അടുത്തിടെ ഇന്റർനെറ്റ് ലോകത്തെയാകെ ആശങ്കയിലാഴ്ത്തിക്കൊണ്ട് PHP-യിൽ അതീവ ഗുരുതരമായ രണ്ട് സുരക്ഷാ പിഴവുകൾ (vulnerabilities) കണ്ടെത്തിയിരിക്കുകയാണ്. CVE-2026-109618, CVE-2026-109619 എന്നീ പേരുകളിൽ അറിയപ്പെടുന്ന ഈ പിഴവുകൾക്ക് ‘PHP2Shell’ എന്നാണ് പേര് നൽകിയിരിക്കുന്നത്. 2026 ഒക്ടോബർ 20-ന് PHP സുരക്ഷാ ടീം ഈ പിഴവുകളെക്കുറിച്ചുള്ള വിവരങ്ങൾ പുറത്തുവിടുകയും ഒക്ടോബർ 21-ന് അടിയന്തര പരിഹാരങ്ങൾ (patches) പുറത്തിറക്കുകയും ചെയ്തു. 9.2 CVSS സ്കോർ ഉള്ള ഈ പിഴവുകൾ ഹാക്കർമാർക്ക് വെർച്വൽ ലോകത്ത് വലിയ നാശനഷ്ടങ്ങൾ ഉണ്ടാക്കാൻ അവസരം നൽകുന്നതാണ്.

എങ്ങനെയാണ് ഇത് നിങ്ങളുടെ ഡാറ്റയെ ബാധിക്കുന്നത്?

ഈ പുതിയ പിഴവുകൾ ‘റിമോട്ട് കോഡ് എക്സിക്യൂഷൻ’ (Remote Code Execution – RCE) വിഭാഗത്തിൽ പെടുന്നവയാണ്. അതായത്, ലോഗിൻ ചെയ്യുകയോ പാസ്‌വേഡ് നൽകുകയോ ചെയ്യാതെ തന്നെ ഹാക്കർമാർക്ക് ഒരു വെബ്സൈറ്റിന്റെ സെർവറിൽ സ്വന്തമായി കോഡുകൾ പ്രവർത്തിപ്പിക്കാൻ സാധിക്കും. ഇങ്ങനെ സെർവറിന്റെ പൂർണ്ണ നിയന്ത്രണം ഹാക്കർമാർക്ക് ലഭിക്കുന്നതോടെ ഉപയോക്താക്കളുടെ സ്വകാര്യ വിവരങ്ങൾ, പാസ്‌വേഡുകൾ, ഫിനാൻഷ്യൽ ഡാറ്റകൾ തുടങ്ങിയവയെല്ലാം അവർക്ക് എളുപ്പത്തിൽ മോഷ്ടിക്കാൻ കഴിയും. ‘Out-of-memory corruption’, ‘stale global state’ എന്നിവ വഴിയാണ് ഹാക്കർമാർ ഈ പിഴവുകൾ മുതലെടുക്കുന്നത്.

വെബ്സൈറ്റുകൾ ഇപ്പോൾ എത്രത്തോളം സുരക്ഷിതമാണ്?

ലോകത്തെ ഒട്ടുമിക്ക വെബ്സൈറ്റുകളും പ്രവർത്തിക്കുന്നത് PHP-യിലാണ്. അതുകൊണ്ടുതന്നെ അപ്ഡേറ്റ് ചെയ്യാത്ത വെബ്സൈറ്റുകളൊന്നും പൂർണ്ണമായും സുരക്ഷിതമല്ല എന്നതാണ് സത്യം. PHP-യുടെ 5.4 മുതൽ 8.5.11 വരെയുള്ള വേർഷനുകളെ ഈ പ്രശ്നം സാരമായി ബാധിച്ചിട്ടുണ്ട്. ഇതിനകം തന്നെ ഹാക്കർമാർ ഈ പിഴവുകൾ ഉപയോഗിച്ച് ആക്രമണങ്ങൾ തുടങ്ങിക്കഴിഞ്ഞു എന്ന് സുരക്ഷാ ഗവേഷകർ കണ്ടെത്തിയിട്ടുണ്ട്.

എന്നാൽ, ഒക്ടോബർ 21-ന് PHP സുരക്ഷാ ടീം ഇതിനുള്ള പുതിയ അപ്ഡേറ്റുകൾ (8.5.12, 8.4.27, 8.3.36, 8.2.35) പുറത്തിറക്കിയിട്ടുണ്ട്. വെബ്സൈറ്റ് അഡ്മിനിസ്ട്രേറ്റർമാർ എത്രയും വേഗം തങ്ങളുടെ വെബ്സൈറ്റുകളിലെ PHP വേർഷനുകൾ ഈ പുതിയ സുരക്ഷിതമായ വേർഷനുകളിലേക്ക് അപ്ഡേറ്റ് ചെയ്താൽ മാത്രമേ ഹാക്കർമാരുടെ ആക്രമണങ്ങളിൽ നിന്ന് വെബ്സൈറ്റുകളെയും ഉപയോക്താക്കളുടെ ഡാറ്റയെയും സംരക്ഷിക്കാൻ സാധിക്കൂ. അപ്ഡേറ്റ് ലഭിക്കാത്ത പഴയ വേർഷനുകൾ (ഉദാഹരണത്തിന് PHP 8.1 ഉം അതിനു താഴെയുമുള്ളവ) ഉപയോഗിക്കുന്ന വെബ്സൈറ്റുകൾ ഇപ്പോഴും വലിയ അപകടത്തിലാണ്.