<?php स्वतंत्र PHP सुरक्षा जाँच
क्या आपका PHP, PHP2Shell से प्रभावित है?
PHP में ही मौजूद दो गंभीर कमज़ोरियाँ रिमोट कोड एक्ज़ीक्यूशन की अनुमति देती हैं। इन्हें 21 अक्टूबर 2026 को ठीक किया गया। देखें कि कोई वेबसाइट अपने PHP संस्करण के बारे में क्या बताती है, या संस्करण स्ट्रिंग पेस्ट करें — फिर जानें कि ठीक-ठीक क्या करना है।
- निष्क्रिय: केवल एक सामान्य अनुरोध, कोई exploit नहीं
- मुफ़्त, बिना पंजीकरण, बिना विज्ञापन
- php.net और आधिकारिक advisories पर आधारित
2संस्करण जाँचें
आपके ब्राउज़र में ही जाँचा जाता है — हमें कुछ नहीं भेजा जाता। हर पंक्ति में एक संस्करण, अधिकतम 20।
01 · php.net · 2026-10-23
ठीक किए गए संस्करण
| ब्रांच | इसमें ठीक किया गया | ब्रांच की स्थिति |
|---|---|---|
| PHP 8.5 | 8.5.12 | सक्रिय रूप से समर्थित |
| PHP 8.4 | 8.4.27 | सक्रिय रूप से समर्थित |
| PHP 8.3 | 8.3.36 | केवल सुरक्षा fixes |
| PHP 8.2 | 8.2.35 | केवल सुरक्षा fixes — 31 दिसंबर 2026 को end of life |
| PHP 8.1 · 8.0 · 7.x · 5.x | कोई आधिकारिक रिलीज़ नहीं | End of life — PHP प्रोजेक्ट से कोई रिलीज़ नहीं |
स्रोत: php.net सुरक्षा सलाह, 21 अक्टूबर 2026। अंतिम सत्यापन 2026-10-23।
PHP2Shell क्या है?
PHP2Shell वह नाम है जो शोधकर्ताओं ने PHP इंजन की दो कमज़ोरियों को दिया है: CVE-2026-109618 (अनुरोध को पार्स करते समय PHP की मेमोरी ख़त्म होने पर memory corruption) और CVE-2026-109619 (आंतरिक स्थिति जो एक ही worker पर एक अनुरोध से अगले अनुरोध तक बची रह जाती है)। दोनों का CVSS v4.0 स्कोर 9.2 है।
बिना प्रमाणीकरण वाला हमलावर server पर कोड चला सकता है या — बिना कोई कोड चलाए — PHP प्रोसेस की मेमोरी पढ़ सकता है, जिसमें दूसरे अनुरोधों के पासवर्ड, session tokens, API keys और certificates शामिल हैं। php.net के अनुसार ये वेब अनुरोधों को सर्व करने वाले PHP को प्रभावित करती हैं: PHP-FPM, mod_php के साथ Apache, php-cgi, FrankenPHP और LiteSpeed। शोधकर्ताओं ने WordPress, Drupal और Joomla पर हमले प्रदर्शित किए, लेकिन किसी ख़ास एप्लिकेशन की ज़रूरत नहीं है: प्रभावित PHP पर एक साधारण “Hello World” पेज भी जोखिम में है।
अभी क्या करें
- 8.5.12, 8.4.27, 8.3.36 या 8.2.35 पर update करें — या अपने distribution का patched पैकेज इंस्टॉल करें।
- हर PHP प्रोसेस को restart करें: PHP-FPM, Apache, queue workers, containers। तब तक update सक्रिय नहीं होता।
- server पर हर PHP की जाँच करें — पैनल अक्सर कई संस्करण साथ-साथ इंस्टॉल करते हैं।
02 · shell
सीधे server पर जाँचें
वेबसाइट जाँच केवल वही देख पाती है जो server दिखाना चुनता है। server पर ये कमांड असली उत्तर देती हैं:
# डिफ़ॉल्ट PHP का संस्करण
php -v
# पैनल या पैकेज द्वारा इंस्टॉल किए गए अन्य PHP संस्करण
ls -d /usr/bin/php* /usr/sbin/php-fpm* /opt/alt/php*/usr/bin/php /opt/cpanel/ea-php*/root/usr/bin/php /opt/plesk/php/*/bin/php 2>/dev/null
# आंशिक बचाव उपायों से जुड़ी सेटिंग्स
php -i | grep -E 'session.upload_progress.enabled|post_max_size|memory_limit|fatal_error_backtraces'
# आपकी साइट विज़िटर्स को क्या दिखाती है
curl -sI https://your-site.com/ | grep -i -E '^(x-powered-by|server):'03 · FAQ
सामान्य प्रश्न
कौन-से PHP संस्करण प्रभावित हैं?
समर्थित ब्रांचों में 8.5.12, 8.4.27, 8.3.36 और 8.2.35 से पहले का हर संस्करण। PHP 8.1 और पुराने संस्करण end of life हैं और उन्हें PHP प्रोजेक्ट से कोई रिलीज़ नहीं मिलती; जब तक आपका vendor backported fix की पुष्टि न करे, उन्हें प्रभावित मानें।
मेरी साइट PHP संस्करण नहीं दिखाती। क्या मैं सुरक्षित हूँ?
ज़रूरी नहीं। संस्करण छिपाना (expose_php = Off) अच्छी प्रथा है, लेकिन इससे कुछ भी patch नहीं होता। server पर php -v से जाँचें या अपने प्रदाता से पूछें।
चेकर पुराना संस्करण दिखाता है, लेकिन मेरा host कहता है कि यह patched है। कौन सही है?
संभवतः दोनों। Debian, Ubuntu और RHEL जैसे Linux distributions अक्सर संस्करण नंबर बदले बिना सुरक्षा fixes backport करते हैं। अपने host से पूछें कि कौन-सा पैकेज build इंस्टॉल है और क्या उसके changelog में CVE-2026-109618 और CVE-2026-109619 का उल्लेख है।
क्या WordPress, Laravel या मेरा CMS प्रभावित है?
कमियाँ PHP में ही हैं, इसलिए प्रभावित PHP पर चलने वाला हर एप्लिकेशन जोखिम में है। शोधकर्ताओं ने WordPress, Drupal और Joomla पर बिना प्रमाणीकरण वाले हमले प्रदर्शित किए, लेकिन वे केवल उदाहरण थे — एक साधारण “Hello World” पेज भी काफ़ी है। WordPress या plugins update करने से यह ठीक नहीं होता; PHP को update करना ज़रूरी है।
क्या कोड चलाए बिना भी डेटा लीक हो सकता है?
हाँ। CVE-2026-109619 हमलावर के कोई कोड चलाए बिना PHP प्रोसेस की मेमोरी उजागर कर सकता है — दूसरे अनुरोधों के पासवर्ड, session tokens, API keys और certificates। ऐसे लीक कोई फ़ाइल पीछे नहीं छोड़ते और इनका पता लगाना कठिन है, इसलिए इंटरनेट पर प्रभावित संस्करण चलाने वाली हर साइट के secrets बदलें।