AI କ’ଣ ଇଣ୍ଟରନେଟ୍ ଭିତ୍ତିଭୂମିକୁ ନଷ୍ଟ କରିଦେବ? ‘PHP2Shell’ ସମ୍ବନ୍ଧୀୟ ଆଶଙ୍କା କ’ଣ ସୂଚାଉଛି?
Short answer: AI is not breaking internet infrastructure on its own, but it is making the oldest and least-funded layers of the web much easier to attack. The PHP2Shell scare this week showed how: two long-dormant PHP bugs, found by human researchers and exploited with some AI assistance, pushed banks, retailers, hospitals and some government agencies to take servers offline while they patched.
For roughly a week, the invisible plumbing of the web became the biggest story in tech. If you run a website, build software, or simply bank online, this guide explains what happened, why it matters, and what to do next.
Key Takeaways
- What it is: PHP2Shell is the nickname for two critical PHP flaws, CVE-2026-109618 and CVE-2026-109619, that let attackers break into unpatched systems without a password. TechCrunch
- Scale: Around 70% of the web-facing internet relies on PHP, including WordPress, Drupal, Joomla and MediaWiki sites. TechCrunch
- AI’s role: Human researchers found the bugs. AI helped with exploitation, not discovery.
- Timing: Amazon detected exploitation about a week before patches were available. TechCrunch
- Status: Researchers warn that many systems remain unpatched and vulnerable.
- Bigger lesson: Aging, memory-unsafe, volunteer-maintained code still sits underneath modern internet infrastructure.
What Is PHP2Shell?
Definition: PHP2Shell in One Paragraph
PHP2Shell is the nickname for a pair of critical vulnerabilities in PHP, officially tracked as CVE-2026-109618 and CVE-2026-109619. PHP is a free, open-source programming language used to build websites and web apps, both on the public internet and on private company networks such as intranets.
In practice, this kind of PHP vulnerability lets anyone who knows how to exploit it break into an affected website or internet-facing server. They need no password, and once inside they can read or modify the system’s data. The PHP Foundation, which maintains PHP, published patches on Wednesday that close the holes. TechCrunch
Timeline: How the PHP2Shell Story Unfolded
| When | What happened |
|---|---|
| 2024 | The two bugs were first spotted but judged not exploitable, so they went unpatched |
| Earlier in 2026 | Researchers at Calif found a way to exploit them during a PHP code audit and alerted the PHP Foundation |
| Weeks before disclosure | The PHP Foundation shared fixes under embargo with major internet companies and web hosts |
| October 17 | Earliest date Amazon says defenders should check for signs of exploitation |
| Wednesday, October 21 | Patches released publicly; governments urge action; many sites go offline |
| Friday, October 23 (late) | Palo Alto Networks and Trail of Bits report confirmed compromises |
| Saturday, October 24 | TechCrunch publishes its PHP-ocalypse report and Equity podcast discussion |
Thanks to weeks of backroom coordination across the industry, the world has so far broadly avoided mass exploitation. That is not the same as being safe, as the sections below explain. TechCrunch
Why Was This PHP Vulnerability So Serious?
What Is Remote Code Execution?
Remote code execution (RCE) means an attacker can run their own commands on someone else’s machine from anywhere in the world. It is one of the most damaging bug classes because it can grant effectively full control of a system.
These PHP bugs can be abused over the internet without the victim clicking a link or opening a file. They also require no credentials, which security teams call unauthenticated access. An attacker could plant malware to steal data or keep a long-term foothold to return to later. TechCrunch
Why Does PHP’s 70% Share Matter?
PHP is popular because it is free, relatively easy to use, and has been around for decades. Its usage has been slowly declining in favor of newer, more secure languages, but the installed base is enormous. Major content platforms that rely on PHP include WordPress, Drupal, Joomla and MediaWiki, the software behind Wikipedia. TechCrunchTechCrunch
Many site owners do not even know PHP is in their stack. Kirsten Korosec noted on TechCrunch’s Equity podcast that PHP is the core ingredient behind content management systems running something like 70% of websites, which means tens of millions of sites. Scale is what turns a single PHP vulnerability into a global event. TechCrunch
PHP also hides in places beyond ordinary web servers. It appears in developer tools, command-line packages, and software components used by routers, storage devices, and enterprise security devices such as firewalls and VPNs. Each of those products needs its own update. TechCrunch
Did AI Discover the PHP2Shell Vulnerabilities?
Direct answer: No. Researchers at Calif found the bugs while taking part in the Hack the Planet initiative run by OpenAI and cloud security company Wiz. Human expertise did the discovering. TechCrunch
What AI Actually Did
Calif said AI assisted with exploiting the bugs, but most of the work relied on the researchers’ own deep knowledge of PHP’s codebase and exploitation history. In their write-up, they cautioned that no current model can uncover every bug from simple prompts, at least for now. TechCrunch
There was also a correction along the way. TechCrunch’s podcast host Anthony Ha initially described the flaws as found by LLMs, then added a note saying he got that wrong: humans found them and used AI to exploit the bug. If you cover this story, the distinction matters, because early framing in some coverage blurred it. TechCrunch
Why AI Cybersecurity Still Changes the Math
The “AI didn’t find it” answer is reassuring, but it is only half the picture. AI cybersecurity concerns come from speed and scale rather than from this one incident.
Sean O’Kane argued that if people can use advanced LLMs and task AI agents to hunt for flaws on their own, the near-misses of the past decade could repeat at vastly larger volume. If AI agents can search internet infrastructure for weak spots continuously and cheaply, the “one person happened to notice” model of defense stops scaling. TechCrunch
TechCrunch’s security reporting adds that AI tools are making flaws easier to find, and that this may be the first in a trend of incidents exploiting weaknesses in legacy technology. The practical takeaway: assume the gap between “bug exists” and “bug is exploited” will keep shrinking. TechCrunch
How Exploitation Started Before the Patch
Why were the bugs exploited before disclosure? Nobody knows for certain. Amazon said it detected PHP2Shell exploitation about a week before patches were available and could not tell how the attacker learned of the flaws. TechCrunch
TechCrunch’s reporting lays out several theories:
- A leak or communication breakdown: Embargoes in the huge open source community rely on good faith, so information could have slipped out. TechCrunch
- Independent discovery or espionage: Hackers may have found the bugs themselves.
- Patch analysis: Because PHP is open source, a patch is public and inspectable, which helps attackers see where to aim. TechCrunch
- An early release: The PHP Foundation blamed one company for pushing patches live hours before the embargo ended, though that does not explain a week of earlier activity. TechCrunch
The Disclosure Paradox
Defenders face an uncomfortable trade-off. Anthony Ha pointed out that the only way to distribute a patch is to announce the vulnerability, which triggers a panicked race: patch immediately or take your site down. TechCrunch
Normally, a researcher tells a vendor privately and the issue stays within that bubble. Sean O’Kane noted that for something this fundamental, you cannot quietly tell everyone, and he even wondered whether the days of easily identifiable webmasters would have made notification easier. TechCrunch
After disclosure, attackers moved fast. Cloudflare CEO Matthew Prince said the company saw a sharp rise in exploitation attempts after the bugs were disclosed. As of late Friday, Palo Alto Networks and Trail of Bits confirmed compromises and post-exploit activity tied to the PHP bug. TechCrunchTechCrunch
Why Internet Infrastructure Depends on Volunteer Code
Much of the internet infrastructure we rely on every day is built from free, open-source components maintained by people who are often unpaid. PHP2Shell simply made that fact visible.
The Open Source Security Funding Gap
Open source security has a structural problem: the code is everywhere, but the money is not. Many open source tools are developed by unpaid maintainers who cannot afford third-party security reviews, yet companies that do not contribute financially still widely depend on them. TechCrunch
Sean O’Kane described the internet at its deepest level as held together with glue and dreams. That is a joke with a serious edge. Companies that build on this internet infrastructure often benefit from the work without funding the audits that would catch problems earlier. TechCrunch
Interestingly, this case shows the limits of informal review. The two bugs were first spotted in 2024 but were not considered exploitable and were left unpatched. That is an analysis point rather than a reported failing, but it suggests that “not exploitable today” is a weaker guarantee in an era of better tooling.
Memory-Unsafe Software and Legacy Internet Infrastructure
PHP, like other web technologies from decades ago, is memory-unsafe, meaning an entire class of vulnerabilities can force it to leak sensitive data from memory. The National Security Agency says roughly 75% of actively exploited vulnerabilities abuse memory-related flaws. TechCrunchTechCrunch
That has driven a shift toward memory-safe languages such as Python, Rust and Swift, which are broadly immune to many of those attacks. But legacy internet infrastructure still runs on older components that cannot simply be swapped out. TechCrunch lists PHP, media and video codecs, and compression libraries among the decades-old software whose failures would have massive implications for the rest of the web. TechCrunchTechCrunch
Will Internet Infrastructure Face Another Scare?
Short answer: very likely. TechCrunch’s security editor called PHP2Shell one of the rare internet-stopping days of his career, and said it is unlikely to be the last major incident. The next scare to hit internet infrastructure may arrive faster, because AI tooling shortens the search for flaws. TechCrunch
PHP2Shell vs. Past Internet-Stopping Incidents
| Incident | Year | Cause | Impact | Key lesson |
|---|---|---|---|---|
| Dyn botnet attack | 2016 | Massive botnet flooded the internet registry with junk traffic | Many top web services slowed to a crawl | Concentrated services are single points of failure |
| WannaCry | 2017 | North Korea used leaked U.S. government hacking tools | Ransomware infected the U.K.’s health system | Leaked tools spread fast and far |
| CrowdStrike outage | 2024 | A faulty software update | A massive global outage crashed most of the world’s Windows computers | Trusted updates can fail at scale |
| PHP2Shell | 2026 | Two dormant flaws in widely used open-source software | Sites patched or went offline worldwide; exploitation attempts surged | Legacy code plus AI tooling shrinks the safety margin |
The pattern: earlier incidents hinged on traffic floods, leaked tools, or faulty updates. PHP2Shell is different because it targets a foundational, shared building block that a large share of the web uses without thinking about it.
Side Effects: Outages and Link Rot
Patching was not the only response. Banks, retailers, gaming sites, online stores, hospitals and some government agencies took their servers down to prevent attacks. TechCrunch
There is a quieter cost. Kirsten Korosec flagged link rot, citing a 404 Media breakdown: some people, companies and governments, including small neighborhood sites, may shut sites down for good rather than patch them, erasing small pieces of web history. That is a hidden toll on internet infrastructure that no patch notes will ever list. PHP2Shell vulnerability ,Internet infrastructure security, PHP security vulnerabilities, AI cybersecurity threats
Who Is Most at Risk?
The weakest parts of internet infrastructure are the places with the least security staff and the slowest update cycles. Based on TechCrunch’s reporting, the groups facing the longest exposure include:
- Small IT teams and sole developers, who may be slower to update
- Vendors that embed PHP in their own products and must ship their own fixes
- Legacy systems that have no way to be updated
- Smaller organizations and government sites without the tools and capital that Amazon has to detect attacks
Korosec noted that Amazon runs a honeypot network that caught early exploitation attempts, a level of visibility that many websites, including some government ones, simply do not have. That gap is the real exposure. TechCrunch
What Site Owners Should Do Now
Protecting your slice of internet infrastructure starts with a few concrete steps. These are practical steps drawn from the guidance in the reporting, not a substitute for advice from your hosting provider or security team.
- Find out whether you run PHP. If your site uses WordPress, Drupal, Joomla or MediaWiki, it does.
- Apply the PHP Foundation’s patches or the updates from your CMS, host or vendor. If you cannot patch right away, authorities advised taking the site offline until you can.
- Ask vendors about embedded PHP in routers, storage devices, firewalls and VPNs.
- Check for signs of compromise. Amazon said defenders should look for evidence of exploitation as early as October 17. TechCrunch
- Plan for legacy systems that cannot be updated, since the ripple effects may last years.
What Comes Next for AI Cybersecurity?
Expect AI to keep stress-testing internet infrastructure, from both sides. Defenders will use it to find and fix flaws before attackers do. Attackers will use it to weaponize flaws faster.
Korosec said she is watching how extreme people’s behavior becomes, whether new startups emerge from the fallout, and whether open source tools from companies such as Nvidia will be used to build new security layers. Those are open questions rather than predictions. TechCrunch
Policy and funding questions are open too. As one commentary reacting to the story put it, the issue is who pays when the internet needs a bodyguard, and whether defenses stay open or end up sold back by a few large companies.
Frequently Asked Questions
Is the PHP2Shell threat over?
No. Researchers warn that many systems worldwide remain unpatched and vulnerable to hacks and data theft. Exploitation attempts and confirmed compromises were still being reported at the end of last week. TechCrunch
Which websites are affected?
Any unpatched system running a vulnerable PHP version can be affected. That includes sites built on WordPress, Drupal, Joomla and MediaWiki, plus devices and software that bundle PHP.
Did AI cause this?
No. Human researchers found the bugs. AI assisted with exploitation, and its broader significance is that it speeds up future discovery.
Is internet infrastructure safe now?
Safer than it was a week ago, but not safe. The patches work, yet the larger internet infrastructure still contains aging, memory-unsafe components and thinly funded open-source projects that may hide similar flaws.
Who is responsible for open source security?
There is no single answer. Maintainers write the code, but companies and governments depend on it. Whether funding and audits improve is one of the central questions raised by this episode.
The Bottom Line
PHP2Shell was a near miss. Coordinated disclosure, early patches for major providers and fast action by site owners helped the web avoid mass exploitation, at least so far. But the episode exposed how much internet infrastructure rests on old code, volunteer maintainers and good-faith embargoes.
AI did not create that fragility. It does shorten the time between a hidden flaw and a working attack. For anyone who builds or runs websites, the lesson is simple: know what your stack runs, patch quickly, and treat internet infrastructure as something that needs ongoing investment.
AI କ’ଣ ଇଣ୍ଟରନେଟ୍ ଭିତ୍ତିଭୂମିକୁ ନଷ୍ଟ କରିଦେବ? ‘PHP2Shell’ ସମ୍ବନ୍ଧୀୟ ଆଶଙ୍କା କ’ଣ ସୂଚାଉଛି?
ସଂକ୍ଷିପ୍ତ ଉତ୍ତର: AI ନିଜେ ଇଣ୍ଟରନେଟ୍ ଭିତ୍ତିଭୂମିକୁ ନଷ୍ଟ କରୁନାହିଁ, କିନ୍ତୁ ଏହା ୱେବ୍ର ସବୁଠାରୁ ପୁରୁଣା ଏବଂ ସବୁଠାରୁ କମ୍ ପାଣ୍ଠି ପାଉଥିବା ସ୍ତରଗୁଡ଼ିକୁ ଆକ୍ରମଣ କରିବା ପାଇଁ ଅଧିକ ସହଜ କରିଦେଉଛି। ଏହି ସପ୍ତାହରେ ଦେଖାଦେଇଥିବା ‘PHP2Shell’ ଆଶଙ୍କା ଏହାକୁ ପ୍ରମାଣିତ କରିଛି: ଦୀର୍ଘ ଦିନ ଧରି ଅଜ୍ଞାତ ଥିବା ଦୁଇଟି PHP ତ୍ରୁଟି (bugs) – ଯାହାକୁ ମାନବ ଗବେଷକମାନେ ଖୋଜି ପାଇଥିଲେ ଏବଂ AI ସହାୟତାରେ ଆକ୍ରମଣକାରୀମାନେ ବ୍ୟବହାର କରିଥିଲେ – ବ୍ୟାଙ୍କ, ଖୁଚୁରା ବିକ୍ରେତା, ଡାକ୍ତରଖାନା ଏବଂ କିଛି ସରକାରୀ ସଂସ୍ଥାକୁ ସେମାନଙ୍କ ସର୍ଭରଗୁଡ଼ିକୁ ଅସ୍ଥାୟୀ ଭାବେ ବନ୍ଦ (offline) କରିବାକୁ ବାଧ୍ୟ କଲା, ଯାହା ଫଳରେ ସେଗୁଡ଼ିକରେ ସୁରକ୍ଷା ସଂଶୋଧନ (patch) କରାଯାଇପାରିବ।
ପ୍ରାୟ ଏକ ସପ୍ତାହ ଧରି, ଇଣ୍ଟରନେଟ୍ର ଅଦୃଶ୍ୟ କାର୍ଯ୍ୟକାରୀ ବ୍ୟବସ୍ଥା (ଯାହାକୁ ‘ପ୍ଲମ୍ବିଂ’ ବା ଭିତ୍ତିଭୂମି କୁହାଯାଇପାରେ) ପ୍ରଯୁକ୍ତିବିଦ୍ୟା ଜଗତର ସବୁଠାରୁ ଚର୍ଚ୍ଚିତ ବିଷୟ ପାଲଟିଗଲା। ଯଦି ଆପଣ ଏକ ୱେବସାଇଟ୍ ଚଳାଉଛନ୍ତି, ସଫ୍ଟୱେର୍ ତିଆରି କରୁଛନ୍ତି, କିମ୍ବା କେବଳ ଅନଲାଇନ୍ ବ୍ୟାଙ୍କିଙ୍ଗ୍ ବ୍ୟବହାର କରୁଛନ୍ତି, ତେବେ ଏହି ଗାଇଡ୍ ଆପଣଙ୍କୁ ବୁଝାଇବ ଯେ ପ୍ରକୃତରେ କ’ଣ ଘଟିଲା, ଏହା କାହିଁକି ଗୁରୁତ୍ୱପୂର୍ଣ୍ଣ ଏବଂ ଆଗକୁ କ’ଣ କରିବା ଉଚିତ୍।
ମୁଖ୍ୟ ବିଷୟଗୁଡ଼ିକ ଏହା କ’ଣ: ‘PHP2Shell’ ହେଉଛି ଦୁଇଟି ଗୁରୁତ୍ୱପୂର୍ଣ୍ଣ PHP ତ୍ରୁଟି (CVE-2026-109618 ଏବଂ CVE-2026-109619) ର ଏକ ନାମ, ଯାହା ଆକ୍ରମଣକାରୀମାନଙ୍କୁ ବିନା ପାସୱାର୍ଡରେ ସୁରକ୍ଷା ସଂଶୋଧନ ହୋଇନଥିବା (unpatched) ସିଷ୍ଟମଗୁଡ଼ିକରେ ପ୍ରବେଶ କରିବାକୁ ସୁଯୋଗ ଦିଏ।
ବ୍ୟାପକତା: ଇଣ୍ଟରନେଟ୍ର ପ୍ରାୟ ୭୦% ଅଂଶ PHP ଉପରେ ନିର୍ଭର କରେ, ଯେଉଁଥିରେ WordPress, Drupal, Joomla ଏବଂ MediaWiki ସାଇଟଗୁଡ଼ିକ ଅନ୍ତର୍ଭୁକ୍ତ।
AI ର ଭୂମିକା: ମାନବ ଗବେଷକମାନେ ଏହି ତ୍ରୁଟିଗୁଡ଼ିକୁ ଖୋଜି ପାଇଥି ବ୍ୟାବହାରିକ କ୍ଷେତ୍ରରେ, PHP-ର ଏହି ପ୍ରକାରର ଦୁର୍ବଳତା (vulnerability) ଯେକୌଣସି ବ୍ୟକ୍ତିଙ୍କୁ, ଯିଏ ଏହାର ଫାଇଦା ଉଠାଇବା ଜାଣନ୍ତି, କୌଣସି ପ୍ରଭାବିତ ୱେବସାଇଟ୍ କିମ୍ବା ଇଣ୍ଟରନେଟ୍ ସହ ସଂଯୁକ୍ତ ସର୍ଭର (server) ଭିତରକୁ ପ୍ରବେଶ କରିବାକୁ ସୁଯୋଗ ଦେଇଥାଏ। ଏଥିପାଇଁ କୌଣସି ପାସୱାର୍ଡର ଆବଶ୍ୟକତା ନଥାଏ ଏବଂ ଥରେ ଭିତରକୁ ପ୍ରବେଶ କଲା ପରେ, ସେମାନେ ସିଷ୍ଟମର ତଥ୍ୟ (data) ପଢ଼ିପାରନ୍ତି କିମ୍ବା ପରିବର୍ତ୍ତନ କରିପାରନ୍ତି। PHP-ର ରକ୍ଷଣାବେକ୍ଷଣ କରୁଥିବା ସଂସ୍ଥା ‘PHP ଫାଉଣ୍ଡେସନ୍’ (PHP Foundation), ବୁଧବାର ଦିନ କିଛି ସଂଶୋଧନ ବା ‘ପ୍ୟାଚ୍’ (patches) ଜାରି କରିଛି, ଯାହା ଏହି ତ୍ରୁଟିଗୁଡ଼ିକୁ ସୁଧାରି ଦେବ।
ଘଟଣାକ୍ରମ: ‘PHP2Shell’ ଘଟଣା କିପରି ସାମ୍ନାକୁ ଆସିଲା
ସମୟ କ’ଣ ଘଟିଲା୨୦୨୪ ଏହି ଦୁଇଟି ତ୍ରୁଟି (bugs) ପ୍ରଥମେ ଚିହ୍ନଟ ହୋଇଥିଲା, କିନ୍ତୁ ସେତେବେଳେ ଏଗୁଡ଼ିକର ଫାଇଦା ଉଠାଇବା ସମ୍ଭବ ନୁହେଁ ବୋଲି ବିବେଚନା କରାଯାଇଥିଲା, ତେଣୁ ଏଗୁଡ଼ିକ ସଂଶୋଧିତ ହୋଇନଥିଲା।
୨୦୨୬ ମସିହାର ପ୍ରାରମ୍ଭରେ କାଲିଫର୍ଣ୍ଣିଆର ଗବେଷକମାନେ PHP କୋଡ୍ ଯାଞ୍ଚ (audit) ସମୟରେ ଏହି ତ୍ରୁଟିଗୁଡ଼ିକର ଫାଇଦା ଉଠାଇବାର ଏକ ଉପାୟ ଖୋଜି ପାଇଲେ ଏବଂ ‘PHP ଫାଉଣ୍ଡେସନ୍’କୁ ସତର୍କ କରାଇଲେ।
ଘଟଣା ସାର୍ବଜନୀନ ହେବାର କିଛି ସପ୍ତାହ ପୂର୍ବରୁ ‘PHP ଫାଉଣ୍ଡେସନ୍’ ଗୋପନୀୟତା ରକ୍ଷା ସର୍ତ୍ତରେ (under embargo) ପ୍ରମୁଖ ଇଣ୍ଟରନେଟ୍ କମ୍ପାନୀ ଏବଂ ୱେବ୍ ହୋଷ୍ଟମାନଙ୍କ ସହ ଏହି ସମସ୍ୟାର ସମାଧାନ ବା ‘ଫିକ୍ସ’ (fixes) ବାଣ୍ଟିଥିଲା।
ଅକ୍ଟୋବର ୧୭ ଆମାଜନ (Amazon) ଅନୁଯାୟୀ, ଏହି ତାରିଖରୁ ସୁରକ୍ଷା ଦାୟିତ୍ୱରେ ଥିବା ବ୍ୟକ୍ତିମାନେ ସିଷ୍ଟମରେ କୌଣସି ଅନଧିକୃତ ପ୍ରବେଶ ବା ତ୍ରୁଟିର ଫାଇଦା ଉଠାଯାଇଛି କି ନାହିଁ, ତାହା ଯାଞ୍ଚ କରିବା ଆବଶ୍ୟକ।
ବୁଧବାର, ଅକ୍ଟୋବର ୨୧ ସଂଶୋଧନ ବା ‘ପ୍ୟାଚ୍’ଗୁଡ଼ିକ ସାର୍ବଜନୀନ ଭାବେ ଜାରି କରାଗଲା; ସରକାରୀ ସ୍ତରରେ ପଦକ୍ଷେପ ନେବାକୁ ପରାମର୍ଶ ଦିଆଗଲା; ଅନେକ ୱେବସାଇଟ୍ ବନ୍ଦ (offline) ହୋଇଗଲା।
ଶୁକ୍ରବାର, ଅକ୍ଟୋବର ୨୩ (ରାତିରେ) ‘ପାଲୋ ଅଲ୍ଟୋ ନେଟୱାର୍କସ୍’ (Palo Alto Networks) ଏବଂ ‘ଟ୍ରେଲ ଅଧିକ ନୂତନ ଏବଂ ସୁରକ୍ଷିତ ଭାଷାଗୁଡ଼ିକର ବ୍ୟବହାର ବଢ଼ିବା ସହିତ PHP ର ବ୍ୟବହାର ଧୀରେ ଧୀରେ ହ୍ରାସ ପାଉଛି, କିନ୍ତୁ ବର୍ତ୍ତମାନ ମଧ୍ୟ ଏହାର ବ୍ୟାପକ ବ୍ୟବହାର ରହିଛି। ୱାର୍ଡପ୍ରେସ୍ (WordPress), ଡ୍ରୁପାଲ୍ (Drupal), ଜୁମ୍ଲା (Joomla) ଏବଂ ୱିକିପିଡ଼ିଆ ପଛରେ ଥିବା ସଫ୍ଟୱେର୍ ‘ମିଡିଆୱିକି’ (MediaWiki) ଭଳି ପ୍ରମୁଖ କଣ୍ଟେଣ୍ଟ ପ୍ଲାଟଫର୍ମଗୁଡ଼ିକ PHP ଉପରେ ନିର୍ଭର କରନ୍ତି।
ଅନେକ ୱେବସାଇଟ୍ ମାଲିକଙ୍କୁ ଏହା ମଧ୍ୟ ଜଣା ନଥାଏ ଯେ ସେମାନଙ୍କ ସିଷ୍ଟମରେ PHP ରହିଛି। ‘TechCrunch’ ର ‘Equity’ ପଡକାଷ୍ଟରେ କିର୍ଷ୍ଟେନ୍ କୋରୋସେକ୍ (Kirsten Korosec) ଉଲ୍ଲେଖ କରିଛନ୍ତି ଯେ, ପ୍ରାୟ ୭୦% ୱେବସାଇଟ୍ ଚଳାଉଥିବା ‘କଣ୍ଟେଣ୍ଟ ମ୍ୟାନେଜମେଣ୍ଟ ସିଷ୍ଟମ୍’ (CMS) ଗୁଡ଼ିକର ମୂଳ ଆଧାର ହେଉଛି PHP; ଯାହାର ଅର୍ଥ ହେଉଛି କୋଟି କୋଟି ୱେବସାଇଟ୍ ଏହା ଉପରେ ନିର୍ଭରଶୀଳ। ଏହି ବିଶାଳ ବ୍ୟାପ୍ତି ଯୋଗୁଁ PHP ରେ ଥିବା ଏକ ଛୋଟ ତ୍ରୁଟି (vulnerability) ମଧ୍ୟ ଏକ ବିଶ୍ୱସ୍ତରୀୟ ସମସ୍ୟାରେ ପରିଣତ ହୋଇପାରେ।
PHP କେବଳ ସାଧାରଣ ୱେବ୍ ସର୍ଭରରେ ନୁହେଁ, ବରଂ ଅନ୍ୟାନ୍ୟ ସ୍ଥାନରେ ମଧ୍ୟ ରହିଥାଏ। ଏହା ଡେଭଲପର ଟୁଲ୍, କମାଣ୍ଡ-ଲାଇନ୍ ପ୍ୟାକେଜ୍ ଏବଂ ବିଭିନ୍ନ ସଫ୍ଟୱେର୍ ଉପାଦାନରେ ଦେଖିବାକୁ ମିଳେ, ଯାହା ରାଉଟର (routers), ଷ୍ଟୋରେଜ୍ ଡିଭାଇସ୍ ଏବଂ ଫାୟାରୱାଲ୍ (firewalls) ତଥା VPN ଭଳି ଏଣ୍ଟରପ୍ରାଇଜ୍ ସୁରକ୍ଷା ଉପକରଣଗୁଡ଼ିକରେ ବ୍ୟବହୃତ ହୁଏ। ଏହି ପ୍ରତ୍ୟେକ ଉତ୍ପାଦ ପାଇଁ ସ୍ୱତନ୍ତ୍ର ଅପଡେଟ୍ (update) ଆବଶ୍ୟକ ହୋଇଥାଏ।
TechCrunch
କ’ଣ AI (କୃତ୍ରିମ ବୁଦ୍ଧିମତ୍ତା) PHP2Shell ତ୍ରୁଟିଗୁଡ଼ିକୁ ଖୋଜି ବାହାର କରିଥିଲା?
ସିଧାସଳଖ ଉତ୍ତର ହେଲା: ନା। OpenAI ଏବଂ କ୍ଲାଉଡ୍ ସୁରକ୍ଷା କମ୍ପାନୀ ‘Wiz’ ଦ୍ୱାରା ପରିଚାଳିତ ‘Hack the Planet’ କାର୍ଯ୍ୟକ୍ରମରେ ଅଂଶଗ୍ରହଣ କରିବା ସମୟରେ, ‘Calif’ ର ଗବେଷକମାନେ ଏହି ତ୍ରୁଟିଗୁଡ଼ିକୁ ଠାବ କରିଥିଲେ। ମାନବୀୟ ଦକ୍ଷତା ବା ବିଶେଷଜ୍ଞତା ହିଁ ଏହାକୁ ଖୋଜି ବାହାର କରିଥିଲା।
TechCrunch
AI ପ୍ରକୃତରେ କ’ଣ କରିଥିଲା?
‘Calif’ କହିଲା ଯେ AI…ମୁଁ ବଗ୍ଗୁଡ଼ିକୁ ଶୋଷଣ କରିବାରେ ସାହାଯ୍ୟ କରିଥିଲି, କିନ୍ତୁ ଅଧିକାଂଶ କାମ ଗବେଷକଙ୍କ PHPର କୋଡ୍ବେସ୍ ଏବଂ ଶୋଷଣ ଇତିହାସ ବିଷୟରେ ଗଭୀର ଜ୍ଞାନ ଉପରେ ନିର୍ଭର କରିଥିଲା। ସେମାନଙ୍କ ଲେଖାରେ, ସେମାନେ ସତର୍କ କରାଇ ଦେଇଥିଲେ ଯେ କୌଣସି ବର୍ତ୍ତମାନର ମଡେଲ୍ ସରଳ ପ୍ରମ୍ପ୍ଟରୁ ପ୍ରତ୍ୟେକ ବଗ୍କୁ ଉନ୍ମୋଚନ କରିପାରିବ ନାହିଁ, ଅତି କମରେ ବର୍ତ୍ତମାନ ପାଇଁ।
ପଥରେ ଏକ ସଂଶୋଧନ ମଧ୍ୟ ହୋଇଥିଲା। TechCrunchର ପୋଡକାଷ୍ଟ ହୋଷ୍ଟ ଆନ୍ଥୋନି ହା ପ୍ରାରମ୍ଭରେ LLMs ଦ୍ୱାରା ମିଳିଥିବା ତ୍ରୁଟିଗୁଡ଼ିକୁ ବର୍ଣ୍ଣନା କରିଥିଲେ, ତାପରେ ଏକ ନୋଟ୍ ଯୋଡି କହିଥିଲେ ଯେ ସେ ଭୁଲ କରିଛନ୍ତି: ମଣିଷ ସେଗୁଡ଼ିକୁ ପାଇଲେ ଏବଂ ବଗ୍କୁ ଶୋଷଣ କରିବା ପାଇଁ AI ବ୍ୟବହାର କଲେ। ଯଦି ଆପଣ ଏହି କାହାଣୀକୁ କଭର କରନ୍ତି, ତେବେ ପାର୍ଥକ୍ୟ ଗୁରୁତ୍ୱପୂର୍ଣ୍ଣ, କାରଣ କିଛି କଭରେଜରେ ପ୍ରାରମ୍ଭିକ ଫ୍ରେମିଂ ଏହାକୁ ଅସ୍ପଷ୍ଟ କରିଦେଇଛି।
ଏଇ ସାଇବରସୁରକ୍ଷା କାହିଁକି ଗଣିତକୁ ପରିବର୍ତ୍ତନ କରେ “AI ଏହାକୁ ପାଇଲା ନାହିଁ” ଉତ୍ତର ଆଶ୍ୱାସନାଦାୟକ, କିନ୍ତୁ ଏହା କେବଳ ଅଧା ଚିତ୍ର। AI ସାଇବରସୁରକ୍ଷା ଚିନ୍ତା ଏହି ଗୋଟିଏ ଘଟଣା ଅପେକ୍ଷା ଗତି ଏବଂ ସ୍କେଲ୍ ରୁ ଆସିଥାଏ।
ସିଆନ୍ ଓ’କେନ୍ ଯୁକ୍ତି ଦେଇଥିଲେ ଯେ ଯଦି ଲୋକମାନେ ଉନ୍ନତ LLMs ବ୍ୟବହାର କରିପାରିବେ ଏବଂ AI ଏଜେଣ୍ଟମାନଙ୍କୁ ନିଜସ୍ୱ ତ୍ରୁଟି ଖୋଜିବା ପାଇଁ କାର୍ଯ୍ୟ କରିପାରିବେ, ତେବେ ଗତ ଦଶନ୍ଧିର ପ୍ରାୟତଃ ଭୁଲଗୁଡ଼ିକ ବହୁ ପରିମାଣରେ ପୁନରାବୃତ୍ତି ହୋଇପାରେ। ଯଦି AI ଏଜେଣ୍ଟମାନେ ନିରନ୍ତର ଏବଂ ଶସ୍ତାରେ ଦୁର୍ବଳ ସ୍ଥାନଗୁଡ଼ିକ ପାଇଁ ଇଣ୍ଟରନେଟ୍ ଭିତ୍ତିଭୂମି ଖୋଜି ପାରିବେ, ତେବେ ପ୍ରତିରକ୍ଷାର “ଜଣେ ବ୍ୟକ୍ତି ଲକ୍ଷ୍ୟ କରିଛନ୍ତି” ମଡେଲ୍ ସ୍କେଲିଂ ବନ୍ଦ କରିଦିଏ।
TechCrunch ର ସୁରକ୍ଷା ରିପୋର୍ଟିଂ ଯୋଡେ ଯେ AI ଉପକରଣଗୁଡ଼ିକ ତ୍ରୁଟିଗୁଡ଼ିକୁ ଖୋଜିବା ସହଜ କରୁଛି, ଏବଂ ଏହା ପୁରୁଣା ପ୍ରଯୁକ୍ତିବିଦ୍ୟାରେ ଦୁର୍ବଳତାଗୁଡ଼ିକୁ ଶୋଷଣ କରୁଥିବା ଘଟଣାର ପ୍ରଥମ ଧାରା ହୋଇପାରେ। ବ୍ୟବହାରିକ ପଦକ୍ଷେପ: “ବଗ୍ ଅଛି” ଏବଂ “ବଗ୍ ଶୋଷଣ ହେଉଛି” ମଧ୍ୟରେ ବ୍ୟବଧାନ ହ୍ରାସ ପାଇବ ବୋଲି ଧରି ନିଅନ୍ତୁ।
ପ୍ୟାଚ୍ ପୂର୍ବରୁ କିପରି ଶୋଷଣ ଆରମ୍ଭ ହୋଇଥିଲା
ପ୍ରକାଶ କରିବା ପୂର୍ବରୁ କାହିଁକି ବଗ୍ ଶୋଷଣ କରାଯାଇଥିଲା? କେହି ନିଶ୍ଚିତ ଭାବରେ ଜାଣନ୍ତି ନାହିଁ। Amazon କହିଛି ଯେ ଏହା ପ୍ୟାଚ୍ ଉପଲବ୍ଧ ହେବାର ପ୍ରାୟ ଏକ ସପ୍ତାହ ପୂର୍ବରୁ PHP2Shell ଶୋଷଣ ଚିହ୍ନଟ କରିଛି ଏବଂ ଆକ୍ରମଣକାରୀ କିପରି ତ୍ରୁଟିଗୁଡ଼ିକ ବିଷୟରେ ଜାଣିପାରିଲା ତାହା କହିପାରିଲା ନାହିଁ।
TechCrunch
TechCrunch ର ରିପୋର୍ଟିଂ ଅନେକ ତତ୍ତ୍ୱ ପ୍ରକାଶ କରେ:
ଲିକ୍ କିମ୍ବା ଯୋଗାଯୋଗ ବିଭ୍ରାଟ: ବିଶାଳ ଖୋଲା ଉତ୍ସ ସମ୍ପ୍ରଦାୟରେ ପ୍ରତିବନ୍ଧକଗୁଡ଼ିକ ଭଲ ବିଶ୍ୱାସ ଉପରେ ନିର୍ଭର କରେ, ତେଣୁ ସୂଚନା ଖସିଯାଇପାରେ।
ସ୍ୱାଧୀନ ଆବିଷ୍କାର କିମ୍ବା ଗୁପ୍ତଚର: ହ୍ୟାକର୍ସମାନେ ନିଜେ ବଗ୍ ଖୋଜି ପାଇପାରନ୍ତି।
ପ୍ୟାଚ୍ ବିଶ୍ଳେଷଣ: କାରଣ PHP ଖୋଲା ଉତ୍ସ, ଏକ ପ୍ୟାଚ୍ ସାର୍ବଜନୀନ ଏବଂ ଯାଞ୍ଚଯୋଗ୍ୟ, ଯାହା ଆକ୍ରମଣକାରୀଙ୍କୁ କେଉଁଠାରେ ଲକ୍ଷ୍ୟ ରଖିବାକୁ ହେବ ତାହା ଦେଖିବାରେ ସାହାଯ୍ୟ କରେ।
ପ୍ରାରମ୍ଭିକ ପ୍ରକାଶନ: PHP ଫାଉଣ୍ଡେସନ୍ ପ୍ରତିବନ୍ଧକ ଶେଷ ହେବାର କିଛି ଘଣ୍ଟା ପୂର୍ବରୁ ପ୍ୟାଚ୍ ଲାଇଭ୍ ପୁସ୍ କରିବା ପାଇଁ ଗୋଟିଏ କମ୍ପାନୀକୁ ଦାୟୀ କରିଥିଲା, ଯଦିଓ ଏହା ପୂର୍ବ କାର୍ଯ୍ୟକଳାପର ଏକ ସପ୍ତାହ ବ୍ୟାଖ୍ୟା କରେ ନାହିଁ।
ପ୍ରକାଶନ ବିରୋଧାଭାସ ରକ୍ଷକମାନେ ଏକ ଅସହଜ ବାଣିଜ୍ୟର ସମ୍ମୁଖୀନ ହୁଅନ୍ତି। ଆନ୍ଥୋନି ହା ସୂଚାଇଛନ୍ତି ଯେ ଏକ ପ୍ୟାଚ୍ ବଣ୍ଟନ କରିବାର ଏକମାତ୍ର ଉପାୟ ହେଉଛି ଦୁର୍ବଳତା ଘୋଷଣା କରିବା, ଯାହା ଏକ ଆତଙ୍କିତ ଦୌଡ଼କୁ ଟ୍ରିଗର କରେ: ତୁରନ୍ତ ପ୍ୟାଚ୍ କରନ୍ତୁ କିମ୍ବା ଆପଣଙ୍କ ସାଇଟ୍ ତଳକୁ ନିଅନ୍ତୁ।
ସାଧାରଣତଃ, ଜଣେ ଗବେଷକ ଜଣେ ବିକ୍ରେତାଙ୍କୁ ବ୍ୟକ୍ତିଗତ ଭାବରେ କୁହନ୍ତି ଏବଂ ସମସ୍ୟାଟି ସେହି ବବଲ ମଧ୍ୟରେ ରହିଥାଏ। ସିଆନ୍ ଓ’କେନ୍ ଉଲ୍ଲେଖ କରିଛନ୍ତି ଯେ ଏହି ମୌଳିକ କିଛି ପାଇଁ, ଆପଣ ସମସ୍ତଙ୍କୁ ଚୁପ୍ ଚାପ୍ କହିପାରିବେ ନାହିଁ, ଏବଂ ସେ ଆଶ୍ଚର୍ଯ୍ୟ ମଧ୍ୟ କରିଥିଲେ ଯେ ସହଜରେ ଚିହ୍ନଟ ହେଉଥିବା ୱେବମାଷ୍ଟରଙ୍କ ଦିନଗୁଡ଼ିକ ବିଜ୍ଞପ୍ତିକୁ ସହଜ କରିଥାନ୍ତା କି ନାହିଁ।
ପ୍ରକାଶନ ପରେ, ଆକ୍ରମଣକାରୀମାନେ ଦ୍ରୁତ ଗତିରେ ଗତି କରିଥିଲେ। କ୍ଲାଉଡ୍ଫ୍ଲେୟାରର ସିଇଓ ମାଥ୍ୟୁ ପ୍ରିନ୍ସ କହିଛନ୍ତି ଯେ ବଗ୍ ପ୍ରକାଶ ହେବା ପରେ କମ୍ପାନୀ ଶୋଷଣ ପ୍ରୟାସରେ ତୀବ୍ର ବୃଦ୍ଧି ଦେଖିଛି। ଶୁକ୍ରବାର ବିଳମ୍ବିତ ସୁଦ୍ଧା, ପାଲୋ ଅଲ୍ଟୋ ନେଟୱାର୍କସ୍ ଏବଂ ଟ୍ରେଲ୍ ଅଫ୍ ବିଟ୍ସ PHP ବଗ୍ ସହିତ ଜଡିତ ଆପୋଷ ଏବଂ ଶୋଷଣ ପରବର୍ତ୍ତୀ କାର୍ଯ୍ୟକଳାପକୁ ନିଶ୍ଚିତ କରିଛନ୍ତି।
ଇଣ୍ଟରନେଟ୍ ଭିତ୍ତିଭୂମି କାହିଁକି ସ୍ୱେଚ୍ଛାସେବକ କୋଡ୍ ଉପରେ ନିର୍ଭର କରେ ଆମେ ପ୍ରତିଦିନ ନିର୍ଭର କରୁଥିବା ଅଧିକାଂଶ ଇଣ୍ଟରନେଟ୍ ଭିତ୍ତିଭୂମି ମାଗଣା, ଖୋଲା-ଉତ୍ସ ଉପାଦାନରୁ ନିର୍ମିତ ଯେଉଁମାନେ ପ୍ରାୟତଃ ଅବୈତନିକ ଥାଆନ୍ତି। PHP2Shell କେବଳ ସେହି ସତ୍ୟକୁ ଦୃଶ୍ୟମାନ କରିଛି।
ମୁକ୍ତ ଉତ୍ସ ସୁରକ୍ଷା ପାଣ୍ଠି ଗ୍ୟାପ୍ଖୋଲା ଉତ୍ସ ସୁରକ୍ଷାର ଏକ ଗଠନମୂଳକ ସମସ୍ୟା ଅଛି: କୋଡ୍ ସବୁଠି ଅଛି, କିନ୍ତୁ ଟଙ୍କା ନାହିଁ। ଅନେକ ଖୋଲା ଉତ୍ସ ଉପକରଣ ଅବୈତନିକ ରକ୍ଷଣାବେକ୍ଷଣକାରୀଙ୍କ ଦ୍ୱାରା ବିକଶିତ ହୋଇଥାଏ ଯେଉଁମାନେ ତୃତୀୟ-ପକ୍ଷ ସୁରକ୍ଷା ସମୀକ୍ଷା ଖର୍ଚ୍ଚ କରିପାରିବେ ନାହିଁ, ତଥାପି ଆର୍ଥିକ ଭାବରେ ଯୋଗଦାନ ନ ଦେଉଥିବା କମ୍ପାନୀଗୁଡ଼ିକ ଏପର୍ଯ୍ୟନ୍ତ ବ୍ୟାପକ ଭାବରେ ସେମାନଙ୍କ ଉପରେ ନିର୍ଭର କରନ୍ତି।
ସିଆନ୍ ଓ’କେନ୍ ଇଣ୍ଟରନେଟ୍ କୁ ଏହାର ଗଭୀର ସ୍ତରରେ ଗ୍ଲୁ ଏବଂ ସ୍ୱପ୍ନ ସହିତ ଏକତ୍ରିତ ଭାବରେ ବର୍ଣ୍ଣନା କରିଛନ୍ତି। ଏହା ଏକ ଗମ୍ଭୀର ଧାର ସହିତ ଏକ ମଜା। ଏହି ଇଣ୍ଟରନେଟ୍ ଭିତ୍ତିଭୂମି ଉପରେ ନିର୍ମାଣ କରୁଥିବା କମ୍ପାନୀଗୁଡ଼ିକ ପ୍ରାୟତଃ ଅଡିଟ୍ ପାଣ୍ଠି ବିନା କାର୍ଯ୍ୟରୁ ଲାଭ ପାଆନ୍ତି ଯାହା ପୂର୍ବରୁ ସମସ୍ୟା ଧରିବ।
ଆକର୍ଷଣୀୟ ଭାବରେ, ଏହି ମାମଲା ଅନୌପଚାରିକ ସମୀକ୍ଷାର ସୀମା ଦର୍ଶାଏ। ଦୁଇଟି ବଗ୍ ପ୍ରଥମେ 2024 ରେ ଦେଖାଯାଇଥିଲା କିନ୍ତୁ ସେମାନଙ୍କୁ ଶୋଷଣଯୋଗ୍ୟ ବୋଲି ବିବେଚନା କରାଯାଇ ନଥିଲା ଏବଂ ସେମାନଙ୍କୁ ପ୍ୟାଚ୍ କରାଯାଇ ନଥିଲା। ଏହା ଏକ ରିପୋର୍ଟ କରାଯାଇଥିବା ବିଫଳତା ଅପେକ୍ଷା ଏକ ବିଶ୍ଳେଷଣ ବିନ୍ଦୁ, କିନ୍ତୁ ଏହା ସୂଚାଇ ଦିଏ ଯେ “ଆଜି ଶୋଷଣଯୋଗ୍ୟ ନୁହେଁ” ଉନ୍ନତ ଟୁଲିଂ ଯୁଗରେ ଏକ ଦୁର୍ବଳ ଗ୍ୟାରେଣ୍ଟି।
ମେମୋରୀ-ଅସୁରକ୍ଷିତ ସଫ୍ଟୱେର୍ ଏବଂ ଲିଗାସି ଇଣ୍ଟରନେଟ୍ ଭିତ୍ତିଭୂମି PHP, ଦଶନ୍ଧି ପୂର୍ବର ଅନ୍ୟ ୱେବ୍ ପ୍ରଯୁକ୍ତିବିଦ୍ୟା ପରି, ମେମୋରୀ-ଅସୁରକ୍ଷିତ, ଅର୍ଥାତ୍ ଦୁର୍ବଳତାର ଏକ ସମ୍ପୂର୍ଣ୍ଣ ଶ୍ରେଣୀ ଏହାକୁ ମେମୋରୀରୁ ସମ୍ବେଦନଶୀଳ ତଥ୍ୟ ଲିକ୍ କରିବାକୁ ବାଧ୍ୟ କରିପାରେ। ଜାତୀୟ ସୁରକ୍ଷା ଏଜେନ୍ସି କହିଛି ଯେ ପ୍ରାୟ 75% ସକ୍ରିୟ ଭାବରେ ଶୋଷିତ ଦୁର୍ବଳତା ମେମୋରୀ-ସମ୍ବନ୍ଧୀୟ ତ୍ରୁଟିଗୁଡ଼ିକର ଅପବ୍ୟବହାର କରନ୍ତି।
ଏହା ପାଇଥନ୍, ରଷ୍ଟ ଏବଂ ସ୍ୱିଫ୍ଟ ଭଳି ମେମୋରୀ-ସୁରକ୍ଷିତ ଭାଷା ଆଡ଼କୁ ଏକ ପରିବର୍ତ୍ତନକୁ ଠେଲି ଦେଇଛି, ଯାହା ସେହି ଆକ୍ରମଣଗୁଡ଼ିକ ମଧ୍ୟରୁ ଅନେକଙ୍କ ପାଇଁ ବ୍ୟାପକ ଭାବରେ ପ୍ରତିରୋଧୀ। କିନ୍ତୁ ଲିଗାସି ଇଣ୍ଟରନେଟ୍ ଭିତ୍ତିଭୂମି ଏବେ ବି ପୁରୁଣା ଉପାଦାନଗୁଡ଼ିକରେ ଚାଲିଥାଏ ଯାହାକୁ କେବଳ ସ୍ୱ୍ୟାପ୍ କରାଯାଇପାରିବ ନାହିଁ। TechCrunch PHP, medi ତାଲିକାଭୁକ୍ତ କରେ