काठमाडौं । विश्वभरका अधिकांश वेबसाइटमा प्रयोग हुने प्रोग्रामिङ भाषा PHP मा गम्भीर सुरक्षा कमजोरी फेला परेपछि नेपालमा पनि सरकारी निकाय, बैंक तथा वित्तीय संस्था र वेबसाइट सञ्चालकहरूलाई साइबर सुरक्षामा उच्च सतर्कता अपनाउनुपर्ने अवस्था सिर्जना भएको छ। उक्त जोखिमले अनधिकृत व्यक्तिलाई प्रभावित सर्भरमा प्रवेश गरी प्रणाली सञ्चालन गर्न, संवेदनशील सूचना चोरी गर्न तथा वेबसाइटको सामग्रीमा अनधिकृत परिवर्तन गर्न सक्ने खतरा निम्त्याउन सक्छ।

PHP मा देखिएका दुई गम्भीर सुरक्षा कमजोरीलाई CVE-2026-109618 र CVE-2026-109619 नाम दिइएको छ। दुवै कमजोरीको गम्भीरता स्कोर १० मा ९.२ रहेको छ। सुरक्षा अनुसन्धानकर्ताहरूले यी कमजोरीलाई ‘PHP2Shell’ नाम दिएका छन्। विशेषगरी, सुरक्षा अद्यावधिक नगरिएका PHP सर्भरमा आक्रमणकारीले प्रयोगकर्ताको लगइन वा पासवर्डबिनै दुर्भावनापूर्ण कोड चलाउन सक्ने जोखिम रहेको छ। <Cite refs={[“turn100297search0″,”turn100297search1″,”turn100297search2”]}/>

बैंक तथा वित्तीय संस्थाको डिजिटल सुरक्षामा चुनौती

बैंक तथा वित्तीय संस्थाले अनलाइन बैंकिङ, मोबाइल बैंकिङ, डिजिटल भुक्तानी, ग्राहक विवरण व्यवस्थापन तथा अन्य वित्तीय सेवाका लागि विभिन्न वेब प्रणाली प्रयोग गर्दै आएका छन्। यस्ता प्रणाली सञ्चालन गर्ने सर्भरमा सुरक्षा कमजोरी रहेमा ग्राहकका संवेदनशील विवरण, प्रमाणीकरणसम्बन्धी सूचना तथा संस्थाको आन्तरिक प्रणाली जोखिममा पर्न सक्छन्।

यद्यपि, PHP मा सुरक्षा कमजोरी देखिनु मात्रले कुनै बैंक वा वित्तीय संस्थाको प्रणालीमा आक्रमण भइसकेको प्रमाणित गर्दैन। वास्तविक जोखिम सम्बन्धित सर्भरमा प्रयोग भइरहेको PHP संस्करण, सुरक्षा अद्यावधिकको अवस्था, प्रणालीको संरचना र सुरक्षा व्यवस्थामा निर्भर हुन्छ।

यसैबीच, नेपालमा पनि PHP सम्बन्धी सुरक्षा जोखिमलाई ध्यानमा राख्दै सरकारी वेबसाइट तथा प्रणालीको सुरक्षा परीक्षण र अद्यावधिक कार्य अघि बढाइएको छ। केही सरकारी प्रणालीलाई सम्भावित जोखिम न्यूनीकरणका लागि अस्थायी रूपमा अफलाइन राखिएको र आवश्यक सुरक्षा सुधारपछि पुनः सञ्चालनमा ल्याउने प्रक्रिया अघि बढाइएको समाचार सार्वजनिक भएको छ। <Cite refs={[“turn100297search0”]}/>

के हो PHP2Shell सुरक्षा जोखिम?

PHP वेबसाइट र वेब एप्लिकेसन निर्माणमा प्रयोग हुने लोकप्रिय सर्भर-साइड प्रोग्रामिङ भाषा हो। WordPress, Joomla र Drupal जस्ता सामग्री व्यवस्थापन प्रणालीमा पनि PHP प्रयोग हुन्छ। त्यसैले PHP मा देखिने गम्भीर सुरक्षा कमजोरीले समाचार पोर्टल, व्यावसायिक वेबसाइट, सरकारी पोर्टल, अनलाइन सेवा तथा अन्य वेब प्रणालीलाई प्रभावित पार्न सक्छ।

PHP2Shell सम्बन्धी कमजोरीले निश्चित परिस्थितिमा सर्भरको मेमोरी व्यवस्थापन र त्रुटि व्यवस्थापन प्रक्रियामा समस्या उत्पन्न गराउन सक्छ। त्यसको दुरुपयोग गरी आक्रमणकारीले सर्भरमा अनधिकृत कोड चलाउन सक्ने जोखिम हुन्छ।

यस्तो आक्रमण सफल भएमा वेबसाइट ह्याक हुने, गोप्य विवरण चोरी हुने, वेबसाइटको सामग्री परिवर्तन हुने, मालवेयर राखिने वा सर्भरलाई अन्य साइबर आक्रमणका लागि प्रयोग गरिने सम्भावना रहन्छ। <Cite refs={[“turn100297search1″,”turn100297search2”]}/>

सुरक्षा जोखिमबाट बच्न के गर्ने?

सम्बन्धित सुरक्षा निकाय तथा प्राविधिक विज्ञहरूको सिफारिसअनुसार जोखिम न्यूनीकरण गर्न बैंक तथा वित्तीय संस्था, सरकारी निकाय, होस्टिङ कम्पनी र वेबसाइट सञ्चालकले निम्न उपाय तत्काल अपनाउनुपर्छ।

१. PHP को संस्करण अद्यावधिक गर्ने

प्रयोग भइरहेको PHP संस्करण पहिचान गरी आधिकारिक सुरक्षा सुधार समावेश भएको संस्करणमा अद्यावधिक गर्नुपर्छ। प्रकाशित सुरक्षा सल्लाहअनुसार PHP 8.5.12, 8.4.27, 8.3.36 र 8.2.35 सम्बन्धित शाखाका सुधार गरिएका संस्करण हुन्। पुराना तथा समर्थन अवधि समाप्त भएका संस्करण प्रयोग गरिरहेका संस्थाले समर्थित संस्करणमा स्थानान्तरण गर्नुपर्छ। <Cite refs={[“turn100297search0″,”turn100297search2”]}/>

२. होस्टिङ तथा सर्भर प्रदायकसँग तत्काल समन्वय गर्ने

Shared hosting प्रयोग गर्ने वेबसाइट सञ्चालकले आफ्नो होस्टिङ कम्पनीलाई सम्पर्क गरी सर्भरमा चलिरहेको PHP संस्करण, सुरक्षा प्याच लागू भए–नभएको अवस्था र सम्भावित जोखिमबारे लिखित जानकारी माग्नुपर्छ। वेबसाइटमा PHP अद्यावधिक गरिएको भए पनि सर्भरमा चलिरहेको वास्तविक संस्करण सुरक्षित छ कि छैन भनेर पुष्टि गर्नुपर्छ।

३. प्रभावित प्रणालीको पहुँच अस्थायी रूपमा सीमित गर्ने

तत्काल सुरक्षा अद्यावधिक गर्न नसकिने अवस्थामा जोखिमयुक्त प्रणालीलाई सार्वजनिक इन्टरनेटबाट अस्थायी रूपमा अलग गर्ने वा पहुँच सीमित गर्ने व्यवस्था गर्नुपर्छ। विशेषगरी वित्तीय कारोबार तथा संवेदनशील विवरण प्रशोधन गर्ने प्रणालीमा जोखिम मूल्याङ्कनलाई प्राथमिकता दिनुपर्छ।

४. लग तथा गतिविधिको सुरक्षा परीक्षण गर्ने

सर्भर लग, वेबसाइट लग, लगइन गतिविधि, अनधिकृत फाइल परिवर्तन, शंकास्पद प्रक्रिया तथा असामान्य नेटवर्क गतिविधिको परीक्षण गर्नुपर्छ। सम्भावित आक्रमणको संकेत भेटिएमा त्यसलाई सामान्य प्राविधिक समस्या ठानेर बेवास्ता नगरी विशेषज्ञबाट अनुसन्धान गराउनुपर्छ।

५. ब्याकअप र पुनःस्थापना योजना तयार राख्ने

वेबसाइट, डाटाबेस र महत्त्वपूर्ण फाइलहरूको सुरक्षित ब्याकअप राख्नुपर्छ। ब्याकअपलाई मुख्य सर्भरबाट अलग सुरक्षित स्थानमा राख्नुका साथै आवश्यक परेको अवस्थामा प्रणाली पुनःस्थापना गर्न सकिने सुनिश्चित गर्नुपर्छ।

६. WordPress तथा अन्य वेब एप्लिकेसन पनि जाँच गर्ने

WordPress, Joomla, Drupal लगायत PHP मा आधारित प्रणाली प्रयोग गर्ने वेबसाइट सञ्चालकले आफ्नो CMS, प्लगइन, थिम तथा सर्भर वातावरण जाँच गर्नुपर्छ। तर प्लगइन वा थिम अद्यावधिक गर्नु मात्रै पर्याप्त हुँदैन; सर्भरमा प्रयोग भइरहेको PHP संस्करण पनि सुरक्षित हुनुपर्छ।

७. सुरक्षा सुधारपछि मात्र प्रणाली पुनः सञ्चालन गर्ने

प्रभावित प्रणालीमा आवश्यक सुरक्षा प्याच लागू गरेपछि परीक्षण, लग समीक्षा र जोखिम मूल्याङ्कन गर्नुपर्छ। सम्भावित अनधिकृत पहुँच पुष्टि भएमा प्रणाली पुनः सञ्चालन गर्नुअघि मालवेयर, ब्याकडोर र अन्य शंकास्पद परिवर्तन हटाइएको सुनिश्चित गर्नुपर्छ।

वेबसाइट सञ्चालकले अहिले नै के गर्नुपर्छ?

विशेषगरी नेपालका समाचार पोर्टल, सरकारी वेबसाइट, व्यावसायिक वेबसाइट तथा बैंकिङ सेवासँग सम्बन्धित प्रणाली सञ्चालकले आफ्नो वेबसाइट PHP मा चलेको छ कि छैन, कुन संस्करण प्रयोग भइरहेको छ र सुरक्षा अद्यावधिक लागू गरिएको छ कि छैन भन्ने विषय तत्काल पुष्टि गर्नुपर्छ।

साझा होस्टिङ प्रयोग गर्ने वेबसाइट सञ्चालकले आफैँ सर्भर अद्यावधिक गर्न नसक्ने अवस्थामा होस्टिङ प्रदायकसँग समन्वय गर्नुपर्छ। सुरक्षा जोखिमको पुष्टि भएमा आवश्यक प्राविधिक सहयोग लिएर तत्काल सुधार गर्नुपर्छ।

PHP मा देखिएको यो घटनाले डिजिटल प्रणालीमा प्रयोग हुने आधारभूत सफ्टवेयरको सुरक्षा अद्यावधिक समयमै गर्नु कति महत्त्वपूर्ण छ भन्ने देखाएको छ। सम्भावित साइबर आक्रमणबाट बच्न समयमै सुरक्षा प्याच लागू गर्ने, नियमित निगरानी गर्ने र जोखिम देखिएमा शीघ्र प्रतिक्रिया दिने व्यवस्था गर्नु अहिलेको प्रमुख आवश्यकता हो।