मान लीजिए, आप सुबह उठते हैं, चाय पीते हैं और अपना फोन चेक करते हैं. तभी अचानक एक नोटिफिकेशन आता है कि एसबीआई बैंक के एक लाख यूजर्स का डेटा लीक हो गया है. करीब तीस हजार लोगों के बैंक एकाउंट से पैसे निकाल लिए गए. यह खबर पढ़ते ही आपके मन में सबसे पहला सवाल क्या आएगा? कहीं इस लीक हुए डेटा में मेरा भी नाम तो नहीं है? मेरा भी तो इसी बैंक में अकाउंट है. अगर मेरा डेटा लीक हो गया, तो क्या मेरे पैसे भी खतरे में हैं? फिर आपके मन में सवाल उठेगा कि क्या सरकारी बैंक में भी हमारा डेटा और पैसा सुरक्षित नहीं है?
आज एआई के दौर में इस सवाल का जवाब है- नहीं, आपका डेटा पूरी तरह सुरक्षित होने की गारंटी नहीं है.
इसकी एक बड़ी वजह है वेबसाइटों की सुरक्षा में मौजूद कमजोरियां. भारत समेत दुनिया भर की बड़ी संख्या में सरकारी और गैर-सरकारी वेबसाइटें पीएचपी नाम की प्रोग्रामिंग लैंग्वेज पर काम करती हैं. यह तकनीक करीब 31 साल पुरानी है और आज भी बड़े पैमाने पर इस्तेमाल हो रही है, और अब इतनी कमजोर हो चुकी है कि कोई भी हैकर एआई की मदद से इस तकनीक को हैक कर सकता है और आपका निजी डेटा, निजी डिटेल्स खतरे में पड़ सकती हैं .
लेकिन अब इसकी सुरक्षा से जुड़ी दो तकनीकी खामियां सामने आई हैं. 21 अक्टूबर को जारी सुरक्षा अपडेट के बाद इन कमजोरियों को लेकर चर्चा तेज हुई है. एक एआई रिसर्चर ने बताया कि इन खामियों का फायदा उठाकर एआई की मदद से साइबर हमले किए जा सकते हैं. अगर किसी वेबसाइट पर प्रभावित वर्जन इस्तेमाल हो रहा है और उसे अपडेट नहीं किया गया है, तो हैकर वहां मौजूद निजी जानकारी, बैंकिंग से जुड़ी डिटेल और दूसरे संवेदनशील डेटा तक पहुंचने की कोशिश कर सकते हैं.
तो आखिर एआई के इस दौर में हम भरोसा किस पर करें? क्या हमारी निजी जानकारी वाकई सुरक्षित है? पीएचपी में सामने आई इन दो खामियों का पूरा मामला क्या है और इससे आम लोगों को कितना खतरा हो सकता है? आइए, विस्तार से समझते हैं .
क्या आपकी निजी जानकारी भी खतरे में है?
PHP में सुरक्षा से जुड़ी कमजोरियां सामने आने के बाद सवाल उठने लगा है. सबसे पहले राहत की बात समझिए. PHP में कमी मिलने का मतलब यह नहीं है कि आपका फोन हैक हो गया है या बैंक अकाउंट से पैसे निकलने वाले हैं. खतरा उन वेबसाइटों के लिए है, जो PHP के प्रभावित वर्जन पर चल रही हैं और जिन्हें अब तक जरूरी सुरक्षा अपडेट नहीं मिले हैं.
PHP का इस्तेमाल दुनिया भर में बड़ी संख्या में वेबसाइटों को चलाने के लिए किया जाता है. भारत में भी सरकारी और निजी वेबसाइटों पर यह टेक्नोलॉजी इस्तेमाल होती है. ऐसे में अगर किसी वेबसाइट के सर्वर की सुरक्षा में सेंध लगती है, तो वहां मौजूद जानकारी खतरे में पड़ सकती है. हालांकि, इसका मतलब यह नहीं है कि सभी PHP वेबसाइटों का डेटा लीक हो गया है.
असली चिंता यह है कि क्या वेबसाइटों को समय पर अपडेट किया जा रहा है? टेक्नोलॉजी कितनी भी पुरानी या नई हो, उसकी सुरक्षा के लिए जरूरी अपडेट करना बेहद अहम है. इसलिए यह मामला सिर्फ वेबसाइट चलाने वाली कंपनियों का नहीं, बल्कि इंटरनेट इस्तेमाल करने वाले हर व्यक्ति की सुरक्षा से जुड़ा है .
PHP आखिर है क्या, जो इसकी कमजोरी से मचा हड़कंप?
PHP एक प्रोग्रामिंग लैंग्वेज है, जिसका इस्तेमाल वेबसाइटों के पीछे होने वाले कामों को पूरा करने में किया जाता है. जैसे किसी वेबसाइट पर लॉगिन करना, फॉर्म भरना या अपने अकाउंट की जानकारी देखना. PHP इन कामों में मदद करती है.
PHP का पूरा नाम PHP: Hypertext Preprocessor है. इसे आसान भाषा में समझें, तो यह सर्वर पर कोड चलाकर वेबसाइट के लिए जरूरी जानकारी और पेज तैयार करती है. HTML वेबसाइट का ढांचा बनाती है, जबकि PHP उस पेज को यूजर की जरूरत के हिसाब से बदलने में मदद कर सकती है. जब आप PHP वाली वेबसाइट खोलते हैं, तो सर्वर पर मौजूद PHP प्रोसेसर उसके कोड को चलाता है. प्रोसेसर यानी ऐसा सॉफ्टवेयर जो कोड के निर्देशों को पूरा करता है. इसके बाद वेबसाइट का तैयार पेज आपके ब्राउजर पर दिखाई देता है.
PHP की शुरुआत 1994 में रासमस लर्डॉर्फ ने की थी. उन्होंने इसे सबसे पहले अपने ऑनलाइन रिज्यूमे पर आने वाले लोगों की गतिविधि देखने के लिए बनाया था. जून 1995 में उन्होंने इसका सोर्स कोड सार्वजनिक किया, ताकि दूसरे डेवलपर भी इसका इस्तेमाल कर सकें. बाद में इसमें नए फीचर जुड़ते गए और यह वेबसाइट बनाने की लोकप्रिय टेक्नोलॉजी बन गई.
आज भी कई वेबसाइटें PHP का इस्तेमाल करती हैं. लेकिन अगर किसी वेबसाइट पर PHP का प्रभावित वर्जन चल रहा हो और उसे सुरक्षा अपडेट न मिले हों, तो हैकर उसकी कमजोरी का फायदा उठाने की कोशिश कर सकते हैं .
विज़ (Wiz) के अनुसार, जिन वेबसाइटों की टेक्नोलॉजी की पहचान की जा सकती है, उनमें करीब 70 फीसदी PHP का इस्तेमाल करती हैं. वर्डप्रेस जैसे लोकप्रिय वेबसाइट प्लेटफॉर्म भी PHP पर निर्भर हैं. इसका मतलब है कि संभावित असर काफी बड़ा हो सकता है. लेकिन ध्यान रहे, 70 फीसदी वेबसाइटों के हैक होने की बात नहीं कही गई है.
PHP में मिली दो कमजोरियां कितनी खतरनाक हैं?
इन कमजोरियों को CVE-2026-109618 और CVE-2026-109619 नाम दिए गए हैं. दोनों को गंभीर श्रेणी में रखा गया है और इनका स्कोर CVSS 9.2 है. ये कमजोरियां PHP के मेमोरी और रिक्वेस्ट को संभालने के तरीके से जुड़ी हैं. जब कोई वेबसाइट रिक्वेस्ट प्रोसेस करती है, तो सॉफ्टवेयर को अस्थायी जानकारी मेमोरी में रखनी पड़ती है. अगर कोई प्रक्रिया अचानक फेल हो जाए और सॉफ्टवेयर उस स्थिति को ठीक से न संभाले, तो अंदरूनी डेटा गलत तरीके से इस्तेमाल हो सकता है. इन कमजोरियों में इसी तरह की तकनीकी गड़बड़ियों का फायदा उठाया जा सकता है.
इनका सबसे गंभीर संभावित असर रिमोट कोड एक्जीक्यूशन (RCE) है. आसान भाषा में कहें तो हमलावर इंटरनेट के जरिए प्रभावित सर्वर पर अपना कोड चलाने में सफल हो सकता है. कुछ परिस्थितियों में इसके लिए पहले से वेबसाइट पर लॉगिन होना भी जरूरी नहीं है. ऐसा होने पर सर्वर पर चल रही सेवाओं, डेटा और वेबसाइट के कामकाज को खतरा हो सकता है.
हालांकि, इसका मतलब यह नहीं कि हर PHP वेबसाइट पर हमला सफल होगा. जोखिम इस बात पर निर्भर करता है कि कौन-सा वर्जन इस्तेमाल हो रहा है, सर्वर कैसे सेटअप है और सुरक्षा अपडेट लगाए गए हैं या नहीं .
इतनी एडवांस टेक्नोलॉजी के दौर में पुरानी PHP पर निर्भरता क्यों?
आज दुनिया आर्टिफिशियल इंटेलिजेंस (AI) के दौर में पहुंच चुकी है, लेकिन इंटरनेट की बड़ी संख्या में वेबसाइटें करीब 31 साल पुरानी PHP पर चल रही हैं. W3Techs के मुताबिक, दुनिया की उन वेबसाइटों में करीब 69.3% PHP का इस्तेमाल करती हैं, जिनकी सर्वर-साइड भाषा का पता है.
भारत में भी एक थर्ड-पार्टी ट्रैकर करीब 2.28 लाख .in वेबसाइटों पर PHP इस्तेमाल होने का अनुमान देता है. हालांकि, इनमें सरकारी और निजी वेबसाइटों की अलग-अलग संख्या साफ नहीं. ऐसे में PHP में सुरक्षा की गंभीर कमजोरियां सामने आना चिंता बढ़ाता है. अगर किसी वेबसाइट पर प्रभावित वर्जन चल रहा है और उसे अपडेट नहीं किया गया है, तो हैकर सर्वर पर हमला कर सकते हैं. इससे वेबसाइट में मौजूद जानकारी भी खतरे में पड़ सकती है. इसका मतलब यह नहीं कि हर वेबसाइट का डेटा लीक हो चुका है, लेकिन जोखिम को नजरअंदाज नहीं किया जा सकता.
सवाल यह है कि जब टेक्नोलॉजी इतनी आगे बढ़ गई है, तो सरकारी और निजी वेबसाइटों की सुरक्षा पहले से मजबूत क्यों नहीं रखी जाती? क्या समय पर सुरक्षा जांच और अपडेट नहीं हो सकते? हर पुरानी टेक्नोलॉजी को बदलना जरूरी नहीं, लेकिन उसे सुरक्षित रखना जरूरी है. सरकार और वेबसाइट चलाने वाली संस्थाओं को प्रभावित सिस्टम की जांच कर तुरंत सुरक्षा अपडेट लगाने चाहिए. क्योंकि डेटा लीक होने के बाद कार्रवाई करना जरूरी है, लेकिन उससे पहले डेटा को सुरक्षित रखना उससे भी ज्यादा जरूरी है .
ये भी पढ़ें: कहीं आपका डेटा डार्क वेब पर तो नहीं? SBI डेटा लीक के बहाने जानें कैसे काम करती है इंटरनेट की ये काली दुनिया
AI ने यह कमजोरी कैसे खोजी?
अब सवाल है कि AI का इसमें क्या काम था? किसी बड़े सॉफ्टवेयर में हजारों-लाखों लाइन कोड हो सकती हैं. विशेषज्ञों को उनमें ऐसी गलती खोजनी होती है जिसका इस्तेमाल करके कोई हमलावर सिस्टम की सुरक्षा तोड़ सके. यह काम समय लेने वाला और तकनीकी रूप से मुश्किल हो सकता है. AI मॉडल कोड का विश्लेषण करने, संभावित कमजोरियों की पहचान करने और उनके असर को जांचने में मदद कर सकते हैं. इस मामले में Wiz Research ने AI मॉडल का इस्तेमाल किया. Google Cloud और Google DeepMind ने भी बताया कि उनके Gemini 4 Argon मॉडल ने कमजोरी की पहचान, एक्सप्लॉइट विकसित करने, हमले की पहचान और पैच की जांच में अहम योगदान दिया .
लेकिन इसका मतलब यह नहीं है कि AI ने अकेले बटन दबाया और पूरी समस्या हल हो गई. AI किसी संभावित गलती की ओर इशारा कर सकता है, लेकिन विशेषज्ञों को यह पुष्टि करनी होती है कि गलती वास्तव में सुरक्षा कमजोरी है और उसका इस्तेमाल किस तरह किया जा सकता है. इसके बाद डेवलपर्स को ऐसा अपडेट तैयार करना पड़ता है, जो समस्या को ठीक करे और सॉफ्टवेयर के बाकी कामकाज को भी सही रखे. इस घटना से पता चलता है कि AI साइबर सुरक्षा के काम को तेज कर सकता है, लेकिन इंसानी विशेषज्ञों की भूमिका अब भी बेहद जरूरी है.
क्या हैकर पैच आने से पहले भी हमला करने की कोशिश कर चुके थे?
इस मामले को और गंभीर बनाने वाली बात यह है कि पैच जारी होने से पहले ही इन कमजोरियों का फायदा उठाने की कोशिश की खबर सामने आई. द वर्ज की 23 अक्टूबर 2026 की रिपोर्ट के मुताबिक, Amazon Threat Intelligence ने 17 अक्टूबर को PHP2Shell एक्सप्लॉइट की कोशिश का पता लगाया था, जबकि आधिकारिक सुरक्षा अपडेट 21 अक्टूबर को जारी किए गए. रिपोर्ट में सफल रिमोट कोड एक्जीक्यूशन की पुष्टि नहीं बताई गई. इसका मतलब यह है कि किसी कमजोरी का फायदा उठाने की कोशिश सामने आना और हमलावर का वास्तव में सिस्टम पर नियंत्रण पा लेना अलग-अलग बातें हैं. फिर भी, ऐसी कोशिशें बताती हैं कि सुरक्षा अपडेट में देरी करना जोखिम भरा हो सकता है.
ये भी पढ़ें: SBI Data Leak: क्या बैंक अकाउंट से चोरी हो सकता है पैसा? जानें 8 जरूरी सवालों के जवाब
वेबसाइट चलाने वालों को अभी क्या करना चाहिए?
PHP की टीम ने 21 अक्टूबर 2026 को इन सुरक्षा कमियों को ठीक करने के लिए नए अपडेट जारी किए. वेबसाइट चलाने वालों को सबसे पहले यह पता करना चाहिए कि उनकी वेबसाइट PHP के किस वर्जन यानी किस अपडेट वाले सॉफ्टवेयर पर चल रही है. इसे ऐसे समझिए, जैसे फोन में पुराने सॉफ्टवेयर की जगह नया अपडेट इंस्टॉल करना. नए अपडेट में सुरक्षा की कमियों को ठीक किया जाता है.
PHP के जिन वर्जन में यह समस्या ठीक कर दी गई है, वे हैं 8.5.12, 8.4.27, 8.3.36 और 8.2.35. अगर वेबसाइट इससे पुराने वर्जन पर चल रही है, तो उसकी टेक्निकल टीम या होस्टिंग कंपनी से संपर्क करके अपडेट करवाना चाहिए. वहीं, PHP के बहुत पुराने वर्जन, जैसे 8.1 और उससे पहले वाले वर्जन को अब आधिकारिक सुरक्षा अपडेट नहीं मिलते. इसलिए उन्हें नए और सुरक्षित वर्जन पर ले जाना जरूरी है. सिर्फ वेबसाइट खोलकर देखना काफी नहीं है, उसके पीछे काम करने वाले सॉफ्टवेयर को भी अपडेट करना पड़ता है .
आम यूजर्स अपनी सुरक्षा कैसे करें?
अगर आप सिर्फ वेबसाइट इस्तेमाल करते हैं, तो आपको खुद PHP अपडेट करने की जरूरत नहीं है. यह काम वेबसाइट के मालिक या उसकी टेक्निकल टीम का है. फिर भी अपने फोन, कंप्यूटर और ब्राउजर को अपडेट रखें. अनजान लिंक पर क्लिक न करें और किसी वेबसाइट पर जरूरत से ज्यादा निजी जानकारी न भरें.
इस खबर के कारण हर अकाउंट का पासवर्ड बदलने या फोन को रीसेट करने की जरूरत नहीं है. लेकिन अगर किसी सेवा की ओर से बताया जाए कि आपका अकाउंट प्रभावित हो सकता है, तो उसके आधिकारिक निर्देशों का पालन करें. जहां सुविधा हो, टू-फैक्टर ऑथेंटिकेशन चालू रखें और अलग-अलग अकाउंट के लिए अलग पासवर्ड इस्तेमाल करें.
AI सुरक्षा का साथी भी, चुनौती भी
PHP की यह घटना बताती है कि AI साइबर सुरक्षा की दुनिया में बड़ा बदलाव ला सकता है. जिस तकनीक की मदद से विशेषज्ञ कोड की कमजोरियां खोज सकते हैं, उसका गलत इस्तेमाल हमलावर भी करने की कोशिश कर सकते हैं. इसलिए सिर्फ AI से कमजोरी खोज लेना काफी नहीं है. असली काम है उसे समय पर ठीक करना, सिस्टम को अपडेट रखना और यह जांचते रहना कि कहीं हमलावर पहले से इसका फायदा तो नहीं उठा रहे.
आखिर में, आम यूजर्स के लिए सबसे जरूरी बात यही है कि इंटरनेट की सुरक्षा सिर्फ मजबूत पासवर्ड रखने से तय नहीं होती. जिन सॉफ्टवेयर और सर्वर पर वेबसाइटें चलती हैं, उन्हें भी सुरक्षित रखना पड़ता है. AI इस काम में मदद कर सकता है, लेकिन वेबसाइट संचालकों को अपडेट लगाने और सुरक्षा जांच करने में देर नहीं करनी चाहिए.