पीएचपीमा गम्भीर सुरक्षा कमजोरी, विश्वभर वेबसाइट बन्द; नेपालमा पनि चेतावनी

वेबसाइट निर्माण र सञ्चालनका लागि विश्वभर व्यापक रूपमा प्रयोग हुने ‘पीएचपी’ (PHP) नामक प्रोग्रामिङ भाषामा दुई गम्भीर सुरक्षा कमजोरी फेला परेपछि विभिन्न देशका सरकारी कार्यालय, अस्पताल, विद्यालय र अन्य संस्थाका वेबसाइट अस्थायी रूपमा बन्द गरिएका छन्। सम्भावित साइबर आक्रमणबाट बच्न र प्रणाली सुरक्षित बनाउन युरोपका धेरै देशले आफ्ना अनलाइन सेवामा सावधानी अपनाएका हुन्।

नेपालमा पनि यस विषयले चासो बढाएको छ। प्रधानमन्त्री तथा मन्त्रिपरिषद्को कार्यालयअन्तर्गतको राष्ट्रिय साइबर सुरक्षा केन्द्र (NCSC) ले सम्बन्धित निकायलाई चेतावनी जारी गर्दै जोखिमयुक्त पीएचपी संस्करण प्रयोग गरिरहेका प्रणाली तुरुन्त अद्यावधिक गर्न आग्रह गरेको छ। केन्द्रले सुरक्षा अपडेट उपलब्ध भएका संस्करणमा प्रणालीलाई लैजान र तत्काल अद्यावधिक गर्न नसकिने अवस्थामा जोखिमपूर्ण सेवा अस्थायी रूपमा इन्टरनेटबाट अलग राख्न सुझाव दिएको छ।

के हो पीएचपी?

पीएचपी वेबसाइट सञ्चालनका लागि प्रयोग हुने लोकप्रिय प्रोग्रामिङ भाषा हो। प्रयोगकर्ताले वेबसाइटमा देख्ने सामग्री पर्दापछाडि तयार गरी ब्राउजरमा पठाउने काम यसले गर्छ। समाचार वेबसाइट, सरकारी पोर्टल, अनलाइन व्यापारिक प्लेटफर्मदेखि व्यक्तिगत ब्लगसम्म लाखौं वेबसाइट यसको माध्यमबाट सञ्चालन हुन्छन्।

विश्वव्यापी वेब प्रविधिको तथ्यांक संकलन गर्ने संस्था डब्लु३टेक्सका अनुसार प्रोग्रामिङ भाषा पहिचान गरिएका वेबसाइटमध्ये करिब ७० प्रतिशतमा पीएचपी प्रयोग हुने गरेको छ। विश्वकै सबैभन्दा लोकप्रिय सामग्री व्यवस्थापन प्रणाली ‘वर्डप्रेस’ पनि पीएचपीमा आधारित भएकाले यसको प्रभाव निकै व्यापक मानिन्छ।

कुन कमजोरी फेला पर्यो?

साइबर सुरक्षा विज्ञहरूले पहिचान गरेका दुई कमजोरीलाई ‘CVE-2026-109618’ र ‘CVE-2026-109619’ नाम दिइएको छ। यी कमजोरीको दुरुपयोग गर्न सके आक्रमणकारीले प्रभावित सर्भरमा अनधिकृत रूपमा कोड चलाउन, संवेदनशील जानकारी चोरी गर्न वा वेबसाइटमाथि नियन्त्रण कायम गर्न सक्ने जोखिम रहेको बताइएको छ।

विशेषज्ञका अनुसार सफल आक्रमण भएको अवस्थामा वेबसाइटको सामग्री परिवर्तन गर्न, प्रयोगकर्ताको व्यक्तिगत जानकारी चोरी गर्न वा सर्भरलाई अन्य साइबर आक्रमणको माध्यम बनाउन सकिन्छ। यी कमजोरीलाई अन्तर्राष्ट्रिय ‘सीभीएसएस’ (CVSS) मापन प्रणालीमा १० मध्ये ९.२ अंक दिइएको छ, जसले यसलाई गम्भीर जोखिमको श्रेणीमा राख्छ।

नेपालमा किन जारी भयो चेतावनी?

राष्ट्रिय साइबर सुरक्षा केन्द्रले जारी गरेको एडभाइजरीअनुसार पीएचपीका केही संस्करणमा सुरक्षा जोखिम उच्च रहेकाले सम्बन्धित निकायलाई तत्काल अद्यावधिक गर्न भनिएको छ।

केन्द्रका अनुसार:

PHP 8.5 प्रयोग गर्ने प्रणालीलाई कम्तीमा 8.5.12 मा अद्यावधिक गर्नुपर्ने।
PHP 8.4 प्रयोगकर्ताले 8.4.27 संस्करण प्रयोग गर्नुपर्ने।
PHP 8.3 प्रयोगकर्ताले 8.3.36 मा अद्यावधिक गर्नुपर्ने।
PHP 8.2 प्रयोगकर्ताले 8.2.35 संस्करणमा सर्ने।
PHP 8.1 वा सोभन्दा पुराना संस्करणका लागि आवश्यक सुरक्षा सुधार उपलब्ध नभएकाले नयाँ सुरक्षित संस्करणमा स्तरोन्नति गर्नुपर्ने।

केन्द्रले तत्काल अपडेट सम्भव नभए सार्वजनिक रूपमा पहुँचयोग्य सेवा अस्थायी रूपमा बन्द वा अलग राख्न पनि सुझाव दिएको छ।

सबै वेबसाइट जोखिममा छन् त?

विशेषज्ञहरूका अनुसार पीएचपी प्रयोग हुने सबै वेबसाइट तत्काल जोखिममा छन् भन्ने निष्कर्ष निकाल्न मिल्दैन। जोखिमको स्तर सम्बन्धित वेबसाइटले कुन संस्करण प्रयोग गरिरहेको छ, सुरक्षा अपडेट लागू गरिएको छ कि छैन र सर्भरको सुरक्षा व्यवस्थापन कस्तो छ भन्ने कुरामा निर्भर हुन्छ।

यद्यपि संसारभरका लाखौं वेबसाइट एउटै प्रविधिमा आधारित भएकाले त्यही प्रविधिमा देखिएको गम्भीर कमजोरीले ठूलो संख्यामा प्रणालीलाई एकैपटक जोखिममा पार्न सक्छ। यही कारणले विभिन्न देशका अधिकारीहरूले सावधानीस्वरूप केही सरकारी वेबसाइट अस्थायी रूपमा बन्द गरेका हुन्।

किन बन्द गरिए वेबसाइट?

युरोपका विभिन्न देशले सुरक्षा अद्यावधिक लागू नगरेसम्म सम्भावित साइबर आक्रमण रोक्न वेबसाइट अस्थायी रूपमा बन्द गरेका थिए। जर्मनी, फ्रान्स, नेदरल्यान्ड्स, फिनल्यान्ड र चेक गणतन्त्रका सरकारी निकायहरूले यस्तो कदम चालेका खबर सार्वजनिक भएका छन्।

अधिकारीहरूका अनुसार अधिकांश अवस्थामा वेबसाइट बन्द गर्नुको उद्देश्य कुनै आक्रमण भइसकेको कारण होइन, बरु सम्भावित जोखिमलाई रोक्न पूर्वसावधानी अपनाउनु थियो। बेलायतका केही स्थानीय प्रशासनिक निकाय, फ्रान्सका स्थानीय सरकारी वेबसाइट तथा नेदरल्यान्ड्सका केही डिजिटल सेवामा पनि असर परेको बताइएको छ।

नेपालका संस्था र प्रयोगकर्ताले के गर्नुपर्छ?

साइबर सुरक्षा विज्ञहरूका अनुसार नेपालका सरकारी कार्यालय, बैंक, सञ्चारमाध्यम, शैक्षिक संस्था तथा निजी व्यवसायले आफ्ना वेबसाइट र सर्भरमा प्रयोग भइरहेको पीएचपी संस्करण जाँच गर्नुपर्छ। यदि जोखिमयुक्त संस्करण प्रयोग भइरहेको छ भने तुरुन्त सुरक्षा अपडेट लागू गर्नुपर्ने हुन्छ।

साधारण इन्टरनेट प्रयोगकर्ताले भने यसबाट प्रत्यक्ष रूपमा कुनै विशेष काम गर्नुपर्दैन। तर आफूले प्रयोग गर्ने वेबसाइट वा अनलाइन सेवामा असामान्य गतिविधि देखिए सतर्क रहन, बलियो पासवर्ड प्रयोग गर्न र दुई-स्तरीय प्रमाणीकरण (Two-Factor Authentication) प्रयोग गर्न साइबर सुरक्षा विज्ञहरूले सुझाव दिएका छन्।