्टिफिकेट ब्राउजर को यह पहचानने में मदद करते हैं कि कोई वेबसाइट भरोसेमंद है और उससे बना सुरक्षित कनेक्शन सही वेबसाइट तक पहुंच रहा है.

CERT-In के मुताबिक, ई-मुद्रा के आठ इंटरमीडिएट सर्टिफिकेट से जुड़े प्राइवेट क्रिप्टोग्राफिक की कमजोर तरीके से बनाए गए थे. इनकी Key तैयार करते समय पर्याप्त रैंडमनेस नहीं थी. नतीजतन, ये की इतनी कमजोर थीं कि सार्वजनिक जानकारी से इन्हें लगभग तुरंत निकाला जा सकता था.

यहां एक जरूरी बात समझना जरूरी है. समस्या P-384 नाम की क्रिप्टोग्राफिक तकनीक में नहीं थी, बल्कि की बनाने की प्रक्रिया में हुई चूक में थी. सामान्य तौर पर ऐसी Keys को मजबूत और अनुमान लगाना बेहद मुश्किल होना चाहिए. लेकिन इस मामले में कुछ कुंजियों की वैल्यू 256 से भी कम थी. यही कमजोरी संभावित हमलावरों के लिए खतरा बन गई. 

अगर कोई हमलावर इन Keys का इस्तेमाल कर फर्जी डिजिटल सर्टिफिकेट बना लेता, तो वह किसी असली वेबसाइट की नकल कर सकता था. कुछ सिचुएशन में इससे वेबसाइट और यूजर के बीच होने वाले एन्क्रिप्टेड कनेक्शन को बीच में रोकने, जानकारी देखने या उसमें बदलाव करने का खतरा पैदा हो सकता था. डिजिटल सर्टिफिकेट का इस्तेमाल सॉफ्टवेयर की पहचान की पुष्टि में भी होता है, इसलिए गलत हाथों में गई ऐसी कुंजियों से फर्जी कोड-साइनिंग सर्टिफिकेट का जोखिम भी पैदा हो सकता था.

गूगल और मोजिला ने प्रभावित सर्टिफिकेट को ब्लॉक करने के कदम उठाए. ई-मुद्रा ने भी प्रभावित आठ इंटरमीडिएट सर्टिफिकेट रद्द किए.

गूगल ने बताया कि प्रभावित छह TLS इंटरमीडिएट सर्टिफिकेट से जुड़े कोई सर्टिफिकेट उसके सार्वजनिक Certificate Transparency लॉग में ब्लॉक करने की कार्रवाई से पहले दर्ज नहीं थे. ई-मुद्रा के अनुसार, प्रभावित इंटरमीडिएट सर्टिफिकेट ने आम वेबसाइटों के लिए एंड-यूजर सर्टिफिकेट जारी नहीं किए थे.

LiteLLM में सॉफ्टवेयर अपडेट के जरिए घुसा खतरनाक कोड

इस बीच AI मॉडल से जुड़ी सर्विसेज को जोड़ने वाले ओपन-सोर्स प्लेटफॉर्म LiteLLM ने भी एक गंभीर सिक्योरिटी घटना की जानकारी दी. कंपनी के मुताबिक, 21 अक्टूबर को उसके सॉफ्टवेयर रिलीज करने वाले सिस्टम से छेड़छाड़ की गई और LiteLLM का 1.107.0 वर्जन PyPI और Docker जैसे प्लेटफॉर्म पर जारी हो गया.

इस वर्जन में ऐसा खतरनाक कोड था जो लॉगिन क्रेडेंशियल और अन्य सेंसिटिव जानकारी चुराने के साथ रिमोट कोड चलाने की क्षमता भी रखता था. कंपनी ने प्रभावित रिलीज वापस ले लीं और बताया कि उसके तीन डेवलपर खातों से जुड़े क्रेडेंशियल का गलत इस्तेमाल कर रिलीज प्रक्रिया में बदलाव किए गए थे.

इस घटना का खतरा इसलिए गंभीर है क्योंकि सॉफ्टवेयर अपडेट को आम तौर पर सुरक्षा और नए फीचर पाने का तरीका माना जाता है. लेकिन अगर हमलावर रिलीज प्रक्रिया पर कब्जा कर लें, तो यूजर के लिए भरोसेमंद दिखने वाला अपडेट ही खतरे का रास्ता बन सकता है.

LiteLLM ने प्रभावित वर्जन इस्तेमाल करने वालों को सिस्टम की जांच करने, साफ वर्जन पर लौटने और संभावित रूप से उजागर हुए API की और अन्य सीक्रेट जानकारी की कुंजियां बदलने की सलाह दी. कंपनी की जांच जारी थी. 

Railway क्लाउड प्लेटफॉर्म ने भी रीसेट किए कस्टमर्स के क्रेडेंशियल

क्लाउड प्लेटफॉर्म Railway ने 21 अक्टूबर को बताया कि किसी अनधिकृत शख्स ने उसके उन सिस्टम तक पहुंच बनाई हो सकती है जहां कस्टमर्स के एनवायरनमेंट वेरिएबल रखे जाते हैं. इन वेरिएबल में API की, डेटाबेस पासवर्ड और दूसरी सेवाओं के लॉगिन क्रेडेंशियल हो सकते हैं.

कंपनी की शुरुआती जांच के अनुसार, कुछ एन्क्रिप्टेड वेरिएबल तक पहुंच बनी हो सकती है और कुछ मामलों में उनकी असली वैल्यू भी सामने आई हो सकती है. Railway ने कस्टमर्स को अपने API की और दूसरी संवेदनशील जानकारी बदलने की सलाह दी. कंपनी ने जांच के दौरान सभी प्रभावित सिस्टम की सुरक्षा सुनिश्चित करने के लिए कदम उठाए. 

यह मामला भी एक अहम समस्या की ओर इशारा करता है. आज कई कंपनियां अपनी सर्विसेज को क्लाउड पर चलाती हैं और एक ही जगह पर कई तरह की Keyws और पासवर्ड रखती हैं. अगर ऐसी जानकारी गलत हाथों में चली जाए, तो खतरा सिर्फ एक अकाउंट तक सीमित नहीं रह सकता.

Node.js में भी सुरक्षा अपडेट, इंटरनेट के कई हिस्सों पर असर

21 अक्टूबर को Node.js ने भी कई सिक्योरिटी खामियों को ठीक करने के लिए नए वर्जन जारी किए. इनमें सर्टिफिकेट की जांच से जुड़ी समस्याएं, DNS से संबंधित खामी और Brotli डिकोडर में ऐसी कमजोरी शामिल थी जो कुछ परिस्थितियों में रिमोट कोड चलाने का रास्ता खोल सकती थी. इन अपडेट में ई-मुद्रा के इंटरमीडिएट सर्टिफिकेट मामले से जुड़े बदलाव भी शामिल थे.

Node.js का इस्तेमाल सर्वर और ऐप बनाने में होता है. इसका मतलब है कि इंटरनेट पर चलने वाली सेवाओं की सिक्योरिटी सिर्फ वेबसाइट के सामने दिखने वाले पेज पर निर्भर नहीं करती. उसके पीछे इस्तेमाल होने वाले सॉफ्टवेयर, लाइब्रेरी और डिजिटल सर्टिफिकेट भी उतने ही जरूरी हैं. 

इन घटनाओं से आम यूजर को क्या फर्क पड़ना चाहिए?

इन सभी मामलों का मतलब यह नहीं है कि हर वेबसाइट या हर यूजर का डेटा खतरे में पड़ गया है. लेकिन यह जरूर दिखाता है कि साइबर सुरक्षा में छोटी-सी चूक भी बड़े जोखिम में बदल सकती है. एक गलती से करोड़ों यूजर्स के अकाउंट हैक हो सकते हैं और बैंक अकाउंट भी खाली हो सकते हैं. क्योंकि कोई भी असली जैसी दिखने वाली नकली वेबसाइट बना कर लाइव कर सकता था और वो दिखने में सिक्योर वेबसाइट लगती.

PHP की खामियों के लिए सर्वर अपडेट जरूरी हैं, डिजिटल सर्टिफिकेट के मामले में ब्राउजर और सिस्टम की सिक्योरिटी लिस्ट अपडेट रहनी चाहिए, और LiteLLM या Railway जैसी सेवाओं का इस्तेमाल करने वाली कंपनियों को अपने क्रेडेंशियल की जांच करनी चाहिए.

आम यूजर के लिए सबसे जरूरी कदम है अपने ब्राउजर, ऑपरेटिंग सिस्टम और ऐप को अपडेट रखना. कंपनियों और वेबसाइट चलाने वालों को यह जांचना चाहिए कि उनके सर्वर पर कौन-सा सॉफ्टवेयर चल रहा है, क्या उसके लिए सुरक्षा अपडेट उपलब्ध है और क्या किसी सेवा की API की या पासवर्ड बदलने की जरूरत है.