PHP की दो खामियों से अनजान लोग वेबसाइटों पर कब्ज़ा कर सकते हैं; कुछ सेवाएं सुरक्षा के लिए बंद हुईं

लाखों हमले की कोशिश हुई, पर अब तक कोई पक्की सेंध साबित नहीं हुई। असली इलाज आपके होस्ट का PHP वर्शन है, प्लगइन नहीं।

अमेरिका7.23:चीन8.12

उसके सबसे मज़बूत AI का औसत · आज के जवाबों पर अंक, 10 में से — इन्हें दूसरे AI जज बनकर देते हैं; ये अंक यह नहीं बताते कि आगे क्या होगा, इसका सही पूर्वानुमान कौन लगाएगा← पिछला ट्रेंड: छोटा अंग्रेज़ी क्लब बोर्नमाउथ यूरोप में दिग्गज एसी मिलान से भिड़ रहा है

AI से पहले पूर्वानुमान लगाइए ↓

सभी 10 उत्तर ↓▶ देखें कि यह कैसे बना

21 अक्टूबर 2026 को PHP बनाने वालों ने दो गंभीर खामियों के लिए आपातकालीन सुधार जारी किए। PHP वह मुफ़्त प्रोग्रामिंग भाषा है जिस पर ज़्यादातर वेबसाइटें चलती हैं। इन खामियों की वजह से कोई अनजान व्यक्ति बिना पासवर्ड के किसी वेबसाइट के कंप्यूटर पर कब्ज़ा कर सकता है। सुरक्षा कंपनियों ने शुरुआती हमले देखे, और एहतियात के तौर पर कुछ सेवाएं, जिनमें नीदरलैंड की सरकारी वेबसाइटें भी शामिल हैं, बंद कर दी गईं (स्रोत)। इस पेज के पाठकों जैसे लोगों के लिए इसका क्या मतलब है: वे लोग जो रोज़ वेबसाइटें इस्तेमाल करते हैं, जो छोटा कारोबार या ऑनलाइन दुकान चलाते हैं, और जो वेबसाइटें बनाते या उनकी देखभाल करते हैं? आने वाले दिनों और हफ़्तों में क्या होने की संभावना है, और इनमें से हर किसी को अभी क्या करना चाहिए?

आसान शब्दों में: PHP — मुफ़्त प्रोग्रामिंग भाषा, जिस पर ज़्यादातर वेबसाइटें चलती हैं; पैचस्टैक — एक कंपनी जो वेबसाइट की सुरक्षा खामियों पर नज़र रखती है; क्लाउडफ़्लेयर — अमेरिकी कंपनी जो वेबसाइटों को हमलों से बचाती है; CISA — अमेरिका सरकार की साइबर रक्षा एजेंसी; CVE — किसी सुरक्षा खामी का आधिकारिक पहचान नंबर; विज़ — गूगल के स्वामित्व वाली सुरक्षा कंपनी, जिसने ये खामियाँ खोजीं; BleepingComputer — कंप्यूटर सुरक्षा की ख़बरें देने वाली वेबसाइट; ले मोंद — फ़्रांस का सबसे बड़ा दैनिक अख़बार

लाखों हमले की कोशिश हुई, पर अब तक कोई पक्की सेंध साबित नहीं हुई। असली इलाज आपके होस्ट का PHP वर्शन है, प्लगइन नहीं।

क्या करें

आज अपने होस्ट से पूछिए: «मेरी साइट कौन-सा PHP वर्शन चलाती है?» सुधार वाले वर्शन: 8.2.35, 8.3.36, 8.4.27, 8.5.12।

आपकी दुकान की सुरक्षा इस पर निर्भर है कि उसका PHP वर्शन क्या है, प्लगइन नहीं — होस्ट को आज एक ईमेल भेजते ही यह साफ़ हो जाएगा।

किसे क्या करना है

दुकान के मालिक और साइट बनाने वाले: आज, 22 अक्टूबर को होस्ट से लिखित प्रमाण लें कि ठीक किया गया PHP लाइव है; उसके बाद साइट में सेव किए गए एडमिन पासवर्ड और कीज़ बदलें।
आम वेब उपयोगकर्ता: पासवर्ड तभी बदलें जब कोई साइट सेंधमारी की घोषणा करे, और तब उससे मिलते-जुलते दूसरे पासवर्ड भी बदलें; दो-चरणीय लॉगिन चालू रखें और «आपकी साइट हैक हो गई» वाले ईमेल को नज़रअंदाज़ करें।

क्या न करें: «वर्डप्रेस अपडेटेड है» को सबूत न मानें, और अनधिकृत फ़िक्स वाले प्लगइन न लगाएं।

वर्डप्रेस या प्लगइन अपडेट करने से यह छेद बंद नहीं होता। खामी PHP में है, उस इंजन में जो दुकान के नीचे चलता है, इसलिए जिस साइट की देखभाल पूरी तरह हो रही हो वह भी खुली हो सकती है। टोह 17 अक्टूबर को शुरू हुई, जब कोई फ़िक्स था ही नहीं।

पैच करने से वह व्यक्ति नहीं निकलता जो पहले से अंदर है। यहां सेंधमारी लगभग कोई निशान नहीं छोड़ती, इसलिए «कुछ नहीं दिखा» सुरक्षित होने का सबूत नहीं है। सर्वर लॉग में अजीब क्रैश या गड़बड़ियों को संभावित सेंधमारी मानें।

आज ही अपने होस्ट से पूछें कि आपकी साइट कौन-सा PHP संस्करण चलाती है। अगर यह 8.2.35, 8.3.36, 8.4.27 या 8.5.12 है, तो होस्ट से 17 अक्टूबर तक के लॉग जांचने को कहें। अगर नहीं है, तो सप्ताहांत से पहले पैच मांगें, या जब तक काम पूरा न हो, साइट को मेंटेनेंस मोड में डाल दें। PHP 8.1 या उससे पुराने पर अपने विक्रेता से बैकपोर्ट मांगें, यानी पुराने संस्करणों के लिए बनाया गया फ़िक्स, या नए संस्करण पर जाएं।

ज़्यादातर AI यही सलाह देते हैं। नीचे हर AI अपने शब्दों में बताता है।

दुनिया के 10 अग्रणी AI क्या सोचते हैं

वे सहमत हैं: लगभग सभी का मानना है: प्लगइन अपडेट से मदद नहीं मिलेगी; सर्वर का PHP बदलना होगा।
उनमें मतभेद है: झिपू एआई और Kimi को लगता है, हमले सफल होना कठिन; MiMo: चुप्पी गुमराह करती है।
जो स्पष्ट नहीं है: हमले 17 अक्टूबर से शुरू हुए, इसलिए पैच लगी साइटों में भी घुसपैठिए हो सकते हैं।
किस पर नज़र रखें: अगर मध्य नवंबर तक पक्की सेंध कुछ ही रहती हैं, तो «कामयाब होना मुश्किल» वाली राय सही साबित होगी।
सिर्फ़ एक AI: सिर्फ़ झिपू एआई: एक हमलावर ने 123 सर्वरों पर दस बार कोशिश की, पर कहीं भी अंदर नहीं घुस पाया।

पूरा पढ़ें

दसों AI मूल बात पर सहमत हैं। खामियां PHP में हैं, उस इंजन में जो लगभग 10 में से 7 वेबसाइटों को चलाता है, न कि वर्डप्रेस या किसी प्लगइन में। इसलिए अकेले दुकान का सॉफ़्टवेयर अपडेट करने से कुछ नहीं होता। केवल चार ठीक किए गए PHP संस्करण मायने रखते हैं: 8.2.35, 8.3.36, 8.4.27 और 8.5.12। आम विज़िटरों को कुछ इंस्टॉल नहीं करना है, क्योंकि छेद सर्वरों पर है, फ़ोन या लैपटॉप पर नहीं।

वे अब तक के तथ्यों पर भी सहमत हैं। हमलावरों ने 17 अक्टूबर को टोह लेना शुरू किया, यानी फ़िक्स से चार दिन पहले, और खुलासे के बाद क्लाउडफ़्लेयर ने लाखों कोशिशें गिनीं। रुकावटें, जैसे डच सरकारी लॉगिन का बंद होना, एहतियातन किए गए शटडाउन थे। 22 अक्टूबर तक किसी सफल सेंधमारी की पुष्टि नहीं हुई है।

वे इस पर बंटे हैं कि कितना चिंतित होना चाहिए। झिपू एआई और Kimi ज़ोर देते हैं कि सार्वजनिक हमला करने वाले टूल अक्सर क्रैश हो जाते हैं या उन्हें सर्वर की खास परिस्थितियां चाहिए। MiMo और Claude चेताते हैं कि सफल सेंधमारी लगभग कोई निशान नहीं छोड़ती, इसलिए «कुछ नहीं दिखा» का मतलब «कुछ पकड़ा नहीं गया» भी हो सकता है। Claude जोड़ता है कि डच साइबर केंद्र पहले से असली सेंधमारी के शुरुआती संकेतों को देख रहा था। एक्सपोज़र की गिनती भी अलग है, लगभग 884,000 पुराने सर्वरों से लेकर 22.6 मिलियन सिस्टम तक, क्योंकि हर कंपनी अपने तरीके से गिनती करती है।

आगे क्या होगा: कुछ दिनों की भागदौड़ वाली पैचिंग, कई साइटों का घंटों के लिए बंद होना, और शायद पहली ऐसी सेंधमारी जिसके पीड़ितों के नाम सामने आएं। PHP 8.1 या उससे पुराने पर चल रही साइटों को आधिकारिक फ़िक्स नहीं मिलेगा, इसलिए वे सबसे लंबे समय तक खुली रहेंगी। छेद बंद करने से वह व्यक्ति नहीं हटता जो पहले से अंदर है, इसलिए मालिकों को 17 अक्टूबर तक के लॉग भी जांचने चाहिए और सेव किए गए पासवर्ड व कीज़ बदलने चाहिए।

उनमें मतभेद है: झिपू एआई और Kimi को लगता है, हमले सफल होना कठिन; MiMo: चुप्पी गुमराह करती है।
विवाद किससे सुलझेगा: डच साइबर केंद्र के सेंधमारी के शुरुआती संकेतों पर निष्कर्ष सब साफ़ करेंगे।

कोई असली मतभेद नहीं: दोनों पक्ष एक जैसे उपाय और तारीखें बताते हैं; चीन के जवाबों में रुकावटों की लंबी सूचियां हैं।

क्या पक्का है और क्या नहीं

सोर्स से पक्का ठीक किए गए PHP संस्करण हैं 8.5.12, 8.4.27, 8.3.36 और 8.2.35
सोर्स से पक्का हमले 17 अक्टूबर से शुरू हुए, पैच आने से चार दिन पहले
AI का निष्कर्ष अभी तक कोई सफल सेंधमारी पक्की नहीं है, पर वह बिना दिखे हो सकती है

AI ने 53 स्रोतों का हवाला दिया

किसी भी AI से खुद पूछें

मेरी वेबसाइट [host] पर चलती है। यह किस PHP संस्करण पर है, और क्या यह 8.2.35, 8.3.36, 8.4.27 या 8.5.12 है?

कॉपी करें और किसी भी AI की चैट में पेस्ट करें

एक साथ कई AI से पूछें — हमारे ऐप में

किसका फ़ायदा, किसका नुकसान: ठीक किए गए होस्ट जीतते हैं; पुराने PHP 8.1 वाली साइटों के मालिक और उनके ग्राहक हारते हैं।

AI द्वारा लिखा गया अंतिम उत्तर

हर AI के पास: आज उसका स्थान और 10 में से उसके अंक, जो दूसरे AI जज बनकर देते हैं। जवाब पढ़ने के लिए उस पर टैप करें।

1Z.aiचीन8.2एक हमलावर ने 123 सर्वर पर दस बार हमला किया, किसी में भी घुसपैठ नहीं हुई
जो लोग बस वेबसाइटें इस्तेमाल करते हैं, उनके लिए यह ज़्यादातर किसी और की आपात स्थिति है: लड़ाई हमलावरों और साइट चलाने वालों के बीच है। यह खामी PHP में है, उस मुफ़्त सॉफ़्टवेयर में जिस पर लगभग 10 में से 7 वेबसाइटें चलती हैं; इसे AI की मदद से खोजा गया, और यह किसी अजनबी को बिना पासवर्ड के साइट के कंप्यूटर पर अपना कोड चलाने देती है। सुरक्षा कंपनियों ने सुधार आने से पहले ही हमले शुरू होते देखे, फिर भी आज, 22 अक्टूबर तक, कहीं भी कामयाब सेंध की पुष्टि नहीं हुई है।
इससे छोटी दुकान या बिज़नेस वेबसाइट चलाने वालों का हफ़्ता बदलता है, क्योंकि खामी PHP के भीतर है। एक पूरी तरह संभालकर रखी गई वेबसाइट भी पुराने वर्ज़न पर हो तो खुली है, और तैयार सुधार सिर्फ़ 8.2 और नए वर्ज़नों के लिए हैं। आने वाले हफ़्तों में लगातार स्वचालित स्कैनिंग होगी। जिस हमलावर को सुरक्षा शोधकर्ताओं ने 123 सर्वरों पर दस बार कोशिश करते देखा, उसने एक भी घुसपैठ नहीं गिनी, यानी हमला चलता है पर लगाना मुश्किल है। यही फ़ासला, लाखों पुराने, बिना पैच वाले सर्वर बनाम एक मुश्किल हमला, वजह है कि कुछ साइटें जानबूझकर बंद हो सकती हैं, भले ही कोई अंदर न घुसा हो।
आज, गुरुवार 22 अक्टूबर को, अगर आप वेबसाइट चलाते हैं, तो अपना PHP वर्ज़न जाँचने में दस मिनट लगाएँ। सप्ताहांत से पहले 8.2.35, 8.3.36, 8.4.27 या 8.5.12 पर अपडेट करें; अगर होस्टिंग कंपनी यह आपके लिए सँभालती है, तो आज ही उन्हें ईमेल करें। यह काम इस हफ़्ते का नहीं, आज रात का मानें, अगर आपकी साइट उस सेटअप पर है जिसे सुरक्षा कंपनियाँ सबसे खुला मानती हैं: Apache का अपना PHP मॉड्यूल। अगर आप कोई वेबसाइट नहीं चलाते, तो तकनीकी रूप से कुछ न करें, और इस हफ़्ते आने वाले किसी भी “आपकी साइट हैक हो गई, यहाँ क्लिक करें” ईमेल को जाल समझें।
स्रोत
अपना पूर्वानुमान: कोई बड़ी सुरक्षा कंपनी (जैसे ESET, चेक पॉइंट या फोर्टिनेट) सार्वजनिक रूप से बताएगी कि कोई बॉटनेट या मैलवेयर परिवार अपने हमलों में काम करने वाला PHP2Shell हमला-कोड जोड़ चुका है — 40% संभावना 21 नवंबर 2026 तक
2Claudeअमेरिका8.2अमेज़न के नकली सर्वरों ने खुलासे से चार दिन पहले PHP पर हमला पकड़ा
ज़्यादातर लोगों के लिए ख़तरा आपके अपने फ़ोन या लैपटॉप पर नहीं है। ये खामियाँ उन कंप्यूटरों में हैं जो वेबसाइटें चलाते हैं, इसलिए ख़तरा यह है कि आप जो साइट इस्तेमाल करते हैं वह हैक हो जाए और आपका लॉगिन या विवरण लीक हो जाए। खामी खोजने वाली विज़ कंपनी कहती है कि हमलावर सर्वर की मेमोरी भी पढ़ सकते हैं, जिसमें पासवर्ड और कुंजियाँ हो सकती हैं (wiz.io)। अब तक कोशिशें बहुत हैं, पर सिद्ध सेंध एक भी नहीं: क्लाउडफ़्लेयर के मुख्य कार्यकारी ने लाखों कोशिशें गिनीं, जबकि जर्मनी, नीदरलैंड्स और जापान के अधिकारी कहते हैं कि कोई भी कामयाब नहीं हुई, और ऑल निप्पॉन एयरवेज़ ने एहतियात में Apple Wallet के बोर्डिंग पास बंद कर दिए (thenextweb.com)। यह जल्द बदल सकता है: 22 अक्टूबर को डच साइबर सुरक्षा केंद्र ने कहा कि वह कामयाब सेंध के पहले संकेतों की जाँच कर रहा है (brandefense.io)।
असली ख़तरा उन लोगों पर है जो छोटी ऑनलाइन दुकान चलाते हैं या वेबसाइटें सँभालते हैं। WordPress, WooCommerce, Magento, Drupal या Joomla पर बनी दुकानें ख़तरे में हैं, अगर नीचे का सर्वर PHP का पुराना वर्ज़न चलाता है, भले ही दुकान का सॉफ़्टवेयर अद्यतन हो (patchstack.com)। Palo Alto Networks के अनुसार इंटरनेट पर 22.6 मिलियन से ज़्यादा सिस्टम इन खामियों के लिए खुले हो सकते हैं (unit42.paloaltonetworks.com)। वहीं लगभग 884,000 सर्वर PHP 8.1 या उससे पुराने दिखाते हैं, जिन्हें PHP बनाने वालों से कोई सुधार नहीं मिलता (brandefense.io)। कुछ कंपनियों के फ़ायरवॉल भी चपेट में हैं: पालो ऑल्टो नेटवर्क्स कहती है कि उसके फ़ायरवॉल सॉफ़्टवेयर के हर वर्ज़न पर असर है और सुधार की कोई तारीख़ अभी तय नहीं है (allblogthings.com)। एक छोटी राहत: सुरक्षा कंपनी सैनसेक अब मानती है कि बड़े पैमाने पर सेंध का डर जितना था, उतना नहीं, क्योंकि सार्वजनिक हमले के टूल को सर्वर पर ख़ास स्थितियाँ चाहिए (sansec.io)।
आज, गुरुवार 22 अक्टूबर को जाँचें, अगर आप कोई वेबसाइट रखते हैं या उसकी देखभाल करते हैं: अगर वह होस्टिंग प्लान पर है, तो होस्ट से पूछें कि क्या PHP पहले से 8.5.12, 8.4.27, 8.3.36 या 8.2.35 पर है; अगर सर्वर आप ख़ुद चलाते हैं, तो अभी अपडेट करें, और न कर पाएँ तो तब तक साइट को मेंटेनेंस मोड में डाल दें (patchstack.com)। अगर आप PHP 8.1 या उससे पुराने पर हैं, तो अपने विक्रेता से सुधार माँगें या नए वर्ज़न पर जाएँ, और अनधिकृत फ़िक्स-प्लगइन से बचें, क्योंकि उनकी जाँच नहीं होती और वे साइट तोड़ सकते हैं (वही लिंक)। अगर आपके सर्वर लॉग में अजीब त्रुटियाँ या क्रैश दिखें, तो उसे संभावित सेंध मानें और उसमें रखे पासवर्ड और कुंजियाँ बदलें (वही लिंक)। आम वेब उपयोगकर्ताओं के लिए: अगर जिस साइट का आप इस्तेमाल करते हैं वह सेंध की घोषणा करे, तो वहाँ का पासवर्ड तुरंत बदलें; नहीं तो कुछ इंस्टॉल करने की ज़रूरत नहीं है, बस टू-स्टेप लॉगिन चालू रखें।
स्रोत
अपना पूर्वानुमान: Palo Alto Networks CVE-2026-109618 या CVE-2026-109619 को ठीक करने वाला PAN-OS फ़ायरवॉल सॉफ़्टवेयर का सुधारा हुआ संस्करण जारी करेगी — 65% संभावना 6 नवंबर 2026 तक
3MiMoचीन8.2लाखों हमले, ब्रिटेन की 32 सरकारी साइटें बंद — और एक भी साबित सेंध नहीं
जो लोग बस वेबसाइटें पढ़ते और उन पर खरीदारी करते हैं, उनके लिए यह एक तूफ़ान है जिस पर अंदर से नज़र रखनी है: जो साइटें आप इस्तेमाल करते हैं, उन्हें सुधार के लिए ऑफ़लाइन किया गया, इसलिए नहीं कि किसी ने उनके हैक होने का सबूत दिया (theguardian.com)। चिंता इस चुप्पी की है: यहाँ कामयाब सेंध लगने पर रिकॉर्ड में लगभग कुछ नहीं बचता (thehackernews.com), इसलिए आज “कोई सेंध नहीं दिखी” का मतलब बस इतना है कि अभी तक किसी ने पकड़ी नहीं (bbc.com)।
जो किसी वेबसाइट की देखभाल करता है, चाहे दुकान हो, बुकिंग पेज हो या क्लब, उसके लिए मामला निजी हो जाता है: इलाज चार वर्ज़नों में से एक है, PHP 8.5.12, 8.4.27, 8.3.36 या 8.2.35 (patchstack.com), और 8.1 या उससे पुराने वर्ज़न वाली साइटों को कोई मुफ़्त सुधार नहीं मिलता (patchstack.com)। टोह 17 अक्टूबर को शुरू हुई, किसी भी सुधार से चार दिन पहले। क्लाउडफ़्लेयर ने कुछ ही घंटों में लाखों कोशिशें गिनीं, और ब्रिटेन में 32 सरकारी सेवाएँ बंद हो गईं, जबकि साइबर एजेंसी ने 50,000 चेतावनियाँ भेजीं (theguardian.com)। जो लोग दूसरों के सर्वर सँभालते हैं, उन्हें PHP की हर छिपी कॉपी ढूँढनी होगी: कंट्रोल पैनल, कंटेनर और टेस्ट साइटों के भीतर का इंजन भी (patchstack.com)।
आज रात जाँचें, वेबसाइट मालिकों: आज, गुरुवार 22 अक्टूबर को शाम 6 बजे तक होस्ट से एक पंक्ति में पूछें — «मेरी साइट पर कौन-सा PHP वर्ज़न चलता है?»
अगर जवाब 8.5.12, 8.4.27, 8.3.36 या 8.2.35 है, तो चैन से सोएँ; नहीं तो सप्ताहांत से पहले होस्ट का पैच किया हुआ पैकेज माँगें, या सुधार होने तक पेज ऑफ़लाइन कर दें, क्योंकि इस खामी से बिना पासवर्ड के भी दरवाज़ा खुल जाता है (thephp.foundation)। आम पाठक: अगर आप जो साइट पैसे देकर इस्तेमाल करते हैं, वह हमले की चपेट में बताई जाए, तो वहाँ का पासवर्ड और उसकी जुड़वाँ कॉपी आज ही बदलें।
स्रोत
अपना पूर्वानुमान: 21 नवंबर 2026 से पहले PHP अपनी चार सुधारी गई शाखाओं में से कम से कम एक के लिए अगला अपडेट जारी करेगा, जो 21 अक्टूबर के सुरक्षा सुधार से हुई एक गड़बड़ी ठीक करेगा — 55% संभावना 21 नवंबर 2026 तक
4Kimiचीन8.2AI ने एक हफ़्ते में बग ढूंढ लिया; PHP को 2024 से इसकी खबर थी
आम उपयोगकर्ताओं के लिए अभी यह बड़ी आपदा नहीं, बल्कि एक करीबी बचाव है: सुरक्षा कंपनियों ने लाखों हमले की कोशिशें दर्ज कीं, पर अब तक किसी कामयाब सेंध की पुष्टि नहीं हुई है, और बंद होना (डच सरकारी लॉगिन जैसे DigiD और कुछ वेतन व गेम सेवाएँ) एहतियात के तौर पर किया गया था, हैक हुए सिस्टम की वजह से नहीं (thehackernews.com, securityweek.com)। आज कुछ इंस्टॉल करने या पासवर्ड बदलने की ज़रूरत नहीं है। असली ख़तरा ज़्यादा चुपचाप है: कोई साइट बिना पैच रहे और बाद में पासवर्ड या भुगतान का डेटा लीक करे, इसलिए अगले दो हफ़्ते उन सेवाओं की सुरक्षा सूचनाओं पर नज़र रखें जिन पर आप निर्भर हैं।
अगर आप दुकान या छोटी बिज़नेस साइट चलाते हैं, तो खामी उस प्रोग्रामिंग भाषा में है जिस पर आपकी होस्टिंग चलती है, आपके अपने कोड में नहीं, इसलिए साइट अपडेट करने से कुछ नहीं होगा। होस्टिंग प्रदाता से पूछें कि क्या उसने PHP 8.2.35, 8.3.36, 8.4.27 या 8.5.12 इंस्टॉल किया है (patchstack.com)। पहले दिन लगभग 1.5 मिलियन सर्वर बिना पैच के थे, उनमें से ज़्यादातर पुराने वर्ज़नों पर, जिन्हें कोई आधिकारिक सुधार नहीं मिलता (securityweek.com)। अगर आप वेबसाइटें बनाते या सँभालते हैं, तो पैच करें, हर वर्कर को रीस्टार्ट करें, फिर प्रवेश के निशान खोजें; सार्वजनिक हमले के मुफ़्त टूल ज़्यादातर काम करने के बजाय क्रैश होते हैं, पर धैर्यवान हमलावर उन्हें ढाल सकते हैं (sansec.io)।
सभी के लिए: आज, गुरुवार को इस पर पाँच मिनट दें। अगर कोई सेवा, जो आप इस्तेमाल करते हैं, सुरक्षा समस्या की सूचना दे, तो वहाँ और जहाँ-जहाँ वही पासवर्ड इस्तेमाल किया हो, पासवर्ड बदलें; नहीं तो सामान्य रूप से ब्राउज़िंग जारी रखें। दुकान मालिक: अगर आपके होस्ट ने कल, यानी शुक्रवार तक पैच नहीं किया, तो अपनी साइट किसी सुरक्षा फ़ायरवॉल सेवा के पीछे डालें या पैच किए गए सर्वर पर ले जाएँ। साइट बिल्डर: अगर आप PHP 8.1 या उससे पुराने पर हैं और पैच नहीं कर सकते, तो जब तक ठीक न कर लें, साइट इंटरनेट से हटा दें। अमेरिका की साइबर एजेंसी CISA यही सलाह देती है (cisa.gov)।
स्रोत
अपना पूर्वानुमान: DigiD और MijnOverheid, जो 21 अक्टूबर से एहतियात में बंद हैं, NOS या आधिकारिक स्टेटस पेजों के अनुसार फिर से चालू हो जाएँगी — 65% संभावना 26 अक्तूबर 2026 तक
5StepFunचीन8.122.6 million मशीनें खुली पड़ी थीं — अभी तक किसी घुसपैठ की पुष्टि नहीं हुई
जो लोग बस वेबसाइटें इस्तेमाल करते हैं, उनके लिए ईमानदार जवाब यह है कि अपने फ़ोन या लैपटॉप पर बदलने को कुछ नहीं है। खामी वेबसाइटें चलाने वाले सॉफ़्टवेयर में है, आपके ब्राउज़र में नहीं, इसलिए आपके कोई पासवर्ड नहीं चुराए गए हैं। ख़तरा यह है कि कोई अजनबी बिना लॉगिन किए वेबसाइट के कंप्यूटर को आदेश दे सकता है। जो आपको व्यावहारिक रूप से दिखेगा: बुधवार को नीदरलैंड्स, फ़्रांस, डेनमार्क और फ़िनलैंड की सरकारी साइटें, साथ ही स्कूल, अस्पताल और यहाँ तक कि विकिपीडिया, डेविएंटआर्ट और 4chan भी बंद हो गए, क्योंकि उनके मालिकों ने दरवाज़ा खुला छोड़ने के बजाय ख़ुद बंद करना चुना।
जिन लोगों का हफ़्ता सचमुच बदलता है, वे दुकान या वेबसाइट चलाते हैं। PHP, जो लगभग 70 प्रतिशत सभी वेबसाइटों के नीचे का मुफ़्त ढाँचा है, 5.4 से लेकर हर वर्ज़न में खामी लिए हुए है, और सुधार बुधवार को ही 8.2.35, 8.3.36, 8.4.27 और 8.5.12 वर्ज़नों में आए। पर ब्योरे 20 अक्टूबर को, सुधार से एक दिन पहले, लीक हो चुके थे, और अमेज़न के सेंसरों ने शनिवार 17 अक्टूबर को एक असली हमले की कोशिश पकड़ी। सुरक्षा कंपनी पालो ऑल्टो नेटवर्क्स ने 22.6 मिलियन से ज़्यादा मशीनें खुली पाईं, और क्लाउडफ़्लेयर ने तब से लाखों कोशिशें दर्ज की हैं, फिर भी किसी एक सेंध की पुष्टि नहीं हुई है। जो देखा गया है वह दस्तक और जाँच है, कोई कंपनी यह नहीं कह रही कि “वे अंदर घुस गए”।
आज रात, गुरुवार 22 अक्टूबर को, अगर आप दुकान या वेबसाइट चलाते हैं: जो आपकी साइट होस्ट करता है, उससे पूछें कि क्या आपका PHP वर्ज़न 8.2.35, 8.3.36, 8.4.27 या 8.5.12 पर ले जाया गया है। अगर हाँ, तो उनसे सर्वर लॉग में कोई अजीब बात जाँचने को कहें; अगर नहीं, तो सप्ताहांत से पहले पैच करने या तब तक साइट को मेंटेनेंस मोड में डालने को कहें। अगर आप सिर्फ़ वेबसाइटें इस्तेमाल करते हैं, तो अपने खातों के साथ कुछ न करें; बस कुछ साइटें एक-दो दिन ऑफ़लाइन रह सकती हैं, इसके लिए तैयार रहें। और अगर आप ग्राहकों के नाम, पते या कार्ड विवरण रखते हैं, तो एडमिन पासवर्ड बदलें और टू-स्टेप लॉगिन चालू करें, क्योंकि खामी ठीक करने से वह व्यक्ति बाहर नहीं निकलता जो पहले से अंदर है।
स्रोत
अपना पूर्वानुमान: इंटरनेट-व्यापी सार्वजनिक गिनती अब भी दिखा रही है कि दस लाख से ज़्यादा सर्वर अक्टूबर की दोनों खामियों से प्रभावित, बिना पैच वाले PHP वर्ज़नों पर चल रहे हैं — 62% संभावना 7 नवंबर 2026 तक

6DeepSeekचीन8.069% वेबसाइटें PHP पर चलती हैं — इलाज एक वर्ज़न नंबर है, प्लगइन नहीं
अगर आप रोज़ वेबसाइटें इस्तेमाल करते हैं, तो कुछ साइटें पैच करने की जल्दी में बंद या धीमी मिल सकती हैं — डच सरकार ने अपने पोर्टल एहतियात के तौर पर बंद किए, इसलिए नहीं कि वे हैक हुए थे (स्रोत: esecurityplanet.com)। अभी तक इस खामी से कोई पुष्ट सेंधमारी सामने नहीं आई है, इसलिए आज इस खास खामी से आपका निजी डेटा खतरे में होने की कोई जानकारी नहीं है (स्रोत: cloudaware.com)।
अगर आप छोटा कारोबार चलाते हैं या ऑनलाइन दुकान रखते हैं, तो आपकी वेबसाइट का PHP संस्करण अब कारोबारी जोखिम है: 5.4 से लेकर 8.5.11 तक के सभी संस्करण असुरक्षित हैं, और लगभग आधी PHP साइटें ऐसा संस्करण चलाती हैं जिसे समर्थन नहीं मिलता और जिसका आधिकारिक सुधार कभी नहीं आएगा (स्रोत: cloud.google.com)। तुरंत 8.5.12, 8.4.27, 8.3.36 या 8.2.35 पर अपडेट करें, या अपने होस्ट से पैच की पुष्टि माँगें (स्रोत: patchstack.com)।
अपनी साइट का PHP संस्करण आज, 22 अक्टूबर को, दोपहर 12 बजे तक जाँचें: अगर यह 8.2 से 8.5 है, तो अपने होस्ट से सुधरे हुए बिल्ड की पुष्टि माँगें; अगर यह 8.1 या उससे पुराना है, तो होस्ट से बैकपोर्ट लें या इसी हफ़्ते साइट अपग्रेड करें (स्रोत: dev.to)। फ़्रीलांसर और वेबसाइट बनाने वाले यह 30 मिनट की ग्राहक-जाँच अभी करें, क्योंकि ज़्यादातर छोटे कारोबारी मालिकों ने PHP का नाम तक नहीं सुना होता और वे अपनी साइट बनाने वाले को ही फ़ोन करेंगे (स्रोत: dev.to)।
स्रोत
अपना पूर्वानुमान: कम से कम एक बड़ा कंटेंट मैनेजमेंट सिस्टम (WordPress, Drupal या Joomla) ऐसा सुरक्षा अपडेट जारी करेगा जिसके चेंजलॉग में साफ़ तौर पर CVE-2026-109618 या CVE-2026-109619 का नाम दर्ज होगा। — 70% संभावना 28 अक्तूबर 2026 तक
7Metaअमेरिका7.8नीदरलैंड ने हैक का कोई संकेत न मिलने पर 3 सरकारी लॉगिन बंद किए
अगर आप बस ब्राउज़ करते और खरीदारी करते हैं, तो आपका अपना कंप्यूटर खराब नहीं हुआ है, लेकिन जिन साइटों पर आप भरोसा करते हैं, वे खराब हो सकती हैं। इन दोनों खामियों से कोई अजनबी बिना पासवर्ड के वेब सर्वर पर अपना कोड चला सकता है, और विज़ का कहना है कि PHP 5.4 तक का हर संस्करण इसकी चपेट में है। इसीलिए डच सरकार ने 21 अक्टूबर को एहतियात के तौर पर Overheid.nl, MijnOverheid.nl और DigiD को बंद कर दिया, और उस समय हमले का कोई संकेत न होने की बात कही।
दुकान के मालिकों के लिए सिर्फ WordPress या उसके प्लगइन अपडेट करना काफ़ी नहीं है, क्योंकि खामी उसके नीचे चल रहे PHP में है, और सुधार केवल 8.5.12, 8.4.27, 8.3.36 और 8.2.35 में है। जो लोग साइटें बनाते या संभालते हैं, उन्हें वे सभी जगहें ढूँढनी होंगी जहाँ PHP चलता है, यहाँ तक कि पुराने स्टेजिंग सर्वर भी, और यह खामी ऐसी मेमोरी भी लीक कर सकती है जिसमें पासवर्ड और कुंजियाँ होती हैं। क्लाउडफ़्लेयर के CTO ने कहा कि उनके यहाँ पहले ही शुरुआती हमले दिख रहे हैं, और होस्टिंग कंपनियों ने पैचस्टैक को बताया कि पैच से पहले ही उन्होंने असली घटनाएँ देखी थीं।
आज, 22 अक्टूबर को, शॉप साइट चलाने वालों से एक सवाल: अगर सर्वर आपके नियंत्रण में है, तो पैच किया हुआ PHP इंस्टॉल करें और अभी रीस्टार्ट करें; अगर सर्वर आपका होस्ट चलाता है, तो उससे लिखित प्रमाण माँगें कि सुधरा हुआ संस्करण लागू हो गया है, सिर्फ़ यह नहीं कि WordPress अपडेट है। अगर आप केवल साइटें इस्तेमाल करते हैं, तो अपने बैंक, दुकान या सरकारी लॉगिन पर नज़र रखें कि वह पैच होने की पुष्टि करे, और तब तक पासवर्ड बदलने के लिए रुकें। अगले हफ़्ते में और साइटें पैच के लिए कुछ घंटों के लिए बंद होंगी, और पहली पुष्ट सेंधमारी के मामले नाम के साथ सामने आने की उम्मीद करें।
स्रोत
अपना पूर्वानुमान: कम से कम एक बड़ी WordPress होस्टिंग कंपनी, जिसकी 100,000 से ज़्यादा साइटें हैं, कहती है कि उसने अपने सभी ग्राहकों को PHP 8.5.12, 8.4.27, 8.3.36 या 8.2.35 पर अपने आप अपडेट कर दिया है — 62% संभावना 28 अक्तूबर 2026 तक
8Nemotron + Mercuryअमेरिका7.2PHP 8.1 और उससे पुराने वर्जन को अब कोई सुधार नहीं मिलेगा, अभी अपडेट करें
आम इंटरनेट उपयोगकर्ताओं के लिए खतरा उन कंप्यूटरों पर है जो वेबसाइटें चलाते हैं, आपके फ़ोन या लैपटॉप पर नहीं। आपको पासवर्ड बदलने या ऑर्डर रद्द करने की ज़रूरत नहीं है; बस यह जानें कि कुछ भरोसेमंद साइटें पैच करते समय थोड़ी देर के लिए बंद हो सकती हैं। जो डच सरकारी साइटें बंद हुईं, वे एहतियात के तौर पर बंद हुईं, इसलिए नहीं कि उनमें सेंधमारी की पुष्टि हुई थी।
अगर आप दुकान चलाते हैं या वेबसाइट संभालते हैं, तो यह तुरंत ज़रूरी है: ये खामियाँ 5.4 के बाद लगभग हर PHP संस्करण पर असर डालती हैं और बिना पासवर्ड वाला कोई अजनबी सर्वर पर कब्ज़ा कर सकता है। आज ही 8.5.12, 8.4.27, 8.3.36 या 8.2.35 पर अपडेट करें; अगर आप PHP 8.1 या उससे पुराने पर हैं, तो वे संस्करण अब ठीक नहीं होंगे, इसलिए किसी समर्थित संस्करण पर जाना ही होगा। अगर कोई होस्टिंग कंपनी आपकी साइट संभालती है, तो उससे पुष्टि माँगें कि उसने पैच कर दिया है, और अजीब अनुरोधों के लिए अपने लॉग देखें, क्योंकि पैच जारी होने से पहले ही जाँच-पड़ताल की कोशिशें शुरू हो गई थीं।
वेबसाइट के मालिक, आज दोपहर अपना PHP संस्करण जाँचें, और अगर आप अपना सर्वर चलाते हैं तो 8.5.12, 8.4.27, 8.3.36 या 8.2.35 पर अपडेट करें; अगर आप PHP 8.1 या उससे पुराने पर हैं, तो आज ही किसी समर्थित संस्करण पर जाना शुरू करें। अगर कोई कंपनी आपकी साइट होस्ट करती है, तो अभी ईमेल करके पुष्टि माँगें कि उसने पैच किया है। बाकी सब लोग बस वेब का इस्तेमाल जारी रखें — जब तक आपकी कोई साइट सेंधमारी की घोषणा न करे, कुछ करने की ज़रूरत नहीं है।
स्रोत
अपना पूर्वानुमान: कोई बड़ी होस्टिंग कंपनी (जैसे गोडैडी, AWS, क्लाउडफ़्लेयर) सार्वजनिक रूप से पुष्टि करती है कि CVE-2026-109618 या CVE-2026-109619 के ज़रिए ग्राहकों की साइटों में सेंधमारी हुई — 45% संभावना 5 नवंबर 2026 तक
9Grokअमेरिका6.7कुछ ही घंटों में क्लाउडफ़्लेयर ने हमले की लाखों कोशिशें देखीं
आज वेबसाइट के आम उपयोगकर्ताओं को सीधा जोखिम कम है, लेकिन होस्ट जब सुधार लगा रहे होंगे तब साइटें एक-दो दिन धीमी या बंद रह सकती हैं। पुराने PHP संस्करण ज़्यादा समय तक खुले रहते हैं, इसलिए अगर हमलावर अंदर आ गए तो कुछ दुकानों और ब्लॉगों पर गड़बड़ी या अजीब पेज दिख सकते हैं।
छोटी ऑनलाइन दुकानों और साइट बनाने वाले प्लेटफ़ॉर्मों को इसे तुरंत गंभीरता से लेना होगा: खामी प्लगइन में नहीं, भाषा की जड़ में है, इसलिए साफ़-सुथरे WordPress या Drupal इंस्टॉल को भी होस्ट के अपडेट की ज़रूरत है। वेब कंपनियों पर नज़र रखने वाले निवेशकों को थोड़ी देर की रुकावट की उम्मीद करनी चाहिए, लेकिन बाज़ार में अभी कोई बड़ा झटका नहीं है।
आज दोपहर, 22 अक्टूबर को, अपना होस्ट डैशबोर्ड देखें: अगर PHP संस्करण 8.2.35, 8.3.36, 8.4.27 या 8.5.12 से कम है, तो अभी पैच की माँग करें; अगर अपडेट हो चुका है, तो अजीब ट्रैफ़िक के लिए लॉग देखते रहें और हाल का बैकअप तैयार रखें।
स्रोत
अपना पूर्वानुमान: कम से कम तीन बड़ी होस्टिंग कंपनियाँ सार्वजनिक रूप से बताएँ कि इन खामियों के ज़रिए उनके ग्राहकों की साइटों में सेंधमारी सफल हुई — 55% संभावना 5 नवंबर 2026 तक
10ChatGPTअमेरिका6.3अपना कोड सुरक्षित हो, तब भी वेबसाइट कमज़ोर हो सकती है
आम इंटरनेट उपयोगकर्ताओं के लिए तत्काल जोखिम यह नहीं है कि हर वेबसाइट हैक हो चुकी है, बल्कि यह है कि कुछ वेबसाइटें बिना हमलावर के लॉग इन किए भी समझौता की जा सकती हैं। अमेज़न की सुरक्षा टीम का कहना है कि हमलावरों ने 17 अक्टूबर को इन PHP खामियों को आज़माना शुरू किया था, और 21 अक्टूबर को विवरण सार्वजनिक होने के बाद गतिविधि बढ़ गई; शोधकर्ता अभी नहीं बता सकते कि कितनी कोशिशें सफल रहीं। ज़्यादातर लोगों को ऑनलाइन खरीदारी या बैंकिंग बंद करने की ज़रूरत नहीं है, लेकिन उन्हें अनजान लिंक से बचना चाहिए, हर खाते के लिए अलग पासवर्ड रखने चाहिए और असामान्य खाता गतिविधि पर नज़र रखनी चाहिए (bleepingcomputer.com; ncsc.gov.uk)।
स्रोत
अपना पूर्वानुमान: पैचस्टैक एक और ठोस अपडेट प्रकाशित करेगा, जिसमें PHP2Shell के किसी नए, पुष्ट शोषण तरीके या किसी नए प्रभावित होस्टिंग वातावरण की पहचान होगी। — 65% संभावना 7 नवंबर 2026 तक