चाडपर्वको बिदाका बेला नेपालमा सरकारी कार्यालय बन्द भए, कर्मचारी घर गए। यही बेला कुनै नगरपालिकाको वेबसाइटमा अचानक अपरिचित सन्देश देखिन थाल्छ, वा नागरिकले भरेको फारमको विवरण अर्कैको हातमा पुग्छ।
कसैले पासवर्ड चोरेको होइन, कसैले भित्रबाट ढोका खोलिदिएको पनि होइन। आक्रमणकारीले इन्टरनेटबाट एउटा विशेष किसिमको अनुरोध मात्र पठाएको हो।
यो डर देखाउन बनाइएको कथा होइन। यसपटकको दशैँमा यस्तै खतरा साँच्चै आइपुग्यो। नवमीको दिन एउटा गोप्य सूचना इन्टरनेटमा चुहियो- झन्डै ७० प्रतिशत वेबसाइट चलाउने पीएचपी प्रविधिमा दुई यस्ता प्वाल भेटिएका थिए, जसबाट लगइन नगरीकनै अर्काको सर्भर कब्जा गर्न सकिन्छ।
नेपालमा टीका लाग्दै गर्दा, विजयादशमीकै बेलुकी पीएचपीले आपत्कालीन सुधार (प्याच) सार्वजनिक गर्यो। तर इन्टरनेट सुरक्षा कम्पनी क्लाउडफ्लेयरका अनुसार प्याच आउनुअघि नै आक्रमणका प्रयास सुरु भइसकेका थिए। यो खतराको नाम हो— ‘PHP2Shell’। यसले नेपालका सरकारी कार्यालयदेखि सानो व्यवसायसम्मका वेबसाइटलाई प्रत्यक्ष छुन्छ।
पीएचपी वेबसाइट बनाउन प्रयोग हुने सबैभन्दा लोकप्रिय भाषामध्ये एक हो। वर्डप्रेस, ड्रुपल, जुम्ला, विकिपिडिया चल्ने मिडियाविकी, अनलाइन पसल, समाचार पोर्टल र धेरै सरकारी तथा निजी वेबसाइट यसैमा चल्छन्। डब्लू थ्री टेक का अनुसार सर्भर–साइड भाषा थाहा भएका विश्वका वेबसाइटमध्ये ६९.३ प्रतिशत पीएचपीमा चल्छन्।
पीएचपीको सुरक्षा टोलीले ‘पीएचपी टु सेल’ नामकरण गरिएका CVE-2026-109618 र CVE-2026-109619 नम्बरका दुवै त्रुटिलाई १० मध्ये ९.२ अङ्क दिँदै ‘गम्भीर’ श्रेणीमा राखेको छ। यी दुवै जोखिममा आक्रमणकारीलाई प्रवेश पाउन कुनै पनि प्रकारको लगइन वा पासवर्ड चाहिँदैन।
प्रायः वेबसाइट ह्याक हुँदा समस्या त्यही वेबसाइटको कोडमा हुन्छ। पीएचपी टु सेल फरक छ : प्वाल वेबसाइटमा होइन, वेबसाइट उभिएको जगमा छ। त्रुटि भेट्ने कम्पनीमध्ये एक विजका अनुसार ‘हेल्लो वर्ल्ड’ मात्र लेखिएको सबैभन्दा साधारण पेज पनि जोखिममा छ।
पीएचपीले एउटै ‘कामदार’ प्रक्रियाबाट पालैपालो धेरै आगन्तुकको अनुरोध सम्हाल्छ। कुनै अनुरोधले मेमोरी सिध्याउँदा वा बीचमै गम्भीर त्रुटि आउँदा पीएचपी काम अधुरै छाड्छ, तर सरसफाइ पूरा गर्दैन। अर्को अनुरोधले त्यही फोहोर अवस्था प्रयोग गर्छ।
यो अघिल्लो पाहुनाले छाडेको कोठा सफा नगरी अर्को पाहुनालाई दिएजस्तै हो। आक्रमणकारी पहिलो पालोमा कोठा फोहोर बनाउँछ, अर्को पालोमा त्यही फोहोरमा लुकाएको आफ्नो सामान प्रयोग गरेर सर्भरलाई आफ्नो आदेश मान्न लगाउँछ।
विजले पछिल्लो संस्करणका वर्डप्रेस, ड्रुपल र जुम्लामा लगइनबिनै सर्भर कब्जा गरेर देखाएको छ। अर्को अनुसन्धान कम्पनी कालिफ (Calif) ले phpMyAdmin, Laravel, Magento, Nextcloud र WHMCS सहित ११ वटा लोकप्रिय प्रणालीमा यस्तै आक्रमण पुष्टि गरेको छ। विजले सर्भर कब्जा नगरीकनै मेमोरीबाट पासवर्ड, टोकन र एपीआई ‘की’ पढ्न सकिने पनि देखाएको छ।
विजले यसलाई सन् २०१४ को हार्टब्लिड र २०२१ को लगफोरसेल जस्ता इन्टरनेटको इतिहासमा मोड ल्याउने घटनासँग तुलना गरेको छ। यद्यपि सुरक्षा कम्पनी इम्पेर्भाका अनुसार यी त्रुटिबाट सर्भर कब्जा गर्नु प्राविधिक रूपमा जटिल छ। तर तलको कथाले देखाउँछ, एआईले त्यो जटिलता घटाइदिएको छ।
विश्वभरका सरकारी साइबर निकायले यसलाई आपत्कालीन रूपमा लिएका छन्। अमेरिकी साइबर सुरक्षा निकाय ‘सिसा’ले सबै संस्थालाई तुरुन्त अपडेट गर्न आग्रह गर्यो। युरोपेली सङ्घको CERT-EU ले आक्रमणका नमुना कोड फैलिन थालेकाले आक्रमण भइसकेको सम्भावना बढेको चेतावनी दियो। बेलायतको राष्ट्रिय साइबर सुरक्षा केन्द्रले त तुरुन्त अपडेट गर्न नसके सिस्टम नै अफलाइन राख्न भन्यो।
यी त्रुटि कालिफ र विजका अनुसन्धानकर्ताले भेटेका हुन्, च्याटजीपीटी बनाउने कम्पनी ओपनएआईको नेतृत्वमा भएको समन्वयमा। ओपनएआईका अनुसार कालिफले उसको GPT-5.6 Sol मोडलको सहयोगमा त्रुटि भेटेको हो। विजले छुट्टै, गुगलको Gemini 4 Argon र GPT-5.6 Sol प्रयोग गरेर भेटेको जनाएको छ।
अचम्मको कुरा, यो कमजोरी दशकभन्दा बढी समयदेखि पीएचपीको कोडमा लुकेर बसेको थियो। कालिफका अनुसार सम्बन्धित समस्या सन् २०२० मै रिपोर्ट भएको थियो र सन् २०२४ को सुरक्षा अडिटमा फेरि भेटिएको थियो। तर त्यसबाट आक्रमण गर्न सकिने प्रमाणित नभएकाले सुधार भएन।
विजका अनुसार एआई र सही उपकरणको सहायताले एक अनुसन्धानकर्ताले एक हप्तामा त्यो काम गरे, जुन पहिले विश्वस्तरीय टोलीलाई महिनौँ लाग्थ्यो। यसपटक त्रुटि रक्षा गर्नेहरूले पहिले भेटे। तर उही क्षमता आक्रमणकारीसँग पनि छ। ‘जटिल भएकाले कसैले आक्रमण गर्दैन’ भन्ने भरोसा अब काम लाग्दैन।
पुराना संस्करण नै सबैभन्दा ठूलो प्वाल। W3Techs का अनुसार पीएचपी प्रयोग गर्ने विश्वका वेबसाइटमध्ये करिब ३५ प्रतिशत अझै पीएचपी ७ वा त्योभन्दा पुरानो संस्करणमा चल्छन्। यिनका लागि पीएचपीले आधिकारिक अपडेट दिँदैन।
पीएचपी ७.४ देखि ८.१ सम्मका लागि प्राविधिकले आफैँ लागू गर्नुपर्ने स्रोत–कोड मात्र छ, पीएचपी ५.४ देखि ७.३ सम्मका लागि त्यो पनि छैन। वर्षौँदेखि कसैले नछोएका सरकारी र संस्थागत वेबसाइट यही समूहमा पर्न सक्छन्।
मैले हालै नेपालका १२० वटा सरकारी वेबसाइटमा एउटा प्रारम्भिक प्राविधिक परीक्षण गरेको थिएँ। तीमध्ये प्राविधिक रूपमा जाँच गर्न सकिएका १८ वटा वेबसाइटमध्ये ८ वटामा स्पष्ट रूपमा पीएचपी प्रयोग भएको पुष्टि भयो अर्थात् करिब ४४ प्रतिशत।
उल्लेखनीय कुरा, प्रधानमन्त्री कार्यालयलगायत धेरै सरकारी वेबसाइट यही जोखिम देखिएपछि एहतियातका रूपमा अस्थायी बन्द गरिएका छन्, तर मैले पीएचपी पुष्टि गरेका यी ८ वटा सर्भर भने अझै अनलाइनमै छन् र जोखिमको सम्भावित दायरामा खुला रहेका छन्। यो ४४ प्रतिशत न्यूनतम आँकडा मात्र हो; हेडर लुकाइएका कारण पहिचान हुन नसकेका थप वेबसाइट पनि पीएचपीमै हुन सक्ने भएकाले वास्तविक सङ्ख्या यसभन्दा बढी नै हुन सक्छ।
बिदाको दिन आक्रमण नयाँ होइन। सन् २०२३ जनवरी २८, शनिबार बिदाको दिन सरकारी एकीकृत डाटा सेन्टर (जीआईडीसी) माथि भएको आक्रमणले ४०० भन्दा बढी सरकारी वेबसाइट कम्तीमा चार घण्टा बन्द भए। नेपाली टाइम्सका अनुसार विमानस्थलमा अध्यागमनका कम्प्युटर बन्द भएपछि कर्मचारीले हातले रजिस्टरमा यात्रुको विवरण लेख्नुपर्यो। दिल्ली, दोहा, क्वालालम्पुरलगायतका उडान तीन घण्टासम्म ढिला भए।
त्यो फरक प्रकारको (DDoS) आक्रमण थियो। तर यसले देखायो, एउटै केन्द्रमा राखिएका सर्भरमा एउटा कमजोरीले कति ठूलो असर पार्छ।
ह्याकको लामो इतिहास। सन् २०१७ जुलाईमा ‘प्याराडक्स साइबर घोस्ट’ नामक समूहले रक्षा मन्त्रालय, महालेखापरीक्षकको कार्यालय र कानुन आयोगसहित ५८ सरकारी वेबसाइट ह्याक गरेको दाबी गर्यो। काठमाडौँ पोस्टसँग उक्त समूहले सबै साइट तीन मिनेटमै ह्याक गरेको दाबी गरेको थियो। सोही वर्ष नोभेम्बरमा अर्को समूहले थप १९ सरकारी निकायका वेबसाइटमा पहुँच पाएको दाबी गर्यो।
तत्कालीन ‘ITSERT-NP’ अध्यक्ष राजनराज पन्तले त्यसबेलै भनेका थिए, ‘पैसा बचाउन अनुभवहीन आईटी अधिकारी राख्नु र कमजोर सर्भरमा होस्ट गर्नुले वेबसाइटलाई जोखिममा पार्छ।’ उनका अनुसार सुरक्षा परीक्षण कमजोर हुनु बारम्बार ह्याक हुनुको अर्को कारण थियो। नौ वर्षपछि PHP2Shell ले उही प्रश्न फेरि उठाएको छ।
निर्देशिका छ, पालना नि ? राष्ट्रिय साइबर सुरक्षा केन्द्र (एनसीएससी) ले सन् २०२५ जनवरीमा जारी गरेको १०२ बुँदे निर्देशिकाले वेबसाइट नियमित अपडेट गर्न, सुरक्षा परीक्षण गर्न र हरेक मन्त्रालय तथा विभागले वेबसाइट हेर्ने सम्पर्क व्यक्ति तोक्न भनेको छ। PHP2Shell त्यो निर्देशिका कागजमा मात्र छ कि व्यवहारमा पनि, भनेर जाँच्ने परीक्षा हो।
प्राविधिकहरूका लागि : अहिले के गर्ने ?
सरकारी वा अरू संस्थाको सर्भर नागरिकले आफैँ अपडेट गर्न सक्दैनन्, तर आफूलाई जोगाउन सक्छन् :
अनलाइनखबरका अनुसार, प्रधानमन्त्री तथा मन्त्रिपरिषद्को कार्यालयअन्तर्गतको सफ्टवेयर विकास तथा सञ्चालन केन्द्र (एसडीओसी) ले PHP2Shell को जोखिमबाट जोगाउन धेरै सरकारी वेबसाइट र प्रणाली एहतियातका रूपमा अस्थायी बन्द गरेको छ, र प्याच लगाई परीक्षण गरिसकेपछि ती चरणबद्ध रूपमा पुनः सञ्चालनमा ल्याइने जनाएको छ। दशैँकै बिदामा प्राविधिक टोली यसमा खटिनु स्वागतयोग्य छ। तर केही प्रश्न अझै बाँकी छन् :
दशैँको बिदामा आएको यो चेतावनीको केही हप्तामै तिहारको बिदा सुरु हुँदै छ। सरकारी कार्यालय फेरि बन्द हुनेछन्, र अपडेट नगरिएका सर्भर फेरि बिनाचौकीदार इन्टरनेटमा खुला रहनेछन्।
PHP2Shell को सुधार आइसकेको छ। अब प्रश्न प्रविधिको होइन, जिम्मेवारीको हो। सफ्टवेयर अपडेट प्राविधिक शाखाको सानो काम जस्तो लाग्न सक्छ। तर नागरिकको सूचना, सेवा र सरकारप्रतिको भरोसा जोगाउने यो आधारभूत सार्वजनिक सेवा हो।
अमेरिकास्थित एक अन्तर्राष्ट्रिय कम्पनीमा साइबर सुरक्षा इन्जिनियरका रूपमा कार्यरत लेखक सर्टिफाइड इन्फर्मेसन सिस्टम्स सेक्युरिटी प्रोफेसनल हुन्।
