क्या हुआ
21 अक्टूबर 2026 को PHP ने CVE-2026-109618 और CVE-2026-109619 के सुधार जारी किए, जिन्हें मिलकर PHP2Shell कहा जाता है। इन खामियों से हमलावर प्रभावित वेब सर्वर पर बिना लॉग इन किए कोड चला सकता है। PHP की आधिकारिक सुरक्षा सलाह में प्रभावित इंस्टॉलेशन और अपडेट की जानकारी है। NSA ने संचालकों को सलाह दी कि वे जल्दी पैच लगाएँ और अगर सिस्टम सुरक्षित नहीं कर सकते, तो प्रभावित सिस्टम को ऑफ़लाइन करने पर विचार करें। एहतियात के लिए सिस्टम बंद करना अपने आप में सेंध का सबूत नहीं है। संचालकों को इस लेख को पैच लगाने की चेकलिस्ट मानने के बजाय विक्रेता के मौजूदा निर्देश और बाद में जारी सलाह भी देखनी चाहिए।
आपके डेटा के लिए इसका क्या मतलब है
सीधा जोखिम उन सेवाओं को है जो खामी वाले PHP इंस्टॉलेशन चलाती हैं, और उस जानकारी को है जिसे वे पढ़ सकती हैं। यह इस बात का सबूत नहीं कि हर ऑनलाइन स्टोरेज असुरक्षित है या आपकी फ़ाइलें लीक हो गई हैं। विज़िटर के तौर पर आप प्रदाता के सर्वर पर पैच नहीं लगा सकते। आप अपलोड सीमित कर सकते हैं, अपना सॉफ़्टवेयर अपडेट रख सकते हैं और प्रदाता की आधिकारिक सुरक्षा सूचनाएँ देख सकते हैं। खाता प्रभावित हो तो प्रामाणिकता जाँचने के बाद निर्देशों का पालन करें। अचानक आए संदेशों में पासवर्ड रीसेट लिंक न खोलें; सेवा पर सीधे जाएँ। जिन फ़ाइलों को खोना बर्दाश्त नहीं कर सकते, उनका अलग बैकअप रखें।
एन्क्रिप्शन कहाँ मदद करता है और कहाँ नहीं
अपलोड से पहले डिवाइस पर फ़ाइलें एन्क्रिप्ट करने और कुंजियाँ सर्वर से अलग रखने से, सेव की गई कॉपी चोरी होने पर उसकी सामग्री सुरक्षित रखने में मदद मिलती है। लेकिन इससे सर्वर में हर सेंध बेअसर नहीं हो जाती: हमलावर मेटाडेटा देख सकते हैं, फ़ाइलें मिटा सकते हैं या वेब ऐप से आपके ब्राउज़र को भेजा जाने वाला कोड बदल सकते हैं। यह कोड ऐप इस्तेमाल करते समय कुंजियाँ चुरा सकता है, जैसा कि Proton के सुरक्षा मॉडल में बताया गया है। मज़बूत एन्क्रिप्शन के साथ सुरक्षित डिवाइस और भरोसेमंद सॉफ़्टवेयर भी ज़रूरी हैं। जो फ़ाइलें सिर्फ़ आपके डिवाइस पर हैं, वे किसी ऐसी सेवा में सेंध लगने से उजागर नहीं होंगी जहाँ उन्हें कभी अपलोड ही नहीं किया गया।
तय करें कि क्या सिर्फ़ डिवाइस पर रहेगा
आप सॉफ़्टवेयर की हर खामी नहीं रोक सकते, लेकिन निजी फ़ाइलें कहाँ रखी जाएँ, यह चुन सकते हैं। Sealby आपके डिवाइस पर वॉल्ट की सामग्री एन्क्रिप्ट करता है। अगर सामग्री अपलोड नहीं करना चाहते, तो वॉल्ट को सिर्फ़ डिवाइस पर रखें। एन्क्रिप्टेड iCloud सिंक वैकल्पिक है और सेटिंग्स में हर वॉल्ट के लिए अलग से चालू किया जाता है। सिंक चालू करने या एन्क्रिप्टेड बैकअप बनाने पर डिवाइस के बाहर भी कॉपी रह सकती हैं। उनकी सुरक्षा के लिए अनलॉक करने की जानकारी और रिकवरी फ़्रेज़ सुरक्षित रखना ज़रूरी है। एन्क्रिप्शन पहले से खुले वॉल्ट को उस व्यक्ति से नहीं बचाता जो आपके डिवाइस को नियंत्रित कर रहा हो, और न ही दूसरे ऐप या क्लाउड सेवाओं में छोड़ी गई मूल फ़ाइलें मिटाता है।