विश्वभरका वेबसाइटहरू बन्द: पीएचपी (PHP) मा गम्भीर सुरक्षा कमजोरी पत्ता लागेपछि अन्तर्राष्ट्रिय चेतावनी

काठमाडौँ — विश्वका झन्डै ७० प्रतिशत वेबसाइट सञ्चालन हुने मुख्य प्रोग्रामिङ भाषा ‘पीएचपी’ (PHP) मा दुईवटा अति संवेदनशील साइबर सुरक्षा कमजोरी (Vulnerabilities) भेटिएपछि संसारभर हलचल मच्चिएको छ। ह्याकरहरूले यसको फाइदा उठाएर वेबसाइट नियन्त्रणमा लिन सक्ने जोखिम बढेपछि विभिन्न देशका सरकार, सरकारी निकाय तथा ठूला अनलाइन प्लेटफर्महरूले आफ्ना वेबसाइट अस्थायी रूपमा बन्द (Offline) गरेका छन्।

फिनल्यान्ड सरकार, नेदरल्यान्ड्सको संसद् र स्वास्थ्य निकाय, एडिनबर्ग काउन्सिल तथा बीबीसीका कतिपय अनलाइन सेवाहरूले सावधानीस्वरूप आफ्ना पेजहरू बन्द गरेका छन्। विश्वभरका प्राविधिक टोलीहरू अहिले सुरक्षा अपडेट (Patch) लागू गर्न जुटेका छन्।

के हो जोखिम?

साइबर सुरक्षा विज्ञहरूका अनुसार यो कमजोरीका कारण ह्याकरहरूले विना कुनै अनुमति टाढैबाट सर्भरमा कोड रन गर्न सक्छन् (Remote Code Execution)। युरोपेली संघको साइबर सुरक्षा टोली (CERT-EU) र अमेरिकी राष्ट्रिय सुरक्षा एजेन्सी (NSA) ले चेतावनी दिँदै भनेका छन्—यस कमजोरीमार्फत आक्रमणकारीहरू सिधै सर्भरको फाइल सिस्टम र डाटाबेसमा पुग्न सक्छन्। जसबाट डाटा चोरी गर्ने, मालवेयर राख्ने वा पूरै वेबसाइट आफ्नो कब्जामा लिने जोखिम रहन्छ।

तत्काल सुरक्षा अपडेट लागू गर्न नसक्ने संस्थाहरूलाई समस्या समाधान नभएसम्म आफ्ना प्रणालीहरू बन्द राख्न अमेरिका, बेलायत, अस्ट्रेलिया र जापानका सुरक्षा निकायहरूले सुझाव दिएका छन्।

- Advertisement -

क्लाउडफ्लेयर (Cloudflare) का मुख्य प्रविधि अधिकृत डेन क्नेक्टका अनुसार इन्टरनेटमा यस कमजोरीको फाइदा उठाउने प्रारम्भिक आक्रमणहरू देखिन थालिसकेका छन्।

दशकौँ पुरानो कमजोरी, एआई (AI) ले पत्ता लगायो

यो प्राविधिक त्रुटी सन् २००४ मा सार्वजनिक भएको ‘PHP 5’ देखि अहिलेसम्मका संस्करणहरूमा लुकेर बसेको थियो। एक दशकभन्दा लामो समयदेखि कसैले पत्ता लगाउन नसकेको यो कमजोरी साइबर सुरक्षा कम्पनी ‘क्यालिफ’ (Calif) र ‘विज’ (Wiz) का अनुसन्धानकर्ताहरूले आधुनिक आर्टिफिसियल इन्टेलिजेन्स (AI) प्रविधिको सहयोगमा पत्ता लगाएका हुन्।

विजका अनुसार, एआई प्रविधिले पत्ता लगाएको यो अहिलेसम्मकै सबैभन्दा गम्भीर सुरक्षा जोखिम हो। पीएचपी फाउन्डेसनले यस महिनाको अन्त्यमा यसको समाधान सार्वजनिक गर्ने तयारी गरे तापनि सामाजिक सञ्जालमा सूचना चुहिएपछि हतार-हतार अपडेट जारी गरिएको थियो।

विश्वव्यापी प्रभाव

• सरकारी सेवा प्रभावित: फिनल्यान्डले आफ्ना सार्वजनिक अनलाइन सेवाहरू अस्थायी रूपमा बन्द गरेको छ। नेदरल्यान्ड्सको राष्ट्रिय साइबर सुरक्षा केन्द्र, त्यहाँको संसद् र स्वास्थ्य संस्थाका वेबसाइटहरू पनि बन्द गरिएका छन्।
• प्रमुख प्लेटफर्महरू: विकिपिडिया सञ्चालन गर्ने विकिमिडिया फाउन्डेसनले आफ्ना केही प्रणालीहरू सुरक्षित नहुञ्जेल बन्द गरेको जनाएको छ। त्यसैगरी चर्चित कला प्लेटफर्म डेभिएन्टआर्ट (DeviantArt) लगायतका धेरै सेवाहरू मर्मतका नाममा बन्द रहेका छन्।
• उच्चस्तरीय चेतावनी: जापानकी प्रधानमन्त्री सानाए ताकाइचीले सार्वजनिक पोस्ट गर्दै सबैलाई आफ्नो वेबसाइट पीएचपीमा आधारित छ वा छैन जाँच्न आग्रह गरेकी छन्। उता अमेरिकी ह्वाइट हाउसले पनि यसको समाधानका लागि प्रमुख एआई ल्याबहरूसँग काम भइरहेको जनाएको छ।

नेपाल र थाईल्यान्डका लागि यसको अर्थ के?

नेपाल, थाईल्यान्ड र दक्षिण एसियाली क्षेत्रका अधिकांश समाचार पोर्टल, सरकारी कार्यालय, शिक्षण संस्था तथा साना-मझौला व्यवसायहरू वर्डप्रेस (WordPress), जुम्ला (Joomla), वा ड्रुपल (Drupal) जस्ता प्रणालीमा आधारित छन्, जसको भित्री संरचना पीएचपीमै निर्भर हुन्छ।

विशेषज्ञहरूका अनुसार सस्तो वा पुरानो सेयर्ड होस्टिङ प्रयोग गर्ने वेबसाइटहरू सबैभन्दा उच्च जोखिममा छन्। सुरक्षा विज्ञ डन स्मिथले चेतावनी दिँदै भनेका छन्—धेरैजसो अवस्थामा प्रयोगकर्तालाई आफ्नो सफ्टवेयर पछाडि कुन पीएचपी संस्करण चलिरहेको छ भन्ने थाहा नै हुँदैन, जसले गर्दा यो ह्याकरहरूको मुख्य निशाना बन्न सक्छ।

पीएचपी फाउन्डेसनले हाल पछिल्ला संस्करणहरूका लागि मात्रै अपडेट जारी गरेको छ। त्यसैले PHP 8.1 वा त्योभन्दा पुराना संस्करण प्रयोग गरिरहेका वेब डेभलपर, कम्पनी तथा सरकारी निकायहरूलाई तुरुन्तै नयाँ संस्करणमा अपग्रेड गर्न वा आवश्यक सुरक्षा उपाय अपनाउन प्राविधिक विज्ञहरूले अपिल गरेका छन्।

वर्डप्रेस तथा पीएचपी-आधारित वेबसाइटहरूलाई अनधिकृत पहुँच (Unauthorized Access) र रिमोट कोड एक्जिक्युसन (RCE) जस्ता गम्भीर साइबर आक्रमणबाट सुरक्षित राख्न निम्न प्राविधिक चरणहरू पालना गर्नुहोस्:

1.पूर्ण ब्याकअप लिनुहोस्:कुनै पनि प्राविधिक परिवर्तन गर्नुअघि अनिवार्य.

कुनै पनि अपडेट वा कोड परिवर्तन गर्नुअघि डाटाबेस (MySQL/MariaDB) र सर्भरका सम्पूर्ण फाइलहरू (wp-content, कन्फिगरेसन फाइलहरू) को पूर्ण ब्याकअप लिनुहोस्। ब्याकअप फाइललाई स्थानीय ड्राइभ वा सुरक्षित क्लाउड भण्डारण (जस्तै AWS S3) मा राख्नुहोस्, सोही सर्भरमा नराख्नुहोस्।

2.पीएचपी (PHP) को पछिल्लो संस्करणमा अपग्रेड गर्नुहोस्:PHP 8.1 वा सोभन्दा पुराना संस्करण असुरक्षित छन्.

होस्टिङ कन्ट्रोल प्यानल (cPanel/Plesk) वा कमान्ड लाइनमार्फत आफ्नो पीएचपी संस्करण जाँच्नुहोस्। आधिकारिक सुरक्षा सपोर्ट समाप्त भइसकेका वा जोखिमयुक्त पुराना संस्करणहरू तत्काल हटाएर हाल सक्रिय रूपमा समर्थित संस्करण (जस्तै PHP 8.2 वा 8.3+) मा अपग्रेड गर्नुहोस् र सुरक्षा प्याच (Patch) तुरुन्तै लागू गर्नुहोस्।

3.वर्डप्रेस कोर, थिम र प्लगइन अपडेट गर्नुहोस्:

• वर्डप्रेस कोर (WordPress Core) लाई सधैँ नवीनतम भर्सनमा राख्नुहोस्।
• लामो समयदेखि अपडेट नभएका, प्रयोगमा नआएका वा ‘Null/Pirated’ गरिएका थिम र प्लगइनहरू तुरुन्तै डिलिट गर्नुहोस् (निष्क्रिय राख्नु मात्र पर्याप्त हुँदैन)।
• आवश्यक थिम र प्लगइनहरूलाई अटो-अपडेट (Auto-update) मोडमा सेट गर्नुहोस्।

4.संवेदनशील PHP फंक्सनहरू निष्क्रिय गर्नुहोस्:php.ini फाइलमा सम्पादन गर्नुहोस्.

सर्भरबाट अनाधिकृत कोड रन हुन नदिन php.ini फाइलमा गएर जोखिमपूर्ण फंक्सनहरू बन्द गर्नुहोस्:

Ini, TOML

disable_functions = exec,passthru,shell_exec,system,proc_open,popen,curl_exec,curl_multi_exec,parse_ini_file,show_source
allow_url_fopen = Off
allow_url_include = Off
expose_php = Off

यसले सर्भरको विवरण बाहिर सार्वजनिक हुनबाट रोक्छ र बाहिरी स्क्रिप्ट सिधै लोड हुने जोखिम घटाउँछ।

5.फाइल र डाइरेक्टरी अनुमति (Permissions) कडा बनाउनुहोस्:

सर्भरमा अनावश्यक फाइल परिमार्जन हुन नदिन अनुमतिहरू मिलाउनुहोस्:

• सबै डाइरेक्टरीहरूका लागि: 755
• सबै सामान्य फाइलहरूका लागि: 644
• संवेदनशील कन्फिगरेसन फाइल (wp-config.php): 600 वा 640
• wp-content/uploads डाइरेक्टरीभित्र पीएचपी फाइल रन हुन नदिन सो फोल्डरको .htaccess फाइलमा निम्न नियम थप्नुहोस्:

Apache

<Files *.php>
deny from all
</Files>

6.प्रशासनिक पहुँच (Admin Access) सुरक्षित गर्नुहोस्:

• मुख्य प्रशासक प्रयोगकर्ताको नाम admin बाट परिवर्तन गरी नयाँ नाम राख्नुहोस्।
• सबै प्रशासनिक खाताहरूमा अनिवार्य रूपमा दुई-चरण प्रमाणिकरण (2FA) लागू गर्नुहोस्।
• wp-login.php वा /wp-admin/ मा हुने ब्रुट-फोर्स आक्रमण रोक्न लगइन प्रयास सीमित (Limit Login Attempts) गर्नुहोस् वा लगइन यूआरएल (URL) परिवर्तन गर्नुहोस्।

7.वेब एप्लिकेसन फायरवाल (WAF) र अनुगमन सक्रिय गर्नुहोस्:

क्लाउडफ्लेयर (Cloudflare), सुकुरी (Sucuri), वा वर्डफेन्स (Wordfence) जस्ता फायरवाल प्रयोग गरी ट्राफिक फिल्टर गर्नुहोस्। यसले RCE, SQL इन्जेक्सन, र XSS जस्ता आक्रमणहरू सर्भरसम्म पुग्नुअगावै रोकिदिन्छ। साथै, सर्भरका एक्सेस लगहरू (access.log र error.log) नियमित निगरानी गर्नुहोस्।