PHP2Shell क्या है?
PHP2Shell में PHP की मेमोरी खामियाँ CVE-2026-109618 और CVE-2026-109619 शामिल हैं, दोनों CVSS v4.0 9.2 हैं। बिना प्रमाणीकरण कोड चलाना और मेमोरी लीक प्रदर्शित हुए। सुधार 21 अक्टूबर 2026 को आए। यह केवल किसी एक CMS की समस्या नहीं है।
कौन से इंस्टॉलेशन जाँचें?
सभी Web इंस्टॉलेशन अपडेट करें: FPM, mod_php, php-cgi, FrankenPHP और LiteSpeed। WordPress, Drupal, Joomla, MediaWiki, Laravel और निजी ऐप जोखिम लेते हैं। पैनल, उपकरण, परीक्षण और कंटेनर शामिल करें। ऐप अपडेट PHP नहीं बदलता।
क्या FPM मुक्त है?
नहीं। अनुरोध शुरू न होने पर FPM चाइल्ड रोकता है और कुछ शुरुआती क्रम बंद होते हैं। ऐप और अनुरोध-पार मार्ग बचे रहते हैं। हर परिवेश mod_php जैसा नहीं, लेकिन FPM को भी पैच चाहिए।
वितरण बैकपोर्ट
Ubuntu, Debian और एंटरप्राइज़ Linux पुराना मूल नंबर रखकर नया संशोधन देते हैं। 8.3.6 बैनर अकेला प्रमाण नहीं। OS, repository, architecture और revision को दोनों CVE से मिलाएँ। हम पैकेज सीमा नहीं गढ़ते।
PHP 8.1 और पुराने
सामान्य PHP रिलीज़ नहीं हैं। 7.4, 8.0, 8.1 न्यूनतम स्रोत बैकपोर्ट अपवाद हैं; build और जाँच संचालक की जिम्मेदारी है। OS या LTS विक्रेता पैकेज रख सकता है। शोध 5.4 से अलग शर्तों तक है। माइग्रेट करें और अंतरिम पैच जाँचें।
अस्थायी उपाय अधूरे हैं
सिर्फ पूरा पैच सभी रूप सुधारता है। सेटिंग अपलोड, प्रदर्शन और उपलब्धता बदल सकती है। parsing से पहले प्रशासनिक स्तर पर लगाएँ और सभी वर्कर पुनः शुरू करें। दोनों सूचना पढ़ें। CDN और WAF सुधार प्रमाण नहीं।
पैच घुसपैठ नकारता नहीं
संस्करण तुलना पिछला शोषण नहीं पहचानती। लॉग और इमेज बचाएँ, crash, फाइल, प्रक्रिया और बाहरी connection जाँचें। त्रुटि न होना सुरक्षित प्रमाण नहीं। संदेह में अलग करें और नियंत्रण के बाद विश्वसनीय परिवेश से खुले रहस्य बदलें।
आकलन विधि
मैन्युअल जाँच चार प्रकाशित शाखाओं के पूर्ण स्थिर संस्करण की तुलना करती है। विक्रेता पैकेज के लिए दोनों CVE के प्रमाण चाहिए; अज्ञात बिल्ड अज्ञात रहते हैं। सार्वजनिक जाँच रिपोर्ट किए संस्करण और संकेत जुटाती है, शोषण का प्रमाण नहीं। छिपे हेडर, CDN या एक अपडेटेड प्रतिरूप सभी रनटाइम की सुरक्षा नहीं साबित करते। तारीखें संपादकीय समीक्षा दर्शाती हैं।
मुफ्त स्कैनर हैक साबित कर सकता है?
निश्चित रूप से नहीं। हेडर/पैटर्न पूर्ण रनटाइम, खोया इतिहास और मेमोरी रिसाव नहीं देखते। सूची, प्रमाण बचाना और जोड़ना शुरू करें। अज्ञात खाते, प्रक्रिया या रिसाव हो तो अलग करें और होस्टिंग/प्रतिक्रिया टीम जोड़ें।
हमले की कोशिश या सफल सेंध? →