क्लाउडफ्लेयर ने php2shell कमजोरियों के खिलाफ सुरक्षा तैनात की

मुख्य बातें

• क्लाउडफ्लेयर ने 21 अक्टूबर 2026 से सभी मुफ्त और भुगतान करने वाले ग्राहकों के लिए php2shell कमजोरियों (CVE-2026-109618 और CVE-2026-109619) के खिलाफ स्वचालित WAF सुरक्षा तैनात की।

• ये कमजोरियां PHP 5.4 या उसके बाद के संस्करण पर चलने वाले सभी वेब सर्वर को प्रभावित करती हैं, जिससे संभावित रूप से सेवा में बाधा (DoS), रिमोट कोड निष्पादन और डेटा एक्सपोजर हो सकता है।

• क्लाउडफ्लेयर ने पूर्ण लेनदेन का पता लगाने (full transaction detection) की शुरुआत की, जो खतरों को ब्लॉक करने और गलत सकारात्मक परिणामों को कम करने के लिए एक ही HTTP लेनदेन के भीतर अनुरोध और प्रतिक्रिया संकेतों को जोड़ता है।

• प्रशासकों को अपने एप्लिकेशन चलाने वाले PHP सॉफ्टवेयर को अपडेट करना चाहिए, क्योंकि WAF सुरक्षा पैचिंग का विकल्प नहीं बल्कि सुरक्षा की एक अतिरिक्त परत के रूप में कार्य करती है।

php2shell कमजोरियों का अवलोकन

21 अक्टूबर 2026 को, Calif.io, Wiz, OpenAI और Quarkslab ने PHP में दो गंभीर कमजोरियों का खुलासा किया, जिन्हें CVE-2026-109618 और CVE-2026-109619 के रूप में ट्रैक किया गया और सामूहिक रूप से php2shell कहा गया। ये खामियां PHP 5.4 या इसके बाद के संस्करण पर चलने वाले सभी वेब सर्वरों को प्रभावित करती हैं, जो WordPress और Magento जैसे प्लेटफार्मों और लगभग 70% वेबसाइटों को समर्थन देते हैं। जब एप्लिकेशन विशेष रूप से तैयार किए गए HTTP ट्रैफ़िक को संसाधित करते हैं, तो हमलावर सेवा से इनकार, रिमोट कोड निष्पादन या संवेदनशील डेटा को उजागर कर सकते हैं।

ये कमजोरियां इस बात से उत्पन्न होती हैं कि PHP HTTP अनुरोध प्रसंस्करण के दौरान मेमोरी त्रुटियों को कैसे संभालता है। सामान्यतः, PHP अनुरोध प्रसंस्करण के लिए मेमोरी आवंटित और जारी करता है। हालाँकि, यदि प्रसंस्करण अप्रत्याशित रूप से रुक जाता है - जैसे कि मेमोरी समाप्त होने के कारण - तो PHP संसाधनों को सुरक्षित रूप से साफ़ करने में विफल हो सकता है। पहली कमजोरी में मेमोरी समाप्त होने के बाद सफाई के दौरान PHP द्वारा आरंभ न किए गए आंतरिक डेटा का उपयोग करना शामिल है। दूसरी में एक घातक त्रुटि शामिल है जो PHP को जारी की गई मेमोरी के संदर्भों के साथ छोड़ देती है, जिसे उसी प्रक्रिया में एक बाद का अनुरोध अनुचित तरीके से एक्सेस कर सकता है।

क्लाउडफ्लेयर WAF शमन और पूर्ण लेनदेन का पता लगाना

क्लाउडफ्लेयर ने सार्वजनिक खुलासे से पहले शमन उपायों को तैनात करने के लिए PHP फाउंडेशन, OpenAI, Wiz और अन्य के साथ समन्वित प्रयास में भाग लिया। क्लाउडफ्लेयर ने सार्वजनिक खुलासे से लगभग 9 घंटे पहले WAF सुरक्षा तैनात कर दी, जिससे 21 अक्टूबर को सुबह 3:02 बजे UTC से ग्राहकों की डिफ़ॉल्ट रूप से सुरक्षा हुई। चूंकि हमलावरों ने अनुरोध-आधारित नियमों को बायपास करने के लिए पेलोड को बदला, इसलिए क्लाउडफ्लेयर ने पूर्ण लेनदेन का पता लगाने नामक एक नई क्षमता विकसित की।

पूर्ण लेनदेन का पता लगाना एक ही HTTP लेनदेन के भीतर अनुरोध और प्रतिक्रिया दोनों से संकेतों को जोड़ता है। यह WAF को यह पुष्टि करने के लिए मूल प्रतिक्रिया का निरीक्षण करने की अनुमति देता है कि कोई शोषण सफल हुआ या नहीं, गलत सकारात्मक को कम करना और सिस्टम को अनुरोधकर्ता तक पहुंचने से पहले मेल खाने वाली मूल प्रतिक्रियाओं को ब्लॉक करने में सक्षम बनाना। ये सुरक्षाएं सभी योजनाओं में स्वचालित रूप से तैनात की जाती हैं, जिसमें क्लाउडफ्लेयर मैनेज्ड फ्री रूलसेट के तहत फ्री उपयोगकर्ता और क्लाउडफ्लेयर मैनेज्ड रूलसेट के तहत भुगतान किए गए उपयोगकर्ता शामिल हैं।

अतिरिक्त सलाह और सुधार चरण

23 अक्टूबर को, PHP प्रोजेक्ट ने PHP की सत्र अपलोड प्रगति सुविधा में पाई गई एक संबंधित कमजोरी, CVE-2026-115560 के संबंध में एक सूचनात्मक सलाह प्रकाशित की। यह 8.5.12 जैसे पूरी तरह से पैच किए गए PHP रिलीज को प्रभावित करता है, हालांकि यदि उनकी साइट डिफ़ॉल्ट अपलोड प्रगति फ़ील्ड नाम का उपयोग करती है तो क्लाउडफ्लेयर WAF ग्राहक ज्ञात शोषण प्रयासों से सुरक्षित हैं।

चूंकि ये खामियां PHP रनटाइम के भीतर मौजूद हैं, इसलिए अकेले वेबसाइट कोड या प्लगइन को अपडेट करने से समस्या का समाधान नहीं होता है। प्रशासकों को आधिकारिक PHP सलाह का पालन करते हुए अपने PHP सॉफ्टवेयर को अपडेट करना होगा। क्लाउडफ्लेयर विक्रेता पैच लागू करते समय सुरक्षा की एक अतिरिक्त परत के रूप में WAF सुरक्षा को सक्षम रखने की सलाह देता है। प्रशासक सुरक्षा विश्लेषिकी घटनाओं की समीक्षा भी कर सकते हैं और आवश्यकतानुसार नियम के दायरे को अनुकूलित कर सकते हैं।