OpenAI की AI ने दशक पुरानी PHP खामी खोजी, फिर सुधार का समन्वय किया
दुनिया की वेबसाइटों के एक बड़े हिस्से को शक्ति देने वाली स्क्रिप्टिंग भाषा PHP में सुरक्षा की एक जोड़ी गंभीर खामियों ने इस सप्ताह दुर्लभ वैश्विक हलचल मचा दी। OpenAI और सुरक्षा शोधकर्ताओं के अनुसार, बग OpenAI के AI टूल की मदद से खोजे गए और फिर सॉफ़्टवेयर अनुरक्षकों, सुरक्षा फर्मों, क्लाउड प्रदाताओं और राष्ट्रीय साइबर सुरक्षा एजेंसियों के समन्वित प्रयास में ठीक किए गए।
PHP2Shell उपनाम के तहत समूहित और CVE-2026-109618 तथा CVE-2026-109619 के रूप में ट्रैक की गई दोनों कमज़ोरियों ने CVSS v4.0 गंभीरता पैमाने पर 10 में से 9.2 स्कोर किया। सबसे बुरी स्थिति में, एक हमलावर कमज़ोर सर्वर पर मनमाना कोड चला सकता है, जो वेब सुरक्षा में सबसे गंभीर स्थिति है। बताया जाता है कि ये खामियाँ एक दशक से अधिक समय से कोडबेस में छिपी थीं।
यह खोज OpenAI के Patch the Planet कार्यक्रम से आई, एक पहल जो व्यापक रूप से उपयोग किए जाने वाले ओपन-सोर्स सॉफ़्टवेयर में कमज़ोरियों की तलाश के लिए AI मॉडलों को सुरक्षा शोधकर्ताओं के साथ जोड़ती है। कहा जाता है कि सुरक्षा कंपनी Calif और क्लाउड सुरक्षा फर्म Wiz ने अगस्त में AI सहायता से स्वतंत्र रूप से PHP के मुद्दों को उजागर किया। इसके बाद किसी के द्वारा बग का हथियार बनाए जाने से पहले सुधार तैयार करने के लिए लगभग दो महीने का शांत काम हुआ।
वह योजना तब बाधित हुई जब 20 अक्टूबर को विवरण लीक हो गए, स्पष्ट रूप से समन्वित रिलीज़ तिथि से पहले। लीक ने PHP संचालन टीमों को एक लंबी रात में डाल दिया, क्योंकि प्रशासक जोखिम का आकलन करने और उपाय लागू करने के लिए दौड़ पड़े। PHP फाउंडेशन ने 21 अक्टूबर को आधिकारिक पैच जारी किए, और OpenAI ने उसी दिन पूरे प्रयास का अपना विवरण प्रकाशित किया।
यह कहानी डेवलपर फ़ोरम से कहीं आगे मायने रखती है। PHP इंटरनेट भर में सामग्री प्रबंधन प्रणालियों, फ़ोरम और स्टोरफ़्रंट का आधार है, और चीनी तकनीकी मीडिया में प्रचलित अनुमान इसकी पहुँच लगभग सत्तर प्रतिशत वेबसाइटों तक बताते हैं। उस परत में दूर से शोषण योग्य खामी एक प्रणालीगत जोखिम है, विशिष्ट नहीं, यही कारण है कि क्लाउड प्रदाता और सरकारी सुरक्षा निकाय प्रतिक्रिया में शामिल हुए।
OpenAI के लिए, Patch the Planet यह भी बताता है कि AI कमज़ोरी अनुसंधान को कैसे बदल सकता है। बड़े पैमाने पर बग खोजना पारंपरिक रूप से धीमा, मैन्युअल काम रहा है। AI मॉडल विशाल कोडबेस को तेज़ी से स्कैन कर सकते हैं, लेकिन कठिन हिस्सा उसके बाद आने वाली मानवीय मशीनरी है: निष्कर्षों को सत्यापित करना, पैच लिखना, विक्रेताओं को चेतावनी देना और उपयोगकर्ताओं के अपडेट कर सकने तक सब कुछ गुप्त रखना। PHP प्रकरण ने उस मशीनरी को लीक के दबाव में परखा।
यह प्रकरण एक बढ़ते तनाव को भी उजागर करता है। AI-सहायता प्राप्त खोज का अर्थ है कि अधिक खामियाँ तेज़ी से सामने आएंगी, और हर परियोजना के पास तेज़ी से प्रतिक्रिया देने के लिए अनुरक्षक या संसाधन नहीं हैं। समन्वित प्रकटीकरण के मानदंड, जो कभी उद्योग का एक शांत कोना थे, अब ऐसी कंपनियों और एजेंसियों को शामिल करने वाला वैश्विक लॉजिस्टिक्स अभ्यास बन रहे हैं जो शायद ही एक-दूसरे से बात करते हैं।
आम उपयोगकर्ताओं और व्यवसायों के लिए, व्यावहारिक सलाह अपरिवर्तित है: PHP इंस्टॉलेशन और निर्भर सॉफ़्टवेयर को तुरंत अपडेट करें, और विक्रेता सलाह पर ध्यान दें। उद्योग के लिए, सबक यह हो सकता है कि AI अब सुरक्षा आपूर्ति श्रृंखला का हिस्सा है, और होड़ अब केवल बग खोजने की नहीं बल्कि इंटरनेट को पता चलने से पहले उन्हें ठीक करने की है।