एक दशक से भी ज़्यादा समय तक इंटरनेट के बड़े हिस्से को चलाने वाली तकनीक में मौजूद गंभीर ख़ामियां पकड़ में नहीं आ सकी थीं.
इन ख़ामियों का पता लगाने के लिए आर्टिफिशियल इंटेलिजेंस (एआई) की मदद ली गई और इसके बाद दुनियाभर में साइबर सुरक्षा को लेकर अलर्ट जारी हो गया.
बीबीसी संवाददाता ओसमंड चिया के मुताबिक ये ख़ामियां पीएचपी नाम की एक प्रोग्रामिंग लैंग्वेज में हैं, जिसका इस्तेमाल 2000 के दशक से दुनियाभर में वेबसाइट बनाने के लिए किया जाता रहा है. भारत में भी बड़ी संख्या में वेबसाइट और ऑनलाइन सेवाएं इस तकनीक पर निर्भर हैं, इसलिए इसका असर भारतीय यूज़र्स और संस्थानों तक भी पहुंच सकता है.
बुधवार को इन ख़ामियों का पता चलने के बाद दुनियाभर की सरकारें और साइबर सुरक्षा एजेंसियां इसके असर को रोकने की कोशिश में जुट गई हैं. उन्होंने वेबसाइट चलाने वालों से नया इमरजेंसी सुरक्षा अपडेट इंस्टॉल करने या ज़रूरत पड़ने पर अपने प्लेटफ़ॉर्म को ऑफ़लाइन करने की सलाह दी है.
साइबर सुरक्षा कंपनी विज़ उन कंपनियों में शामिल है, जिनके शोधकर्ताओं ने इन ख़ामियों का पता लगाया. कंपनी ने इन्हें एआई की मदद से अब तक सामने आई "सबसे गंभीर" ख़ामियां बताया है.
इन ख़ामियों का पता लगाने में जिस तकनीक का इस्तेमाल हुआ, वह ओपनएआई की थी. ओपनएआई ने इस ख़ामी को 'बेहद गंभीर सिक्योरिटी इश्यू' माना है.
क्या ख़ामी है?
ज़्यादातर लोगों ने शायद पीएचपी का नाम नहीं सुना होगा, लेकिन वे संभवतः हर दिन इसका इस्तेमाल करते हैं.
पीएचपी का पूरा नाम हाइपरटैक्स्ट प्रीप्रोसेसर है. यह एक ओपन-सोर्स, बैक-एंड प्रोग्रामिंग लैंग्वेज है, जो वेब सर्वर पर चलती है.
इसे 1990 के दशक की शुरुआत में ऐसी वेबसाइट और एप्लिकेशन बनाने के लिए विकसित किया गया था, जिनका कंटेंट बदलता रहता है. आज भी इसका इस्तेमाल कई प्लेटफ़ॉर्म पर होता है. इनमें विकिपीडिया, ऑनलाइन शॉपिंग वेबसाइट और वर्डप्रेस शामिल हैं. वर्डप्रेस एक कंटेंट मैनेजमेंट सिस्टम है, जिसका इस्तेमाल ब्लॉग समेत कई तरह की वेबसाइट बनाने और चलाने के लिए किया जाता है.
गोरिल्ला साइबर सिक्योरिटी के चीफ़ एग्ज़ीक्यूटिव पॉल स्पेन ने बीबीसी को बताया कि जब आप विकिपीडिया जैसी वेबसाइट पर जाते हैं, तो पीएचपी वह कोड है जो आपके लिए ज़रूरी जानकारी इकट्ठा करता है और उसे इस तरह पेश करता है कि आप उसे वेबसाइट पर पढ़ सकें.
लेकिन पीएचपी में एक ऐसी ख़ामी सामने आई, जिसकी मदद से हमलावर बिना किसी ऑथेंटिकेशन के प्रभावित वेब सर्वर पर क़ब्ज़ा कर सकते थे और संवेदनशील डेटा चुरा सकते थे. इसकी वजह से पीएचपी पर बनी हर चीज़ ख़तरे में आ गई.
स्पेन के मुताबिक़, एआई की मदद से ऐसे हमले करना और आसान और तेज़ हो सकता है. उनका अनुमान है कि इस ख़ामी का असर "लाखों" वेबसाइटों पर पड़ सकता है.
यूनिवर्सिटी ऑफ़ एडिलेड की साइबर सुरक्षा शोधकर्ता जिल स्ले ने कहा कि अगर हैकर्स या देश इस ख़ामी को हथियार की तरह इस्तेमाल करते हैं और वेबसाइटों से निजी डेटा हासिल कर लेते हैं, तो इसके नतीजे "विनाशकारी" हो सकते हैं.
किन वेबसाइटों पर इसका असर पड़ा है?
इस अलर्ट के बाद दुनियाभर में गेमिंग प्लेटफ़ॉर्म से लेकर सरकारी पोर्टल और ऑनलाइन फ़ोरम तक कई सेवाएं प्रभावित हुई हैं.
इसमें विकिमीडिया भी शामिल है. यह ऑनलाइन विश्वकोश विकिपीडिया का संचालन करने वाली संस्था है. विकिमीडिया ने एहतियात के तौर पर अपने कई सिस्टम बंद कर दिए हैं.
फ़िनलैंड सरकार, एडिनबरा काउंसिल और बीबीसी ने भी अपनी कुछ वेबसाइट और पेज ऑफ़लाइन कर दिए हैं. नीदरलैंड्स की साइबर सुरक्षा एजेंसी ने भी अपनी वेबसाइट बंद कर दी है.
स्कॉटलैंड के कई सरकारी संगठनों, जिनमें स्थानीय काउंसिल और स्वास्थ्य बोर्ड शामिल हैं, ने भी एहतियात के तौर पर अपनी वेबसाइटें ऑफ़लाइन कर दी हैं.
कुछ विशेषज्ञों ने चेतावनी दी है कि इस ख़ामी की वजह से उन वेबसाइटों पर ख़तरा ज़्यादा हो सकता है जिनका रखरखाव ठीक से नहीं होता. ख़ास तौर पर छोटे संगठनों की वेबसाइटें ज़्यादा जोखिम में हो सकती हैं, क्योंकि उनके पास साइबर सुरक्षा के लिए सीमित संसाधन होते हैं.
यूएनएसडब्ल्यू सिडनी के साइबर सुरक्षा शोधकर्ता सलील कान्हेरे ने कहा कि आने वाले हफ़्तों में इन ख़ामियों का फ़ायदा उठाने की कोशिशें और बढ़ सकती हैं, क्योंकि अब इन ख़ामियों से जुड़ी तकनीकी जानकारी सार्वजनिक की जा रही है.
ख़ामियों का पता चलने के बाद क्या हुआ?
पीएचपी प्लेटफ़ॉर्म के डेवलपर्स ने बुधवार को इन ख़ामियों को ठीक करने के लिए सुरक्षा अपडेट जारी किए. ये ख़ामियां कई सालों से उनके सॉफ़्टवेयर में मौजूद थीं.
कंपनी ने कहा, "सभी पीएचपी यूज़र्स को तुरंत अपडेट करने की पुरज़ोर सलाह दी जाती है." दुनियाभर के अधिकारियों और साइबर सुरक्षा संगठनों ने भी वेबसाइट चलाने वालों से अपने प्लेटफ़ॉर्म को सुरक्षित करने की अपील की है.
अमेरिकी नेशनल सिक्योरिटी एजेंसी ने पीएचपी इस्तेमाल करने वाले सभी संगठनों से कहा कि अगर वे तुरंत सुरक्षा अपडेट नहीं कर सकते हैं तो अपने सिस्टम को ऑफ़लाइन कर दें. एजेंसी ने कहा कि यह ख़ामी किसी सिस्टम के डेटाबेस तक पहुंचने का "सीधा रास्ता" उपलब्ध करा सकती है.
एजेंसी ने कहा, "ये जोखिम इतने गंभीर हैं कि अमेरिका की सभी सरकारी एजेंसियों और विभागों में तुरंत सुरक्षा अपडेट किया जाना ज़रूरी है."
ब्रिटेन के नेशनल साइबर सिक्योरिटी सेंटर ने भी ऐसी ही सलाह दी. उसने संगठनों से यह जांचने को कहा कि कहीं किसी हमलावर ने उनके सिस्टम में "बैकडोर" तो नहीं बना दिया है.
यूरोपीय संघ, सिंगापुर और ऑस्ट्रेलिया की साइबर सुरक्षा एजेंसियों ने भी इसी तरह के अलर्ट जारी किए हैं.
जापान की प्रधानमंत्री साने ताकाइची ने लोगों से यह जांचने की अपील की कि सार्वजनिक रूप से उपलब्ध उनकी वेबसाइटें पीएचपी पर चल रही हैं या नहीं. ताकाइची ने एक्स पर लिखा, "हम सभी से आज रात ही कार्रवाई करने की तत्काल अपील कर रहे हैं." उन्होंने कहा कि अगर सुरक्षा अपडेट तुरंत लगाना मुश्किल हो, तो वेबसाइटों को कुछ समय के लिए बंद करना और ऐसे ही दूसरे उपाय जोखिम कम करने का प्रभावी तरीका हो सकता है.
टेक कंपनियां भी अपने सिस्टम को सुरक्षित करने की कोशिश में जुट गई हैं.
ई-कॉमर्स कंपनी अमेज़न ने कहा कि पीएचपी की इस समस्या के सार्वजनिक होने से कुछ दिन पहले उसके सिस्टम को कई बार निशाना बनाने की कोशिश की गई थी. हालांकि, यह पता नहीं चल पाया है कि संभावित हमलावरों को इस ख़ामी के बारे में पहले से कैसे जानकारी मिली.
एआई कमज़ोरियों का पता कैसे लगा रहा है?
इन ख़ामियों का पता साइबर सुरक्षा कंपनियों कैलिफ़ और विज़ के शोधकर्ताओं ने लगाया.
शोधकर्ताओं ने ऐसे आधुनिक एआई टूल्स का इस्तेमाल किया जो कंप्यूटर कोड का विश्लेषण कर सकते हैं और इंसानों या पुराने सिस्टम की तुलना में कहीं तेज़ी से उसकी ख़ामियां ढूंढ सकते हैं.
यूएनएसडब्ल्यू सिडनी के साइबर सुरक्षा शोधकर्ता सलील कान्हेरे ने कहा, "आधुनिक सॉफ़्टवेयर बेहद जटिल है और कुछ ख़ामियां सालों तक पकड़ में नहीं आ पातीं."
उन्होंने कहा, "असल ख़ामियां नई नहीं थीं. बदलाव सिर्फ़ इतना आया कि अब हमारे पास उन्हें ढूंढने की क्षमता है."
एआई की मदद से इन ख़ामियों का पता लगने के बाद पीएचपी के डेवलपर्स को अपने सुरक्षा अलर्ट और समस्या के बड़े पैमाने की जानकारी जल्दी सार्वजनिक करनी पड़ी, क्योंकि इस खोज की जानकारी इस हफ़्ते ऑनलाइन लीक हो गई थी.
ओपनएआई ने एक ब्लॉग पोस्ट में कहा कि यह घटना "दिखाती है कि एआई किस तरह सुरक्षा ख़ामियों का पता लगा सकता है", लेकिन साथ ही यह भी बताती है कि एआई "हमलावरों को तेज़ी से हमले के लिए इस्तेमाल होने वाले टूल और तरीक़े विकसित करने में मदद कर सकता है."
चैटजीपीटी बनाने वाली ओपनएआई ने कहा कि उसने यह जांचने के लिए एक प्रोग्राम जारी किया है कि पीएचपी प्लेटफ़ॉर्म सुरक्षित है या नहीं.
यूनिवर्सिटी ऑफ़ क्वींसलैंड के साइबर रिसर्च सेंटर के रयान को ने कहा, "इनमें से कई ख़ामियां उस दौर में सॉफ़्टवेयर बनाने के तरीक़े से जुड़ी हैं, जब सुरक्षा के बजाय सॉफ़्टवेयर के काम करने पर ज़्यादा ध्यान दिया जाता था."
लोग ख़ुद को सुरक्षित रखने के लिए क्या कर सकते हैं?
वेबसाइट चलाने वालों से अपनी वेबसाइट को पीएचपी के सबसे नए वर्ज़न पर अपडेट करने की अपील की जा रही है.
गोरिल्ला साइबर सिक्योरिटी के चीफ़ एग्ज़ीक्यूटिव पॉल स्पेन ने कहा कि ज़्यादातर टेक्निकल टीमों के लिए पीएचपी का यह सुरक्षा अपडेट एक छोटा और सामान्य अपडेट है.
अमेरिकी नेशनल सिक्योरिटी एजेंसी ने आने वाले हफ़्तों में "ज़्यादा सतर्क रहने" और सॉफ़्टवेयर बनाने वाली कंपनियों के अपडेट पर बारीकी से नज़र रखने की सलाह दी है.
एजेंसी ने कहा, "इन सिस्टम से जुड़े सुरक्षा अपडेट समय पर लागू करने को सर्वोच्च प्राथमिकता दी जानी चाहिए."
साइबर सुरक्षा शोधकर्ता सलील कान्हेरे ने कहा कि इसकी ज़िम्मेदारी मुख्य रूप से वेबसाइट चलाने वालों की है. हालांकि, यूज़र्स को भी प्रभावित वेबसाइटों या ऑनलाइन सेवाओं की ओर से जारी किसी सुरक्षा सलाह पर ध्यान देना चाहिए. मसलन, अगर किसी सेवा की ओर से पासवर्ड बदलने को कहा जाए तो उस पर ध्यान देना चाहिए.
उन्होंने लोगों को उन फ़िशिंग संदेशों से भी सावधान रहने को कहा, जो इस घटना की चर्चा का फ़ायदा उठाकर लोगों को ठगने की कोशिश कर सकते हैं.
भारत के लिए कितनी बड़ी चिंता?
भारत के लिए यह ख़बर इसलिए अहम है क्योंकि इंडियन कंप्यूटर इमरजेंसी रिस्पॉन्स टीम यानी CERT-In, जो भारत सरकार की साइबर सुरक्षा एजेंसी है, ने पीएचपी की इन ख़ामियों को लेकर अलर्ट जारी किया है.
CERT-In के मुताबिक़, पीएचपी की इन ख़ामियों को "क्रिटिकल" श्रेणी में रखा गया है. इसका मतलब है कि अगर किसी सर्वर पर पीएचपी का प्रभावित वर्ज़न चल रहा है तो हमलावर इसका फ़ायदा उठाकर उस सिस्टम पर दूर से अपना कोड चला सकता है और उस सिस्टम पर गंभीर स्तर का नियंत्रण हासिल कर सकता है.
