विश्वभरका वेबसाइट जोखिममा

एआईले पत्ता लगायो पीएचपीका गम्भीर कमजोरी

---

नयाँ पेज

२०८३ कार्तिक ६ बिहीबार १९:४६ बजे

काठमाडौं :  कृत्रिम बुद्धिमत्ताको सहयोगमा पीएचपी प्रोग्रामिङ भाषाको मूल प्रणालीमा रहेका दुई गम्भीर सुरक्षा कमजोरी पत्ता लागेका छन् । ‘पीएचपीटुसेल’ नाम दिइएका यी कमजोरीको दुरुपयोगबाट आक्रमणकारीले प्रयोगकर्ताको अनुमति नलिई टाढैबाट वेबसाइटको सर्भरमा आफ्नो कोड चलाउन र संवेदनशील सूचना चोर्न सक्ने जोखिम छ ।

अक्टोबर २१ मा सार्वजनिक गरिएका यी कमजोरीलाई ‘सीभीई–२०२६–१०९६१८’ र ‘सीभीई–२०२६–१०९६१९’ सङ्केत दिइएको छ । दुवैलाई सुरक्षा जोखिम मापन प्रणालीमा ९.२ अङ्क दिइएको छ, जुन अत्यन्त गम्भीर जोखिमको स्तर हो । सुरक्षा अनुसन्धानकर्ताहरूले यी कमजोरी प्रयोग गरेर वर्डप्रेस, ड्रुपल र जुम्लाजस्ता वेबसाइट सञ्चालन गर्ने प्रणालीमा समेत आक्रमण सम्भव रहेको प्रदर्शन गरेका छन् । 

विश्वका करिब ७० प्रतिशत वेबसाइट प्रभावित हुन सक्ने

सुरक्षा अनुसन्धान संस्था विज रिसर्चका अनुसार विश्वभरका करिब ७० प्रतिशत वेबसाइट पीएचपीमा आधारित छन् । त्यसैले यसको मूल प्रणालीमा देखिएका कमजोरीले ठूलो सङ्ख्यामा वेबसाइट तथा सर्भरलाई जोखिममा पार्न सक्छन् ।

पीएचपी वेबसाइट तथा वेब अनुप्रयोग सञ्चालन गर्न प्रयोग गरिने खुला स्रोतको प्रोग्रामिङ भाषा हो । वर्डप्रेस, ड्रुपल, जुम्ला र विकिपिडियाको मिडियाविकीजस्ता प्रणालीमा यसको प्रयोग हुन्छ । यी कमजोरी कुनै एउटा वेबसाइट वा अनुप्रयोगमा मात्र सीमित नभई पीएचपीको मूल प्रणालीमै रहेकाले जोखिमको दायरा फराकिलो बनेको हो । 

एआईले कसरी पत्ता लगायो कमजोरी ?

विज रिसर्चका अनुसन्धानकर्ताहरूले कृत्रिम बुद्धिमत्ताको सहयोगमा पीएचपीको स्रोत कोड अध्ययन गर्दै लामो समयदेखि लुकेका प्राविधिक त्रुटि पहिचान गरेका थिए । अनुसन्धानमा क्यालिफ, ओपनएआई र क्वार्कस्ल्याबलगायतका संस्थाले पनि सहकार्य गरेका थिए ।

अनुसन्धानका क्रममा पीएचपीले अनुरोध प्रशोधन गर्दा गम्भीर त्रुटि उत्पन्न भएमा त्यसको आन्तरिक स्मृति व्यवस्थापनमा समस्या आउन सक्ने पत्ता लागेको थियो । यस्तो अवस्थामा प्रणालीले प्रयोग गर्न नहुने पुरानो वा अपूर्ण तथ्याङ्कलाई पुनः प्रयोग गर्न सक्छ । त्यसबाट आक्रमणकारीले सर्भरमा अनधिकृत रूपमा कोड चलाउने वा स्मृतिमा रहेका संवेदनशील सूचना प्राप्त गर्ने बाटो खुल्न सक्छ । 

दुई कमजोरीले कसरी पार्छन् असर ?

पहिलो कमजोरी, सीभीई–२०२६–१०९६१८, सर्भरको स्मृति उपलब्धतासम्बन्धी गम्भीर त्रुटि उत्पन्न हुँदा देखिन्छ । अनुरोध प्रशोधनका क्रममा स्मृति अभाव भएमा प्रणालीले आन्तरिक तथ्याङ्क पूर्ण रूपमा तयार नहुँदै प्रक्रिया रोक्न सक्छ । त्यसपछि उक्त तथ्याङ्कलाई सही ठानेर प्रयोग गर्दा आक्रमणकारीले सर्भरमा कोड चलाउन सक्ने अवस्था सिर्जना हुन सक्छ ।

दोस्रो कमजोरी, सीभीई–२०२६–१०९६१९, एउटा अनुरोध सकिएपछि पनि त्यससँग सम्बन्धित पुरानो स्मृति अवस्थाको सन्दर्भ बाँकी रहन सक्ने समस्यासँग सम्बन्धित छ । पछिल्लो अनुरोध प्रशोधन गर्दा त्यही पुरानो अवस्थाको प्रयोग भएमा प्रणालीको स्मृति बिग्रन सक्छ । यसको दुरुपयोगबाट पनि सर्भरमा अनधिकृत पहुँच र कोड सञ्चालनको जोखिम हुन्छ । 

सुरक्षा अद्यावधिक सार्वजनिक, वेबसाइट सञ्चालकलाई तत्काल सुधार गर्न आग्रह पीएचपी विकास टोलीले अक्टोबर २१ मा यी कमजोरी समाधान गर्ने सुरक्षा अद्यावधिक सार्वजनिक गरेको छ । पीएचपीका ८.५.१२, ८.४.२७, ८.३.३६ र ८.२.३५ संस्करणमा सुधार समावेश गरिएको छ । पुराना संस्करण प्रयोग गर्ने वेबसाइट तथा सर्भर सञ्चालकले आफ्नो प्रणालीको अवस्था जाँच गरी सुरक्षित संस्करणमा अद्यावधिक गर्नुपर्नेछ । 

सुरक्षा अद्यावधिक तत्काल लागू गर्न नसक्ने संस्थाले जोखिमको मूल्याङ्कन गरी आवश्यक परे प्रभावित प्रणाली अस्थायी रूपमा बन्द राख्नुपर्ने सुझाव दिइएको छ । होस्टिङ सेवा प्रदायकले सर्भर व्यवस्थापन गर्ने अवस्थामा वेबसाइट सञ्चालकले पनि आफ्नो सेवा प्रदायकसँग सुरक्षा अद्यावधिक लागू भए–नभएको पुष्टि गर्नुपर्नेछ ।

पीएचपीको पुरानो संस्करण प्रयोग गरिरहेका वेबसाइटमा जोखिम अझै रहन सक्ने भएकाले नियमित सुरक्षा परीक्षण र अद्यावधिकलाई प्राथमिकता दिन अनुसन्धानकर्ताहरूले आग्रह गरेका छन् ।