जब इंटरनेट ने 'प्लग खींच लिया': 14 साल पुरानी PHP खामी की पूरी कहानी
अक्टूबर 2026 में इंटरनेट के इतिहास की एक बेहद अनोखी घटना घटी: दुनिया के सबसे बड़े हैकर फोरम्स में से एक ने खुद को बंद कर दिया। यह वह जगह है जहां अपराधी चुराया हुआ डेटा खरीदते और बेचते हैं। उनकी वेबसाइट पर एक छोटा-सा संदेश लिखा था: "हम तब तक ऑफलाइन हैं जब तक कि PHP की खामी ठीक नहीं हो जाती।"
हैकर्स को खुद हैक हो जाने का खौफ सता रहा था।
और सिर्फ हैकर्स ही नहीं, पूरी दुनिया में हड़कंप मच गया:
- सरकारों ने वेबसाइट्स बंद कीं: फिनलैंड, नीदरलैंड्स, फ्रांस, जर्मनी, बेल्जियम और चेक गणराज्य ने अपनी आधिकारिक सरकारी वेबसाइटें बंद कर दीं।
- बैंकिंग और एयरलाइंस ठप: जापान में बड़े बैंकों ने ऑनलाइन सेवाएं अस्थायी रूप से रोक दीं और एयरलाइंस ने फोन पर मोबाइल बोर्डिंग पास जारी करना बंद कर दिया।
- प्रमुख प्लेटफॉर्म प्रभावित: बीबीसी (BBC) के कुछ हिस्से और विकिपीडिया के बैकएंड सिस्टम बंद करने पड़े।
- अमेरिकी सरकार की चेतावनी: अमेरिका की सरकार ने कंपनियों को साफ निर्देश दिया: "या तो तुरंत अपडेट करो, या फिर प्लग खींचकर सिस्टम बंद कर दो।"
यह सारा हंगामा सिर्फ एक छोटी-सी खामी की वजह से हुआ, जो पिछले 14 सालों से उस सॉफ्टवेयर में छिपी बैठी थी जिस पर दुनिया की लगभग 70% वेबसाइट्स (जैसे वर्डप्रेस, विकिपीडिया, ऑनलाइन स्टोर्स और सरकारी पोर्टल्स) चलती हैं।
आखिर यह बग क्या था? AI ने इसे कुछ ही हफ्तों में कैसे ढूंढ निकाला? और इसे ठीक करने में 2 साल क्यों लग गए? आइए इसे आसान शब्दों में समझते हैं।
PHP क्या है और यह वेबसाइट्स कैसे चलाती है?
जब भी आप इंटरनेट पर कोई वेबसाइट खोलते हैं, तो कहीं दूर रखा एक कंप्यूटर आपके लिए वह वेबपेज तैयार करता है। इंटरनेट के अधिकांश हिस्से पर यह काम करने वाले प्रोग्राम का नाम PHP है।
होटल वाली मिसाल: PHP का काम करने का तरीका
इस तकनीकी प्रक्रिया को समझने का सबसे आसान तरीका एक होटल की कल्पना करना है:
- वेबसाइट: एक होटल है।
- वेब विज़िटर (आप): होटल में आने वाला मेहमान (Guest)।
- PHP: होटल का कर्मचारी या रूम सर्विस स्टाफ।
जब आप किसी वेबसाइट पर जाते हैं, तो आप होटल में चेक-इन करते हैं, अपनी पसंद का पेज मांगते हैं, कर्मचारी आपको पेज देता है, और आप चले जाते हैं। आपके जाते ही कर्मचारी अगले मेहमान के लिए कमरा साफ और तैयार करता है। यह सिलसिला दुनिया भर के सर्वर्स पर हर सेकंड करोड़ों बार दोहराया जाता है।
यह बग कैसे काम करता है: रिसेप्शन लॉबी में चोरी
यह खामी किसी वेबसाइट के पासवर्ड, लॉगिन पेज या फायरवॉल में नहीं थी। यह PHP के एक बुनियादी सुरक्षा नियम में छिपी थी, जिसे मेमोरी लिमिट (Memory Limit) कहा जाता है।
1. सुरक्षा का नियम जो उल्टा पड़ गया
होटल के हर कर्मचारी के पास एक सुरक्षा नियम होता है: यदि कोई मेहमान ऐसा भारी-भरकम काम मांग ले जो उसकी क्षमता से बाहर हो, तो वह तुरंत काम रोक देगा ताकि उसकी सेहत न बिगड़े।
PHP में भी यही नियम है—हर विज़िटर को काम करने के लिए एक तय जगह (Memory Limit) मिलती है। यदि कोई काम ज्यादा मेमोरी लेने लगे, तो सर्वर को क्रैश होने से बचाने के लिए PHP उस काम को वहीं तुरंत रोक देती है।
2. काम के बीच में गिर पड़ना
एक चालाक हमलावर इस नियम का फायदा उठाता है। वह सर्वर को एक ऐसी रिक्वेस्ट भेजता है जो देखने में सामान्य लगती है, लेकिन वह PHP से हजारों छोटे-छोटे काम करवाती है।
हमलावर का मकसद होता है कि ठीक उसी मिलीसेकंड में मेमोरी लिमिट खत्म हो, जब PHP कमरे की तैयारी के नाजुक मोड़ पर हो—जैसे किसी सफाईकर्मी से 10,000 छोटे तौलिये मोड़ने को कहना, ताकि वह ठीक बिस्तर बनाते समय थककर गिर पड़े। कमरा अधूरा रह जाता है, लेकिन सिस्टम उसे पूरा मान लेता है।
3. दराज में छूटा हुआ पैकेट
सफाईकर्मी के गिरने से ठीक पहले, हमलावर कमरे की दराज में एक खास 'पैकेट' (अवांछित डेटा या कोड) छोड़ देता है।
चूंकि PHP के कर्मचारी हर मेहमान के बाद घर नहीं जाते (worker processes लगातार चालू रहते हैं), इसलिए जब कोई नया मेहमान आता है, तो वही कर्मचारी उस दराज में रखे पैकेट को खोलता है और अपनी 'मास्टर चाबी' (प्रशासनिक अधिकारों) से उस नोट पर लिखे सारे निर्देश पूरे कर देता है।
वेबसाइट सिक्योरिटी इसे क्यों नहीं रोक पाई?
यह सारी हेराफेरी होटल के कमरों में जाने से पहले, सीधे फ्रंट डेस्क (लॉबी) पर ही हो जाती है। किसी वेबसाइट पर चाहे कितने भी मजबूत पासवर्ड या टू-फैक्टर ऑथेंटिकेशन लगे हों, वे सब होटल के अंदर खड़े सुरक्षा गार्ड हैं। लेकिन हमला लॉबी में ही PHP के स्तर पर हो रहा था, इसलिए वेबसाइट के आंतरिक सुरक्षा इंतज़ाम इसे छू भी नहीं पाए।
यह बग 14 साल तक क्यों नहीं दिखा?
यह कोड पहली बार 2012 में जारी हुआ था। 14 सालों तक करोड़ों वेबसाइट्स इसे चलाती रहीं और अनगिनत सुरक्षा विशेषज्ञों की नज़र इससे गुजरी।
इसके छिपे रहने की दो मुख्य वजहें थीं:
- यह विफलता के क्षण में छिपता था: यह बग केवल उस क्षण सामने आता था जब मेमोरी लिमिट पार होने पर PHP अचानक काम छोड़ देती थी। आम तौर पर कोई भी सिस्टम के सामान्य रूप से चलते रहने की जांच करता है, क्रैश के बीच के उस सूक्ष्म पल की नहीं।
- हमला बनाना बेहद मुश्किल था: इस खामी को एक सफल साइबर हमले में बदलने के लिए हफ्तों तक बारीक परीक्षण (trial and error) और धैर्य की जरूरत थी। यही थकाऊ मेहनत अनजाने में इंटरनेट की ढाल बनी रही।
लेकिन 2026 में, आर्टिफिशियल इंटेलिजेंस (AI) ने इस थकाऊ मेहनत को चुटकियों का काम बना दिया।
AI की एंट्री: समुद्र तट पर मेटल डिटेक्टर
गर्मियों 2026 में OpenAI ने ओपन-सोर्स सॉफ्टवेयर की सुरक्षा जांच के लिए एक रिसर्च प्रोग्राम शुरू किया।
कैलिफोर्निया की एक सुरक्षा कंपनी 'Califf' के रिसर्चर रयान ऑस्टिन (Ryan Austin) ने PHP की जांच चुनी। रयान ने एक सटीक मिसाल दी:
"सालों से लोग विशाल समुद्री तट पर खोई हुई अंगूठी हाथों से रेत छानकर ढूंढ रहे थे। AI असल में एक हाई-पावर मेटल डिटेक्टर की तरह है।"
- कुछ ही दिनों में खोज: AI की मदद से रयान ने कुछ ही दिनों में PHP की पहली कमजोरी ढूंढ ली।
- पैटर्न से दूसरा बग: उन्होंने AI से इस बग को एक 'रेसिपी' (पैटर्न) में बदलने को कहा, और उस पैटर्न ने PHP में एक दूसरा छेद भी खोज निकाला।
- अनोखा संयोग: अगस्त के मध्य में रयान ने PHP टीम को काम करने वाला अटैक दिखाया। हैरानी की बात यह थी कि ठीक उसी दिन OpenAI की टीम ने भी स्वतंत्र रूप से वही बग खोजकर रिपोर्ट किया।
- तीसरी टीम: दो हफ्ते बाद, गूगल के स्वामित्व वाली सिक्योरिटी कंपनी 'Wiz' ने भी AI की मदद से उसी खामी को खोज निकाला।
जो बग 14 साल तक नहीं दिखा, उसे तीन अलग-अलग टीमों ने AI की मदद से कुछ ही हफ्तों में ढूंढ निकाला।
रयान ऑस्टिन ने इस पर आगाह भी किया:
"सिर्फ पूछने भर से AI हर बग नहीं ढूंढ देता। एक्सपर्ट को पता होना चाहिए कि कहां खुदाई करनी है। लेकिन मेटल डिटेक्टर हर उस इंसान के काम आता है जो उसे उठा ले। अगर अच्छे लोग AI से यह ढूंढ सकते हैं, तो सोचिए बुरे लोग क्या कर सकते हैं?"
PHP टीम की दुविधा: समाधान में 2 साल क्यों लगे?
जब यह रिपोर्ट पहुंची, तो PHP टीम पूरी तरह हैरान नहीं थी। असल में 2024 में ही उनके एक डेवलपर ने इसके शुरुआती संकेत देख लिए थे।
तो फिर 2 साल तक इसे ठीक क्यों नहीं किया गया?
- सबूत की कमी: 2024 में किसी के पास यह साबित करने का तरीका नहीं था कि इस खामी से वास्तव में कोई हमला हो सकता है।
- इंटरनेट के टूटने का डर: इस फिक्स की बहुत भारी कीमत थी। एक उपाय पुरानी वेबसाइटों को तोड़ सकता था, दूसरा भारी ट्रैफिक वाले सर्वर्स को क्रैश कर सकता था, और तीसरा उपाय दुनिया भर के लाखों प्रोग्रामर्स को अपना कोड बदलने पर मजबूर कर देता।
- सीमित संसाधन और सर्वसम्मति: PHP को दान (donations) पर चलने वाली डेवलपर्स की एक छोटी-सी टीम संभालती है, जहां हर बड़े फैसले पर सबकी सहमति जरूरी होती है। सहमति न बन पाने के कारण समाधान टलता रहा।
बाद में PHP टीम ने खुद माना कि यह देरी उनकी व्यवस्था की एक "स्ट्रक्चरल विफलता" (structural failure) थी।
सीक्रेट लीक और रिलीज का हड़कंप
सुरक्षा टीमों ने गुरुवार, 22 अक्टूबर 2026 को चुपचाप फिक्स जारी करने की योजना बनाई थी, ताकि बड़ी होस्टिंग कंपनियां पहले से तैयारी कर सकें। लेकिन यह योजना बिखर गई:
- 17 अक्टूबर (शनिवार): अमेज़न के 'हनीपॉट' (हमलावरों को पकड़ने के लिए बनाए गए फर्जी सर्वर्स) ने तय तारीख से 4 दिन पहले ही किसी अज्ञात व्यक्ति को इस PHP खामी का इस्तेमाल करते पकड़ लिया। यह लीक था या किसी अन्य की AI खोज, यह साफ नहीं हो सका।
- 20 अक्टूबर (मंगलवार): इंटरनेट पर बातें फैलने लगीं। PHP ने रिलीज को एक दिन पहले कर दिया। उसी शाम एक रिसर्च टीम ने गलती से इस अटैक का वीडियो ऑनलाइन पोस्ट कर दिया, जिसे तुरंत हटाए जाने के बावजूद लोगों ने कॉपी कर लिया।
- 21 अक्टूबर (बुधवार): सुबह तक इंटरनेट पर रेडीमेड अटैक कोड घूमने लगा और एक वेंडर ने अपडेटेड पैकेज जल्दी पब्लिश कर दिया, जिससे पुराने और नए कोड की तुलना करके बग को समझना आसान हो गया।
- 21 अक्टूबर की दोपहर: PHP ने आधिकारिक पैच जारी किया और स्पष्ट संदेश दिया: "कोई शॉर्टकट नहीं है। अपने सिस्टम को तुरंत अपडेट करें, यही एकमात्र सुरक्षित रास्ता है।" जो वेबसाइट्स पुराने और आउटडेटेड PHP वर्जन्स पर चल रही थीं, वे लाचार रह गईं।
हमलों की सुनामी बनाम असल नुकसान
आधिकारिक घोषणा के बाद क्लाउड सुरक्षा कंपनी 'Cloudflare' ने हमलों के आंकड़े दर्ज किए:
- घोषणा से पहले: हजारों हमले।
- 45 मिनट के भीतर: दसियों हजार हमले।
- 2 घंटे के भीतर: लाखों हमले।
- रात होते-होते: करोड़ों हमलों की झड़ी लग गई।
क्या हमलावर अंदर घुस पाए?
इतने भारी हमलों के बावजूद 22 अक्टूबर तक का रिकॉर्ड काफी राहत देने वाला रहा:
- एक भी सफल सेंधमारी नहीं: न तो अमेज़न और न ही किसी सरकारी जांच एजेंसी ने किसी सर्वर के सफलतापूर्वक हैक होने की पुष्टि की।
- मास्टर चाबी नहीं, बल्कि पेचीदा ताला: जर्मनी की साइबर सुरक्षा एजेंसी (BSI) ने पुष्टि की कि हमले बहुत हुए, लेकिन एक भी काम नहीं आया।
इसके पीछे वजह यह थी कि यह बग कोई 'मास्टर चाबी' नहीं था जो हर दरवाजे को खोल दे। इसमें हमलावर को टारगेट सर्वर का सटीक PHP वर्जन, ऑपरेटिंग सिस्टम और मेमोरी लेआउट पहले से पता होना जरूरी था।
निष्कर्ष: AI के दौर में साइबर सुरक्षा का नया सच
अक्टूबर 2026 की इस घटना ने दुनिया को एक बड़ा सबक दिया है:
- AI ने खोजने का काम आसान कर दिया है: जिस बग को खोजने में इंसानों को 14 साल लगे, AI ने उसे कुछ ही हफ्तों में बेनकाब कर दिया।
- खोजना आसान है, लेकिन ठीक करना अब भी मुश्किल: AI कुछ सेकंड में कमजोरी बता सकता है, लेकिन दुनिया की 70% वेबसाइट्स को बिना तोड़े सुरक्षित अपडेट पहुंचाना आज भी इंसानी सूझबूझ और भारी मेहनत का काम है।
- वेबसाइट मालिकों के लिए सलाह: यदि आप कोई वेबसाइट चलाते हैं, तो बिना देर किए अपने सर्वर के PHP वर्जन की जांच करें और तुरंत नवीनतम आधिकारिक सुरक्षा पैच पर अपडेट करें।