අන්තර්ජාලයේ අඩිතාලම බඳු PHP පරිගණක භාෂාවේ හඳුනාගත් බරපතළ ආරක්ෂක දුර්වලතා ද්විත්වයක් හේතුවෙන් අද (ඔක්තෝබර් 21) ලොව පුරා රටවල් රැසක රාජ්‍ය හා ප්‍රමුඛ වෙබ් අඩවි රැසක් පූර්වාරක්ෂක පියවරක් ලෙස අක්‍රිය කර දැමීමට බලධාරීහු පියවර ගත්හ. "PHP2Shell" ලෙස නම් කර ඇති මෙම දුර්වලතා CVSS දර්ශකයේ 9.2 ක අතිශය ඉහළ අවදානම් අගයකින් සලකුණු කර ඇති අතර, කිසිදු මුරපදයක් හෝ පිවිසුම් අවසරයකින් තොරව සේවාදායක පරිගණක (servers) වල පාලනය දුරස්ථව අත්පත් කරගැනීමට (Remote Code Execution) ප්‍රහාරකයන්ට මෙයින් අවස්ථාව සැලසේ.
WordPress, Drupal, Joomla, Magento, MediaWiki සහ Laravel ඇතුළු ලොව පුරා ප්‍රමුඛ පද්ධති ගණනාවක ක්‍රියාකාරීත්වය රඳා පවතින සේවාදායක පාර්ශ්වීය භාෂාව වන්නේ PHP ය. සේවාදායක භාෂාව ප්‍රසිද්ධ කර ඇති වෙබ් අඩවි අතුරින් ආසන්න වශයෙන් 70% ක පමණ ප්‍රමාණයකටත්, WordPress හරහා පමණක් මුළු වෙබ් අඩවි වලින් 40% කට අධික ප්‍රමාණයකටත් මෙම අවදානමේ බලපෑම එල්ල විය හැකි බව ගණන් බලා ඇත.
CVE-2026-109618 සහ CVE-2026-109619 ලෙස නම් කර ඇති මෙම දෝෂ ද්විත්වය PHP එන්ජිමේ පවතින මතක-ආරක්ෂණ (memory-safety) ගැටලු දෙකකි. මින් එකක් ඉල්ලීම් හැසිරවීමේදී සිදුවන මතකය ඉක්මවා යාම (OOM) නිසා මතකය දූෂණය වීමක් වන අතර, අනෙක මතකය නිදහස් කිරීමෙන් පසුවද ඉතිරිවන අභ්‍යන්තර දත්ත තත්ත්වයන් (stale internal state) හා සම්බන්ධ වේ. පෙරනිමි සැකසුම්වල පවතින session upload progress සහ ඒ හා සබැඳි මාර්ග කෙරෙහි බලපාන මෙම දෝෂය, දළ වශයෙන් 2012/2004 යුගයේ මුල් ඇති PHP 5.4 සංස්කරණයේ සිට 8.5.11 දක්වා වන සියලුම ක්‍රියාකාරී සංස්කරණවලට පාහේ බලපායි. ඇතැම් පද්ධතිවල වෙබ් අඩවියේ මූලික කේත ක්‍රියාත්මක වීමටත් පෙරම මෙම ප්‍රහාරය ක්‍රියාත්මක විය හැකි අතර, Apache mod_php භාවිතයේදී මෙහි උපරිම අවදානමක් පවතී. ඊට අමතරව PHP-FPM, php-cgi, FrankenPHP සහ LiteSpeed වැනි සැකසුම් කෙරෙහිද මෙහි සෘජු බලපෑම එල්ල වී තිබේ.
මෙම අර්බුදය හමුවේ ලොව පුරා ප්‍රධාන පෙළේ ආරක්ෂක ආයතන වන එක්සත් රාජධානියේ NCSC, යුරෝපා සංගමයේ CERT-EU, ඕස්ට්‍රේලියාවේ ACSC සහ එක්සත් ජනපදයේ NSA ආයතන වහාම නිවේදන නිකුත් කරමින් දැනුම් දුන්නේ තම පද්ධති කඩිනමින් යාවත්කාලීන කරන ලෙස හෝ එසේ කිරීමට නොහැකි නම් පද්ධති අන්තර්ජාලයෙන් ඉවත් කර අක්‍රිය කර තබන ලෙසයි.
මෙම අනතුරු ඇඟවීමත් සමග විශේෂයෙන්ම රාජ්‍ය සහ මහජන ආයතන තම වෙබ් සේවාවන් කඩිනමින් වසා දැමීමට පෙළඹිණි. ෆින්ලන්තයේ රාජ්‍ය තොරතුරු තාක්ෂණ මධ්‍යස්ථානය වන Valtori විසින් ජාතික ඉඩම් මැනුම් සේවාව ඇතුළු රාජ්‍ය මහජන වෙබ් සේවා රැසක් ක්‍රියා විරහිත කෙරිණි. නෙදර්ලන්තයේ තත්ත්වය වඩාත් කැපී පෙනුණු අතර එරට NCSC හි නිල වෙබ් අඩවිය, පාර්ලිමේන්තුවේ පහළ මන්ත්‍රී මණ්ඩලය (Tweede Kamer), Overheid.nl, රොටර්ඩෑම් වරාය, ජාතික පාපන්දු සම්මේලනය (KNVB), ප්‍රධාන දේශපාලන පක්ෂ මෙන්ම රෝහල් වෙබ් අඩවි රැසක්ම අක්‍රිය කෙරිණි.
ප්‍රංශයේ අභ්‍යන්තර කටයුතු අමාත්‍යාංශය විසින් ප්‍රාදේශීය පරිපාලන වෙබ් අඩවි අක්‍රිය කළ අතර, ජර්මනියේ ෆෙඩරල් IT ආයතනයක් වන ITZBund පූර්වාරක්ෂක පියවරක් ලෙස වෙබ් අඩවි කිහිපයක් වසා දැමුවේ කිසිදු අනතුරක් වාර්තා නොවූ පසුබිමකය. බෙල්ජියමේ විදේශ අමාත්‍යාංශ වෙබ් අඩවිවලට ප්‍රහාර එල්ල කිරීමට ගත් උත්සාහයන් පිළිබඳ වාර්තා මධ්‍යයේ ඒවා වසා දැමුණු අතර, එක්සත් රාජධානියේ එඩින්බර්ග් සහ ඔක්ස්ෆර්ඩ් නගර සභා, මෙට්‍රොපොලිටන් පොලිස් වෙබ් අඩවිය මෙන්ම BBC හි Doctor Who සහ The Traitors වැනි ඇතැම් වැඩසටහන් පිටුද ක්‍රියා විරහිත විය.
මීට අමතරව Wikimedia/Wikipedia පද්ධතිවල ඇතැම් කොටස් යාවත්කාලීන කිරීම සඳහා සීමා කෙරුණු අතර, Pinboard, Something Awful සංසදය මෙන්ම 4chan වෙබ් අඩවිය තාවකාලිකව කියවීමට පමණක් හැකි වන පරිදි සීමා කෙරිණි. ජපානයේ ළමා සුරැකුම් සහ දෙමාපිය සන්නිවේදන යෙදුමක් වන Codmon සම්පූර්ණයෙන්ම වසා දැමුණු අතර Studio වෙබ් නිර්මාණ මෙවලම් සහ Sakura Internet හි ඇතැම් සේවාවන් ද සීමා විය. එසේම නින්ටෙන්ඩෝ ආශ්‍රිත සේවාවන්, යුරෝපයේ පාසල් සහ රෝහල් පද්ධති කිහිපයක් ද මෙලෙස අක්‍රිය වූ සේවාවන් අතර වේ. කෙසේ වෙතත්, ප්‍රධාන පෙළේ සමාජ මාධ්‍ය හෝ සෙවුම් යන්ත්‍ර වැනි දැවැන්ත වාණිජ වේදිකා පුළුල් ලෙස බිඳවැටීමකට ලක් නොවූ අතර මෙම විසන්ධිවීම් ප්‍රධාන වශයෙන්ම සංකේන්ද්‍රණය වූයේ රාජ්‍ය, මහජන සහ ස්වාධීන වේදිකා වෙතය.
මෙම අර්බුදකාරී ආරක්ෂක දුර්වලතාව අනාවරණය කරගෙන ඇත්තේ කෘත්‍රිම බුද්ධියේ (AI) පුළුල් දායකත්වයෙනි. Calif ආරක්ෂක සමාගමේ “Patch the Planet” ව්‍යාපෘතිය යටතේ OpenAI මාදිලි උපයෝගී කරගනිමින් සහ Wiz සමාගම විසින් Gemini/GPT මාදිලි ආශ්‍රයෙන් ස්වාධීනව මෙය සොයාගෙන තිබේ. කෙසේ වෙතත්, නිල වශයෙන් පිළියම් නිකුත් කිරීමට පෙර මෙම දෝෂය පිළිබඳ තොරතුරු කලින්ම කාන්දු වීම හේතුවෙන් ප්‍රහාර එල්ල වීමේ මූලික සලකුණු වාර්තා වූ අතර, Cloudflare සමාගම එවැනි මුල් ක්‍රියාකාරකම් නිරීක්ෂණය කරමින් තාවකාලික පියවරක් ලෙස ආරක්ෂක ෆයර්වෝල් (firewall) නීති යාවත්කාලීන කිරීමට කටයුතු කළේය.
අද දින යූටීසී වේලාවෙන් 14:00 ට (නැගෙනහිර වේලාවෙන් පෙ.ව. 10:00 ට) පමණ නිල ආරක්ෂක යාවත්කාලීන කිරීම් ලෙස PHP 8.5.12, 8.4.27, 8.3.36 සහ 8.2.35 නිකුත් කරනු ලැබීය. එහෙත් PHP 8.1 සහ ඊට පැරණි සංස්කරණ සඳහා නිල සහාය අවසන් වී ඇති බැවින් (end-of-life) ඒවාට නිල ආරක්ෂක විසඳුම් නිකුත් නොවන අතර, සීමිත මූල කේත ප්‍රතිසංස්කරණ (backports) කිහිපයක් පමණක් පවතී. පැරණි සංස්කරණ යාවත්කාලීන නොකිරීම දිගුකාලීන අවදානමක් ලෙස පවතින බවද සඳහන් වේ.
php.net වෙබ් අඩවියෙන් සහ ලිනක්ස් බෙදාහැරීම් හරහා මේ වන විටත් නිල විසඳුම් ලබාගත හැකි අතර, වෙබ් අඩවි හිමිකරුවන් සහ සත්කාරක සේවා (hosting providers) සපයන්නන් PHP ධාවන පද්ධතියම (runtime) යාවත්කාලීන කර Apache හෝ PHP-FPM පද්ධති යළි පණගැන්විය යුතුය. මෙම දෝෂය පද්ධති එන්ජිමේම පවතින බැවින් සාමාන්‍ය මෘදුකාංග මට්ටමේ හෝ CMS නඩත්තු පියවර මගින් මෙය සම්පූර්ණයෙන් සමනය කළ නොහැකි බවත්, සාමාන්‍ය වෙබ් පරිශීලකයන්ට මෙහිදී කිසිදු පියවරක් ගැනීමට අවශ්‍ය නොවන නමුත් පද්ධති ක්‍රියාකරුවන්ට මෙහි සම්පූර්ණ වගකීම පැවරෙන බවත් අවධාරණය කෙරේ.