अक्सर पूछे जाने वाले प्रश्न
कौन-से PHP संस्करण प्रभावित हैं?
समर्थित ब्रांचों में 8.5.12, 8.4.27, 8.3.36 और 8.2.35 से पहले का हर संस्करण। PHP 8.1 और पुराने संस्करण end of life हैं और उन्हें PHP प्रोजेक्ट से कोई रिलीज़ नहीं मिलती; जब तक आपका vendor backported fix की पुष्टि न करे, उन्हें प्रभावित मानें।
मेरी साइट PHP संस्करण नहीं दिखाती। क्या मैं सुरक्षित हूँ?
ज़रूरी नहीं। संस्करण छिपाना (expose_php = Off) अच्छी प्रथा है, लेकिन इससे कुछ भी patch नहीं होता। server पर php -v से जाँचें या अपने प्रदाता से पूछें।
चेकर पुराना संस्करण दिखाता है, लेकिन मेरा host कहता है कि यह patched है। कौन सही है?
संभवतः दोनों। Debian, Ubuntu और RHEL जैसे Linux distributions अक्सर संस्करण नंबर बदले बिना सुरक्षा fixes backport करते हैं। अपने host से पूछें कि कौन-सा पैकेज build इंस्टॉल है और क्या उसके changelog में CVE-2026-109618 और CVE-2026-109619 का उल्लेख है।
क्या WordPress, Laravel या मेरा CMS प्रभावित है?
कमियाँ PHP में ही हैं, इसलिए प्रभावित PHP पर चलने वाला हर एप्लिकेशन जोखिम में है। शोधकर्ताओं ने WordPress, Drupal और Joomla पर बिना प्रमाणीकरण वाले हमले प्रदर्शित किए, लेकिन वे केवल उदाहरण थे — एक साधारण “Hello World” पेज भी काफ़ी है। WordPress या plugins update करने से यह ठीक नहीं होता; PHP को update करना ज़रूरी है।
क्या कोड चलाए बिना भी डेटा लीक हो सकता है?
हाँ। CVE-2026-109619 हमलावर के कोई कोड चलाए बिना PHP प्रोसेस की मेमोरी उजागर कर सकता है — दूसरे अनुरोधों के पासवर्ड, session tokens, API keys और certificates। ऐसे लीक कोई फ़ाइल पीछे नहीं छोड़ते और इनका पता लगाना कठिन है, इसलिए इंटरनेट पर प्रभावित संस्करण चलाने वाली हर साइट के secrets बदलें।
क्या session.upload_progress बंद करने से यह ठीक हो जाता है?
नहीं। php.net ने session.upload_progress.enabled=0 को CVE-2026-109619 के कुछ पुष्ट रास्तों के लिए आंशिक बचाव उपाय के रूप में सूचीबद्ध किया है। यह सभी variants को कवर नहीं करता और CVE-2026-109618 पर इसका कोई असर नहीं होता।
क्या web application firewall पर्याप्त है?
update करते समय WAF या request सीमाएँ जोखिम कम कर सकती हैं, लेकिन समस्या इस बात में है कि PHP अनुरोधों और मेमोरी को कैसे संभालता है। update करना फिर भी आवश्यक है।
क्या update के बाद कुछ restart करना होगा?
हाँ। PHP-FPM, Apache, LiteSpeed और लंबे समय तक चलने वाले workers restart होने तक पुराना कोड ही चलाते रहते हैं। containers को नई image से दोबारा बनाना होगा।
यह चेकर असल में क्या करता है?
यह आपके दर्ज किए पते पर एक HEAD अनुरोध (या HEAD की अनुमति न हो तो GET) भेजता है, अधिकतम तीन redirects का अनुसरण करता है, और X-Powered-By और Server जैसे response headers पढ़ता है। यह कभी exploit payloads, बड़े अनुरोध या uploads नहीं भेजता, और अन्य paths को स्कैन नहीं करता।
क्या किसी भी वेबसाइट की जाँच करना क़ानूनी है?
केवल उन्हीं साइटों की जाँच करें जो आपकी हैं या जिनका आकलन करने के लिए आप अधिकृत हैं। अनुरोध एक सामान्य विज़िट जैसा ही है, लेकिन ज़िम्मेदारी से उपयोग करना आपकी ज़िम्मेदारी है। हम प्रति नेटवर्क और प्रति साइट जाँचों को सीमित करते हैं।
क्या PHP 8.5.12 पूरी तरह ठीक हो गया?
22 अक्टूबर 2026 को 8.5.12 में एक crash की रिपोर्टें सामने आईं, लेकिन उनकी पुष्टि रिमोट कमज़ोरी के रूप में नहीं हुई। हम php.net का अनुसरण करते हैं; कोई नई रिलीज़ आने पर यह साइट update की जाएगी और “अंतिम सत्यापन” की तारीख़ बदल जाएगी।
आधिकारिक विवरण कहाँ पढ़ सकते हैं?
php.net पर और PHP प्रोजेक्ट की GitHub सुरक्षा सलाहों GHSA-w8hw-w9fx-j79w और GHSA-6wmf-4rv5-p3rp में। शोध टीम (Wiz Research, OpenAI Codex Security और Calif) ने अपने निष्कर्ष php2shell.com पर प्रकाशित किए हैं।
कमज़ोरियाँ किसने खोजीं?
Wiz Research, OpenAI Codex Security और Calif के शोधकर्ताओं ने, PHP सुरक्षा टीम के साथ coordinated disclosure के ज़रिए; fixes उसी टीम ने तैयार किए। रिलीज़ पर The PHP Foundation की पोस्ट देखें।