AI ले पत्ता लगायो PHP कोडको गम्भीर खोट: समाधानका लागि विकासकर्ताहरूलाई विज्ञको सुझाव
एआईको कमाल: पीएचपीको दशकौँ पुरानो गम्भीर खोट पत्ता लाग्यो, सुरक्षाका लागि नेपालसहित विश्वभरका वेबसाइट अफलाइन
काठमाडौँ/झापा — विश्वव्यापी रूपमा इन्टरनेटको ठूलो हिस्सा ओगट्ने प्रोग्रामिङ ल्याङ्ग्वेज ‘पीएचपी’ (PHP) मा दशकौँदेखि लुकेर बसेका दुई अत्यन्तै संवेदनशील तथा गम्भीर सुरक्षा त्रुटि भेटिएपछि यतिबेला विश्व प्रविधि जगत तरङ्गित बनेको छ। सम्भावित ठूलो साइबर आक्रमणबाट जोगिन नेपाल सरकारले आफ्ना अधिकांश सरकारी वेबसाइटहरू अस्थायी रूपमा अफलाइन राखेको छ भने युरोप लगायत विश्वका धेरै देशहरूमा पनि उच्च सतर्कता अपनाइएको छ।
मानव आँखा र परम्परागत सेक्युरिटी टुलहरूले दशकौँसम्म पत्ता लगाउन नसकेका यी सूक्ष्म र जटिल त्रुटिहरू आर्टिफिसियल इन्टेलिजेन्स (AI) को मद्दतले पहिचान गरिएका हुन्।
कसरी पत्ता लाग्यो दशकौँ पुरानो खोट?
सुरक्षा अनुसन्धान संस्था ‘क्यालिफ’ ले एआई निर्माता ‘ओपनएआई’ सँगको सहकार्यमा गत ११ अगस्टमा पहिलो त्रुटि पहिचान गरेको थियो। यसका लागि ओपनएआईको अत्याधुनिक 'GPT-5.6 Soul' मोडल प्रयोग गरिएको थियो। त्यसैगरी, गुगलको मातृ कम्पनी अल्फाबेटको स्वामित्वमा रहेको साइबर सुरक्षा कम्पनी ‘विज’ (Wiz) ले पनि आफ्नै एआई मोडलको सहयोगमा २४ अगस्टमा दोस्रो त्रुटि फेला पारेको हो।
सफ्टवेयर इतिहासकै सबैभन्दा गम्भीर मानिएका यी कमजोरीहरू वर्षौँदेखि पीएचपीको भित्री कोडमा विद्यमान थिए। तर, त्यसको दुरुपयोग गरेर सर्भर ह्याक गर्न सकिन्छ भन्ने कुरा प्रमाणित गर्न मानव अनुसन्धानकर्ताको सामान्य क्षमताभन्दा बाहिरको जटिल प्रक्रिया आवश्यक पर्थ्यो। AI ले निम्न तरिकाबाट यो जटिल खोट पत्ता लगाएको हो:
जटिल लजिक र context को गहिरो अध्ययन: एआईले मानिसले जस्तै कोडको मर्म र संरचना (Logic and Context) लाई एकैपटक विश्लेषण गर्छ। यसले परम्परागत टुलहरूले नदेख्ने गहिरो कोड स्ट्रक्चरभित्र छिरेर काम गर्छ।
Static Code Analysis र थ्रेट म्यापिङ: एआईले कोड रन नगराईकनै त्यसको ढाँचा अध्ययन गर्छ र OWASP मानक अनुसार सम्भावित Unauthenticated Remote Code Execution (RCE) जस्ता ठूला सुरक्षा छिद्रहरू पत्ता लगाउँछ।
मेमोरी र डेटाबेस बोटलनेक पहिचान: डेटाबेस र सर्भरमा हुने गम्भीर मेमोरी लिक, अनस्यानिटाइज्ड इनपुट र सिस्टम लेभलका कमान्ड चलाउन सकिने जोखिमलाई एआईले सेकेन्डभरमै समात्न सफल भयो।
जोखिमको प्रकृति र गम्भीरता
अन्तर्राष्ट्रिय साइबर सुरक्षा मापदण्ड ‘CVSS v4.0’ अनुसार यस त्रुटिलाई १० मा ९.२ अङ्क (चरम जोखिमपूर्ण) दिइएको छ। युरोपेली युनियनको साइबर सेक्युरिटी रेस्पोन्स टिम (CERT-EU) का अनुसार यो Unauthenticated Remote Code Execution हो, जसको अर्थ कुनै पनि युजरनेम वा पासवर्ड नभएको अवस्थामा पनि ह्याकरले इन्टरनेटमार्फत जोखिमयुक्त सर्भरमा मनपरी कमान्ड चलाएर पूर्ण नियन्त्रण लिन सक्छन्।
विश्वका झन्डै ७० प्रतिशत वेबसाइटहरू पीएचपीमा आधारित छन् र लोकप्रिय CMS 'वर्डप्रेस' (WordPress) को मुख्य इन्जिन नै पीएचपी हो। यसले गर्दा साना-ठूला व्यवसाय, समाचार पोर्टलदेखि सरकारी निकायका लाखौँ सर्भरहरू एकैपटक उच्च जोखिममा परेका छन्।
विश्वव्यापी प्रभाव र नेपालको स्थिति
नेपालमा असर: नेपाल सरकारले आफ्ना अधिकांश सरकारी पोर्टलहरू बन्द गरी सुरक्षा सुदृढीकरण र एड्भाइजरी जारी गरेको छ।
अन्तर्राष्ट्रिय प्रतिक्रिया: युरोपेली युनियन (EU) ले तुरुन्तै प्याच (Patch) गर्न नसक्ने संस्थाहरूलाई वेबसाइट अफलाइन नै राख्न कडा चेतावनी दिएको छ। अमेरिकी राष्ट्रपति डोनाल्ड ट्रम्पको प्रशासनले पनि यस विषयलाई गम्भीर रूपमा लिँदै सङ्घीय निकाय र अग्रणी एआई ल्याबहरूसँग समन्वय गरी समाधान प्याच सार्वजनिक गर्न सहजीकरण गरिरहेको छ।
समस्या समाधानका लागि के गर्ने? (डेभलपर तथा IT विज्ञहरूका लागि सुझाव)
यदि तपाईंको प्रणाली वा वेबसाइट पीएचपीमा आधारित छ भने, प्रविधि विज्ञहरूले निम्न तत्काल र दीर्घकालीन कदमहरू चाल्न सुझाव दिएका छन्:
आधिकारिक सेक्युरिटी प्याच (Patch) तुरुन्त अपडेट गर्ने: पीएचपी र वर्डप्रेस टोलीले जारी गर्ने आधिकारिक सेक्युरिटी अपडेटहरू तुरुन्तै लागू गर्ने।
Input Validation र Prepared Statements को प्रयोग: SQL Injection र XSS Attack बाट बच्न सधैँ PDO (PHP Data Objects) र इनपुट फिल्टरिङ (Sanitization) कडा बनाउने।
आधुनिक पीएचपी भर्सनमा अपग्रेड गर्ने: पुराना Deprecated फसनहरू हटाएर नयाँ सुरक्षित PHP भर्सन (PHP 8.2+) मा स्विच हुने।
Automated Static Analysis टुलहरू प्रयोग गर्ने: आफ्नो कोड बेसमा यस्ता छिद्रहरू छन् कि छैनन् भनेर हेर्न PHPStan, Psalm, वा PHP_CodeSniffer जस्ता टुलहरूबाट नियमित कोड रिभ्यु गर्ने।
Caching र Firewall अप्टिमाइज गर्ने: सर्भरको सुरक्षाका लागि Cloudflare वा Web Application Firewall (WAF) को प्रयोग गरी असम्बन्धित वा शङ्कास्पद ट्राफिक रोक्ने।
