PHP2Shell से हैकर ने 19 घंटे में तोड़ा 2,000 डॉलर के बिटकॉइन वाला चारा सर्वर

PHP की बिना पैच वाली कॉपी पर चल रहा एक सर्वर, जिसके भीतर बिटकॉइन वॉलेट की एक कुंजी चारे के तौर पर रखी गई थी, एक दिन से भी कम समय तक टिका। KillaBoi (किल्लाबोई) नाम से काम करने वाले एक शोधकर्ता ने वेब के बड़े हिस्से के पीछे की भाषा PHP में मौजूद दो गंभीर खामियों—PHP2Shell—के ज़रिए सेंध लगाई और कुंजी निकाल ली। इसी सप्ताहांत, Perplexity के एक सुरक्षा प्रमुख द्वारा चलाए जा रहे हनीपॉट ने भी एक हमलावर को असली सर्वर पर यही करते हुए दर्ज किया। इससे यह सुविधाजनक धारणा खत्म हो जाती है कि इन खामियों का इस्तेमाल करना इतना पेचीदा था कि कोई इन्हें आज़माएगा ही नहीं।

यह बात वेबसाइट चलाने वाले हर व्यक्ति के लिए मायने रखती है—और उन सभी के लिए भी, जिनका डेटा किसी वेबसाइट पर मौजूद है। WordPress, Drupal, Joomla और साझा होस्टिंग की ज़्यादातर सेवाओं के आधार में PHP है। ये खामियां ऐसे व्यक्ति को सर्वर पर कमांड चलाने दे सकती हैं, जिसके पास कोई अकाउंट तक न हो। पैच जारी होने के बाद से इंतज़ार करने के पक्ष में मुख्य दलील यही रही है कि सार्वजनिक हमले लगातार नाकाम हो रहे थे। इन दोनों घटनाओं ने उस दलील को ध्वस्त कर दिया है।

“Steal My Bitcoin” नाम की चुनौती अपनी वेबसाइट पर शुरू की गई और एक फ़ोरम पोस्ट के ज़रिए इसकी घोषणा हुई। cloudlandsdev नाम से पोस्ट करने वाले इसके निर्माता ने लिखा: “मैंने यह इसलिए बनाया, क्योंकि जानना चाहता हूँ कि क्या किसी ने यह समझ लिया है कि इस PHP RCE का असल में इस्तेमाल कैसे किया जाए। हम पिछले कुछ दिनों से घबराए हुए थे। मज़े कीजिए!” शुरुआत में इनाम की रकम करीब 502 डॉलर थी। लोगों के दान से यह बढ़कर 0.02511679 BTC हो गई, जिसकी कीमत दावा किए जाने के समय 2,021.22 डॉलर थी। Tom’s Hardware के मुताबिक, चुनौती शुरू होने के करीब 19 घंटे बाद इनाम पर दावा किया गया। कोशिश करने वालों के ट्रैफ़िक के दबाव में सर्वर लड़खड़ा गया और स्टोरेज की सीमित जगह के कारण वह अपने सारे लॉग सहेज नहीं पाया।

इसके बाद किल्लाबोई ने GitHub पर एक प्रूफ़ ऑफ़ कॉन्सेप्ट प्रकाशित किया। WordPress सुरक्षा कंपनी Wordfence के संस्थापक मार्क मौंडर (Mark Maunder) ने इस लेख को “#php2shell का इस्तेमाल करना कितना मुश्किल है, इसकी अब तक की सबसे बेहतरीन व्याख्या” बताया और इस ओर ध्यान दिलाया कि हमले के लिए कितने सटीक काम की ज़रूरत थी। पता चला कि मुश्किल होने का मतलब धीमा होना नहीं था।

ज़्यादा चिंताजनक नतीजा इस चुनौती से बाहर सामने आया। Perplexity में डिटेक्शन और रिस्पॉन्स प्रमुख आदेल करीमी (Adel Karimi) ने बताया कि उनके हनीपॉट ने PHP 8.4.26 पर चल रहे Apache सर्वर के ख़िलाफ़ रिमोट कोड एक्ज़ीक्यूशन की पुष्टि की। BleepingComputer की रिपोर्ट के मुताबिक, उन्होंने लिखा: “अब यह उपयोगी मेमोरी डिस्क्लोज़र के साथ पुष्टि किया गया RCE है—सिर्फ़ क्रैश और उसके बाद किसी संदिग्ध प्रक्रिया का मामला नहीं।” Expel के ख़तरा शोधकर्ता मार्कस हचिन्स (Marcus Hutchins), जो सफल हमलों के दावों पर नज़र रख रहे थे, ने इसे “अब तक खुले इंटरनेट पर php2shell के इस्तेमाल की मिली सबसे उच्च गुणवत्ता वाली पुष्टि” बताया। इससे पहले Cloudflare, watchTowr, Patchstack और दूसरी सुरक्षा कंपनियों ने सिर्फ़ नाकाम कोशिशें दर्ज की थीं। Amazon की ख़तरा ख़ुफ़िया टीम ने भी पैच जारी होने से चार दिन पहले स्कैनिंग शुरू होते देखी थी।

इन दोनों नतीजों का यह मतलब नहीं कि बिना पैच वाला हर सर्वर कल ही निशाने पर आ जाएगा। किल्लाबोई को मिली कुंजी उस वॉलेट पते से मेल नहीं खाती थी, जिसे वेबसाइट ने प्रचारित किया था। Cointelegraph के मुताबिक, आयोजक ने इसे सेटअप की गलती बताया और कहा कि रकम ट्रांसफ़र की जाएगी। सुरक्षा साइट Cyberpress का कहना है कि सार्वजनिक सबूत से कुंजी निकाले जाने की पुष्टि होती है, इनाम चुराए जाने की नहीं। प्रकाशित एक्सप्लॉइट PHP के एक खास बिल्ड के लिए तैयार किया गया है और उसी संस्करण के दूसरे बिल्ड पर काम नहीं करता, इसलिए यह एक क्लिक में चलने वाला टूल नहीं है। लेकिन अब यह बचाव नहीं बचा कि किसी ने इसे कामयाब करके नहीं दिखाया।

इसका ख़तरा पूरी दुनिया में फैला है। Cointelegraph की रिपोर्ट के मुताबिक, पैच तैयार किए जाने के दौरान नीदरलैंड, ऑस्ट्रेलिया, जापान और फ़िनलैंड की सरकारी एजेंसियों ने अहम वेबसाइटें ऑफ़लाइन कर दीं। सुरक्षा फ़र्म Mallory की Shodan गणना में इंटरनेट से जुड़े करीब 884,000 होस्ट ऐसे मिले, जो PHP का ऐसा संस्करण दिखा रहे थे जिसके लिए अब आधिकारिक सुधार जारी नहीं होते। Notebookcheck के मुताबिक, यह उन करीब 1.5 मिलियन होस्ट का 59% है, जो अपना PHP संस्करण ज़ाहिर करते हैं। ये बैनर के आधार पर की गई गिनतियां हैं, पुष्टि किए गए पीड़ितों की संख्या नहीं, क्योंकि Linux डिस्ट्रिब्यूशन अक्सर संस्करण संख्या बदले बिना पुराने पैकेज में पैच लगा देते हैं।

वेबसाइट मालिकों के लिए समाधान वही है। पैच वाले संस्करण PHP 8.5.12, 8.4.27, 8.3.36 और 8.2.35 हैं। इन्हें CVE-2026-109618 और CVE-2026-109619 के लिए 21 अक्टूबर को जारी किया गया था; दोनों को 10 में से 9.2 की गंभीरता रेटिंग मिली है। साझा होस्टिंग में यह अपडेट होस्टिंग कंपनी की ओर से आता है, WordPress या प्लगइन अपडेट के ज़रिए नहीं। इसलिए अपने सेवा प्रदाता से पूछने लायक असली सवाल यह है कि आपकी साइट PHP के किस बिल्ड पर चलती है और उस पर पैच कब लगाया गया। अमेरिकी साइबर सुरक्षा एजेंसी CISA ने उन संगठनों से, जो अपडेट नहीं कर सकते या अब भी PHP 8.1 अथवा उससे पुराना संस्करण चला रहे हैं, कहा है कि अपडेट होने तक वे उन सिस्टम को ऑफ़लाइन कर दें।

अगली समस्या पहले से सामने है। शुक्रवार को PHP टीम ने रिमोट कोड एक्ज़ीक्यूशन की तीसरी खामी, CVE-2026-115560, के लिए एक अस्थायी उपाय प्रकाशित किया। इसका पैच अभी उपलब्ध नहीं है और यह सिर्फ़ उन सिस्टम को प्रभावित करती है “जिनमें कॉन्फ़िगरेशन और एप्लिकेशन कोड का असामान्य मेल हो।” सुधार जारी होने तक PHP डेवलपर session.upload_progress सेटिंग बंद करने की सलाह देते हैं—यही कदम उन्होंने PHP2Shell पैच जारी होने से पहले भी सुझाया था। PHP 8.2 के लिए सुरक्षा सहायता 31 दिसंबर, 2026 को खत्म हो जाएगी, जबकि जो सर्वर कभी 8.1 से आगे बढ़े ही नहीं, उनकी सहायता अवधि पहले ही समाप्त हो चुकी है।

टैग: साइबर सुरक्षा, bitcoin, Perplexity, PHP, PHP2Shell, WordPress