PHP என்பது இணையத்தின் திரைக்குப் பின்னால் இருந்து செயல்படும் ஒரு முக்கிய நிரலாக்க மொழியாகும் (programming language). நாம் அன்றாடம் பயன்படுத்தும் பல இணையதளங்கள் இதன் மூலமே இயங்குகின்றன. இந்த வாரம், இதில் மிக முக்கியமான, தாக்குதலுக்கு உள்ளாகக்கூடிய குறைபாடுகள் இருப்பது கண்டறியப்பட்டுள்ளது. இந்தக் குறைபாடுகளைக் கண்டறிய செயற்கை நுண்ணறிவு (AI) உதவியுள்ளது.
குறைபாடுகள் என்ன?
‘PHP2Shell’ என்று அழைக்கப்படும் இந்த பாதிப்புகள், PHP-ன் மையப்பகுதியில் (core engine) உள்ள இரண்டு தீவிரமான பிழைகள் ஆகும். இவை முறையே CVE-2026-109618 மற்றும் CVE-2026-109619 எனப் பதிவு செய்யப்பட்டுள்ளன. இவை ‘அங்கீகாரம் பெறாத தொலைநிலை நிரல் செயல்பாட்டை’ (unauthenticated remote code execution) அனுமதிக்கின்றன. அதாவது, எந்தவித உள்நுழைவுச் சான்றுகளும் (credentials) இல்லாத ஒரு தாக்குதல் நடத்துபவர், சர்வரில் தனது சொந்த கட்டளைகளை இயக்க முடியும்.
PHP-ன் சொந்த தீவிரத்தன்மை மதிப்பீட்டின்படி, இவை 10-க்கு 9.2 புள்ளிகளைப் பெற்றுள்ளன; ‘watchTowr’ என்ற பாதுகாப்பு நிறுவனம், இதில் ஒரு பிழைக்கு அதிகபட்சமாக 10.0 புள்ளிகளை வழங்கியுள்ளது. ஏற்கனவே கண்டறியப்பட்ட ஒரு தாக்குதல் முறையின்படி, ஒரு இணையதளத்தின் அப்ளிகேஷன் குறியீடு (application code) இயங்குவதற்கு முன்பே, ஒரே ஒரு இணையக் கோரிக்கையின் (web request) மூலம் இந்தத் தாக்குதலைத் தூண்ட முடியும். குறிப்பாக, ‘mod_php’ என்ற பொதுவான அமைப்பைப் பயன்படுத்தும் சர்வர்கள் அதிக ஆபத்துக்கு உள்ளாகின்றன.
பாதிப்பின் அளவு:
இந்த விவகாரம் உலகளவில் பெரும் பரபரப்பை ஏற்படுத்தியதற்குக் காரணம், இதன் பரவலான பயன்பாடுதான். உலகில் உள்ள இணையதளங்களில் சுமார் 70 சதவீதம் PHP-ஐப் பயன்படுத்தியே இயங்குகின்றன. இது PHP-ன் பயன்பாட்டு எல்லையைக் காட்டுகிறதே தவிர, அனைத்து இணையதளங்களும் பாதிக்கப்பட்டுள்ளன என்று அர்த்தமல்ல. இருப்பினும், இதன் பாதிப்பு ஏற்படக்கூடிய பரப்பு மிக அதிகம் என்பதால், கூகுள் (Google), ஓபன் ஏஐ (OpenAI) மற்றும் அமேசான் (Amazon) போன்ற நிறுவனங்கள் உடனடியாகச் செயல்படத் தொடங்கின. மேலும், அக்டோபர் 21 அன்று PHP தரப்பில் அவசர கால மென்பொருள் திருத்தங்கள் (patches) வெளியிடப்பட்டன.
செயற்கை நுண்ணறிவின் பங்கு:
இந்தச் செய்தி வெறும் வழக்கமான மென்பொருள் திருத்தம் குறித்த செய்தி மட்டுமல்ல; இந்தக் குறைபாடுகள் கண்டறியப்பட்ட விதம்தான் இதில் மிக முக்கியமான அம்சம்.
இந்த பிழைகள் நீண்ட காலமாகவே மென்பொருள் குறியீட்டில் இருந்தன. ஆனால், ஆராய்ச்சியாளர்கள் இவற்றைத் தேட அதிநவீன செயற்கை நுண்ணறிவு மாதிரிகளைப் (frontier AI models) பயன்படுத்தினர். பரவலாகப் பயன்படுத்தப்படும் மென்பொருள்களில் உள்ள குறைபாடுகளை, தாக்குதல் நடத்துபவர்கள் கண்டறிவதற்கு முன்பே கண்டறிந்து சரிசெய்யும் திட்டத்தின் ஒரு பகுதியாக, OpenAI-ன் மாதிரி ஒன்றைப் பயன்படுத்தி இந்த பிழைகள் கண்டறியப்பட்டுள்ளன. விஸ் (Wiz) என்ற பாதுகாப்பு நிறுவனம், நீண்டகாலமாக இருந்துவரும், கண்டறிவதற்குக் கடினமான ஒரு குறைபாட்டை, செயல்படும் சுரண்டலாக மாற்றுவதற்கான தடையை செயற்கை நுண்ணறிவு ‘கணிசமாகக் குறைத்துள்ளது’ என்று கூறியது.
PHP2Shell-ஐப் பாதுகாப்பாளர்கள் கண்டறிய உதவிய அதே திறன், அடுத்த குறைபாட்டைத் தாக்குபவர்களும் கண்டறிய உதவும்.
நல்லவர்களால் பயன்படுத்தப்படும்போது, செயற்கை நுண்ணறிவு ஒரு அயராத தணிக்கையாளராக மாறி, முக்கியமான மென்பொருட்களில் உள்ள அபாயகரமான பிழைகளை வெளிக்கொணர்ந்து அவற்றைச் சரிசெய்ய உதவுகிறது — இது பாதுகாப்புக்கு ஒரு உண்மையான வரம். கெட்டவர்களால் பயன்படுத்தப்படும்போது, அதே கருவிகள், பெரிய அளவில் குறைபாடுகளைக் கண்டறிந்து அவற்றை ஆயுதமாக்குவதற்குத் தேவையான திறனையும் முயற்சியையும் குறைக்கின்றன.
PHP2Shell என்பது ஒரே நேரத்தில் இந்த இரண்டு முகங்களுக்கும் ஒரு தெளிவான எடுத்துக்காட்டு: செயற்கை நுண்ணறிவு சரியான நேரத்தில் அதைக் கண்டறிந்து சரிசெய்தது, மேலும் மோசமான நோக்கங்களைக் கொண்ட ஒருவரால் அதே அளவு தீவிரமான ஒன்று கண்டறியப்படுவதற்கான வாய்ப்பையும் செயற்கை நுண்ணறிவு அதிகரிக்கிறது.
நியாயமான கருத்து:
நியாயமாகப் பார்த்தால், இந்த நிகழ்வு பாதுகாப்புத் தரப்பிற்கு கிடைத்த வெற்றியாகும். பெரிய அளவிலான சுரண்டல் எதுவும் பதிவாகும் முன்பே, ஆராய்ச்சியாளர்களால் குறைபாடுகள் கண்டறியப்பட்டு, பொறுப்புடன் வெளியிடப்பட்டு, சரிசெய்யப்பட்டன. ‘ஒரு பிழையைக் கண்டறிந்து அதைச் சரிசெய்ய செயற்கை நுண்ணறிவு உதவியது’ என்பது, அதுவாகவே ஒரு நல்ல செய்தி. கவலை என்பது கட்டமைப்பு ரீதியானது, இந்தக் குறிப்பிட்ட நிகழ்வைப் பற்றியது அல்ல: முக்கியமான பாதுகாப்பு குறைபாடுகளைக் கண்டறிவது மிகவும் எளிதாகிவிட்ட ஒரு உலகில், யார் வேகமாகச் செயல்படுகிறார்களோ அவர்களுக்கே வெகுமதி கிடைக்கும் — மேலும், அவ்வாறு வேகமாகச் செயல்படுபவர் எப்போதும் பாதுகாப்பவராக இருக்க மாட்டார்.
கவனிக்க வேண்டியவை:
பிஎச்பி சர்வர்களின் பெரும் எண்ணிக்கையிலானவை உண்மையில் எவ்வளவு விரைவாகப் பேட்ச் செய்யப்படுகின்றன, ஏனெனில் பேட்ச் செய்யப்படாதவை குறிவைக்கப்படும். அடுத்த PHP2Shell-ஐக் கண்டறிய, தாக்குபவர்கள் அதே செயற்கை நுண்ணறிவு உதவிய நுட்பங்களைப் பயன்படுத்துவார்களா. மேலும், ‘செயற்கை நுண்ணறிவு முதலில் பாதுகாப்பு குறைபாடுகளைக் கண்டறிகிறது’ என்பது பாதுகாப்பவர்களுக்கு ஒரு நீடித்த சாதகமாக மாறுமா அல்லது தாக்குதலுக்குச் சாதகமான ஒரு ஆயுதப் போட்டியாக மாறுமா. தற்போதைக்கு நீங்கள் பிஎச்பி-யில் எதையாவது இணைய தளத்தை இயக்கினால், அதை இப்போதே பேட்ச் செய்யுங்கள்.