දශකයකට වැඩි කාලයක් සැඟව තිබූ තාක්ෂණික දෝෂයක් AI මගින් අනාවරණය වෙයි: ගෝලීය සයිබර් ආරක්ෂණ රතු එළියක්!
වසර දහයකට වැඩි කාලයක් පුරා අන්තර්ජාලයේ පැවැත්මට පදනම් වූ ප්‍රධාන තාක්ෂණික පද්ධතියක පැවැති බරපතල දෝෂයක් කිසිවෙකුගේ අවධානයට ලක් නොවී සැඟවී තිබුණි.
කෙසේ වෙතත්, කෘත්‍රිම බුද්ධිය (AI) මගින් මෙම දෝෂය අනාවරණය කර ගැනීමට හැකිවීමත් සමඟ මේ වන විට ගෝලීය සයිබර් ආරක්ෂණ ක්ෂේත්‍රය තුළ විශාල කැළඹීමක් හටගෙන තිබේ.වෙබ් අඩවි නිර්මාණයේදී දශක ගණනාවක් පුරා බහුලව භාවිත වන PHP නමැති Server-side ක්‍රමලේඛන භාෂාවේ (programming language) පවතින මෙම දුර්වලතාවය පිළිබඳව පර්යේෂකයන් අනතුරු අඟවා සිටින්නේ, PHP භාවිත කරන වෙබ් අඩවි සහ පද්ධති සයිබර් ප්‍රහාරවලට ලක්වීමේ දැඩි අවදානමක් පවතින බවයි.
මෙම තත්ත්වයත් සමඟ ක්‍රියාත්මක වූ ලොව පුරා රාජ්‍යයන් සහ සයිබර් ආරක්ෂණ ආයතන, තම වෙබ් අඩවි මෙයින් බලපෑමට ලක්ව ඇත්දැයි වහාම පරීක්ෂා කරන ලෙසත්, අදාළ යාවත්කාලීන කිරීම් (patches) සිදුකරන ලෙසත්, නැතහොත් වෙබ් අඩවි තාවකාලිකව අක්‍රිය (offline) කරන ලෙසත් වෙබ් අඩවි හිමියන්ගෙන් ඉල්ලා සිටී.
'php2shell' ලෙස නම් කර ඇති මෙම දෝෂය භාවිත කරමින් මෙතෙක් සාර්ථක සයිබර් ප්‍රහාරයක් එල්ල වූ බවට වාර්තා වී නොමැති වුවද, පසුගිය දින කිහිපය තුළ ලොව පුරා බොහෝ වෙබ් අඩවි සහ සේවාවන් තාවකාලිකව අත්හිටුවීමට සිදුවිය.
PHP යනු කුමක්ද?
බොහෝ දෙනෙකු 'PHP' යන නම අසා නොතිබුණද, දිනපතා අන්තර්ජාලය භාවිත කිරීමේදී ඔවුන් ඊට නිරාවරණය වේ.
PHP (Hypertext Preprocessor) යනු වෙබ් සර්වර් (web server) තුළ ක්‍රියාත්මක වන open-source, back-end ක්‍රමලේඛන භාෂාවකි. 1990 ගණන්වල මුල් භාගයේදී නිර්මාණය වූ මෙය, වර්තමානයේදී පවා Wikipedia, WordPress ඇතුළු ලොව පුරා අන්තර්ජාල වෙළඳසැල් සහ වෙබ් අඩවි විශාල සංඛ්‍යාවක පදනම ලෙස ක්‍රියා කරයි. ඔබ වෙබ් අඩවියකට පිවිසෙන විට, එහි දත්ත එක්රැස් කර ඔබට කියවිය හැකි පිටුවක් බවට පත්කරන්නේ PHP මගිනි.
සයිබර් ආරක්ෂණ ආයතනයක් වන Wiz හි දත්තවලට අනුව, ලෝකයේ වෙබ් අඩවිවලින් 70%ක්ම බලගැන්වෙන්නේ PHP මගිනි.
පර්යේෂකයන් පෙන්වා දෙන්නේ පසුගිය වසර 10 පුරා නිකුත් වූ PHP සංස්කරණවල මෙම දෝෂය පැවැති බවයි. හැකර්වරුන්ට මෙමගින් අදාළ වෙබ් සර්වරයේ සම්පූර්ණ පාලනය ලබාගෙන සංවේදී දත්ත සොරාගැනීමේ හැකියාව පවතී.
තවද, AI තාක්ෂණය භාවිතයෙන් මෙවැනි ප්‍රහාර එල්ල කිරීම වඩාත් වේගවත් හා පහසු විය හැකි බව සයිබර් ආරක්ෂණ විශේෂඥයෝ පෙන්වා දෙති. මෙමගින් වෙබ් අඩවි මිලියන ගණනකට බලපෑම් එල්ල විය හැක.
Wikimedia ආයතනය පූර්වාරක්ෂක පියවරක් ලෙස සිය පද්ධති කිහිපයක් අක්‍රිය කළේය.
ෆින්ලන්ත රජය, එඩින්බර්ග් නගර සභාව, BBC හි ඇතැම් වෙබ් පිටු සහ නෙදර්ලන්තයේ සයිබර් ආරක්ෂණ ආයතනයේ වෙබ් අඩවිය තාවකාලිකව වසා දැමීමට සිදුවිය.
බ්‍රිතාන්‍ය රජය විසින් පූර්වාරක්ෂක පියවරක් ලෙස සිය වෙබ් අඩවි 32ක් තාවකාලිකව අක්‍රිය කරන ලදී.
ජපානයේ SoftBank Corp සමාගම විසින් භූමිකම්පා සහ සුනාමි පිළිබඳ හදිසි අනතුරු ඇඟවීම් නිකුත් කරන සේවාව තාවකාලිකව අත්හිටුවීමට පියවර ගත්තේය.
Cloudflare ආයතනයේ ප්‍රධානී මැතිව් ප්‍රින්ස් (Matthew Prince) ප්‍රකාශ කළේ, මෙම දෝෂය පිළිබඳව ප්‍රසිද්ධ කිරීමට පැය කිහිපයකට පෙර සිටම තම ජාලයට එරෙහිව ප්‍රහාර එල්ල කිරීමේ උත්සාහයන් ලක්ෂ ගණනින් වාර්තා වූ බවයි.
"මෙම දෝෂ අලුත් ඒවා නෙවෙයි, වෙනස් වුණේ ඒවා සොයා ගැනීමට අපට තිබූ හැකියාවයි," යැයි පර්යේෂකයෝ පෙන්වා දෙති. මෙම සිදුවීම මගින් AI තාක්ෂණයට සයිබර් දෝෂයන් සොයාගැනීමට ඇති හැකියාව මෙන්ම, ප්‍රහාරකයන්ට ප්‍රහාරාත්මක මෙවලම් තැනීමට ඇති හැකියාවද පෙන්නුම් කරන බව OpenAI සමාගම සඳහන් කළේය.
නමුත් WordPress ඇතුළු PHP භාවිතයෙන් වෙබ් අඩවි පවත්වාගෙන යන කුඩා ව්‍යාපාරිකයන් සහ වෙබ් අඩවි හිමියන් වහාම ක්‍රියාත්මක වී සිය PHP පද්ධතිය අලුත්ම සංස්කරණයට යාවත්කාලීන (update/patch) කළ යුතුය.
මෙහිදී සැලකිය යුතු ප්‍රධාන කරුණ වන්නේ WordPress හෝ එහි Plugins යාවත්කාලීන කිරීමෙන් පමණක් මෙම දෝෂය නිවැරදි නොවන අතර, සර්වරයේ පවතින PHP මෘදුකාංගයම යාවත්කාලීන කළ යුතු බවයි.
තවද, ඉදිරි දිනවලදී මෙම සිදුවීම මුල් කරගෙන එන ව්‍යාජ විද්‍යුත් තැපැල් (Phishing emails) පිළිබඳව අවධානයෙන් සිටින ලෙසත්, පද්ධතිවලින් ලැබෙන ආරක්ෂක උපදෙස් පිළිපදින ලෙසත් සයිබර් ආරක්ෂණ විශේෂඥයෝ ජනතාවට උපදෙස් දෙති.
PHP (Hypertext Preprocessor) යනු වෙබ් සර්වර් (web server) තුළ ක්‍රියාත්මක වන open-source, back-end ක්‍රමලේඛන භාෂාවකි. 1990 ගණන්වල මුල් භාගයේදී නිර්මාණය වූ මෙය, වර්තමානයේදී පවා Wikipedia, WordPress ඇතුළු ලොව පුරා අන්තර්ජාල වෙළඳසැල් සහ වෙබ් අඩවි විශාල සංඛ්‍යාවක පදනම ලෙස ක්‍රියා කරයි. ඔබ වෙබ් අඩවියකට පිවිසෙන විට, එහි දත්ත එක්රැස් කර ඔබට කියවිය හැකි පිටුවක් බවට පත්කරන්නේ PHP මගිනි.
සයිබර් ආරක්ෂණ ආයතනයක් වන Wiz හි දත්තවලට අනුව, ලෝකයේ වෙබ් අඩවිවලින් 70%ක්ම බලගැන්වෙන්නේ PHP මගිනි.
අනාවරණය වූ දෝෂය කෙතරම් බරපතලද?
පර්යේෂකයන් විසින් PHP පද්ධතිය තුළ CVE-2026-109618 සහ CVE-2026-109619 ලෙස දැක්වෙන තාක්ෂණික දෝෂ දෙකක් අනාවරණය කරගෙන ඇත. සයිබර් ආරක්ෂණ වර්ගීකරණයට අනුව ඊට 10න් 9.2ක ඉහළ බරපතලකමක් හිමිව තිබේ.පර්යේෂකයන් පෙන්වා දෙන්නේ පසුගිය වසර 10 පුරා නිකුත් වූ PHP සංස්කරණවල මෙම දෝෂය පැවැති බවයි. හැකර්වරුන්ට මෙමගින් අදාළ වෙබ් සර්වරයේ සම්පූර්ණ පාලනය ලබාගෙන සංවේදී දත්ත සොරාගැනීමේ හැකියාව පවතී.
තවද, AI තාක්ෂණය භාවිතයෙන් මෙවැනි ප්‍රහාර එල්ල කිරීම වඩාත් වේගවත් හා පහසු විය හැකි බව සයිබර් ආරක්ෂණ විශේෂඥයෝ පෙන්වා දෙති. මෙමගින් වෙබ් අඩවි මිලියන ගණනකට බලපෑම් එල්ල විය හැක.
බලපෑමට ලක්වූ වෙබ් අඩවි සහ සේවාවන්
ඔක්තෝබර් 21 වැනිදා නිකුත් වූ මෙම රතු එළියත් සමඟ ලොව පුරා රාජ්‍ය පෝටල, ක්‍රීඩා පද්ධති සහ අන්තර්ජාල වේදිකා රැසක සේවාවලට බාධා පැමිණියේය.Wikimedia ආයතනය පූර්වාරක්ෂක පියවරක් ලෙස සිය පද්ධති කිහිපයක් අක්‍රිය කළේය.
ෆින්ලන්ත රජය, එඩින්බර්ග් නගර සභාව, BBC හි ඇතැම් වෙබ් පිටු සහ නෙදර්ලන්තයේ සයිබර් ආරක්ෂණ ආයතනයේ වෙබ් අඩවිය තාවකාලිකව වසා දැමීමට සිදුවිය.
බ්‍රිතාන්‍ය රජය විසින් පූර්වාරක්ෂක පියවරක් ලෙස සිය වෙබ් අඩවි 32ක් තාවකාලිකව අක්‍රිය කරන ලදී.
ජපානයේ SoftBank Corp සමාගම විසින් භූමිකම්පා සහ සුනාමි පිළිබඳ හදිසි අනතුරු ඇඟවීම් නිකුත් කරන සේවාව තාවකාලිකව අත්හිටුවීමට පියවර ගත්තේය.
Cloudflare ආයතනයේ ප්‍රධානී මැතිව් ප්‍රින්ස් (Matthew Prince) ප්‍රකාශ කළේ, මෙම දෝෂය පිළිබඳව ප්‍රසිද්ධ කිරීමට පැය කිහිපයකට පෙර සිටම තම ජාලයට එරෙහිව ප්‍රහාර එල්ල කිරීමේ උත්සාහයන් ලක්ෂ ගණනින් වාර්තා වූ බවයි.
AI මෙයට සම්බන්ධ වූයේ කෙසේද?
Calif සහ Wiz හි පර්යේෂකයන් විසින් මෙම දෝෂයන් සොයා ගැනීම සඳහා OpenAI සමාගමේ නවීන AI මෙවලම් භාවිත කර ඇත. මිනිසුන්ට හෝ පැරණි පද්ධතිවලට වඩා ඉතා වේගයෙන් පරිගණක කේත (code) විශ්ලේෂණය කර දෝෂ සොයා ගැනීමට මෙම AI මෙවලම්වලට හැකියාව තිබුණි."මෙම දෝෂ අලුත් ඒවා නෙවෙයි, වෙනස් වුණේ ඒවා සොයා ගැනීමට අපට තිබූ හැකියාවයි," යැයි පර්යේෂකයෝ පෙන්වා දෙති. මෙම සිදුවීම මගින් AI තාක්ෂණයට සයිබර් දෝෂයන් සොයාගැනීමට ඇති හැකියාව මෙන්ම, ප්‍රහාරකයන්ට ප්‍රහාරාත්මක මෙවලම් තැනීමට ඇති හැකියාවද පෙන්නුම් කරන බව OpenAI සමාගම සඳහන් කළේය.
පාරිභෝගිකයන් සහ වෙබ් අඩවි හිමියන් කළ යුත්තේ කුමක්ද?
මෙම දෝෂය වෙබ් අඩවිවල back-end පද්ධතිවලට අදාළ වන බැවින් සාමාන්‍ය අන්තර්ජාල පරිශීලකයන්ට සෘජුවම කිසිවක් කිරීමට අවශ්‍ය නොවේ.නමුත් WordPress ඇතුළු PHP භාවිතයෙන් වෙබ් අඩවි පවත්වාගෙන යන කුඩා ව්‍යාපාරිකයන් සහ වෙබ් අඩවි හිමියන් වහාම ක්‍රියාත්මක වී සිය PHP පද්ධතිය අලුත්ම සංස්කරණයට යාවත්කාලීන (update/patch) කළ යුතුය.
මෙහිදී සැලකිය යුතු ප්‍රධාන කරුණ වන්නේ WordPress හෝ එහි Plugins යාවත්කාලීන කිරීමෙන් පමණක් මෙම දෝෂය නිවැරදි නොවන අතර, සර්වරයේ පවතින PHP මෘදුකාංගයම යාවත්කාලීන කළ යුතු බවයි.
තවද, ඉදිරි දිනවලදී මෙම සිදුවීම මුල් කරගෙන එන ව්‍යාජ විද්‍යුත් තැපැල් (Phishing emails) පිළිබඳව අවධානයෙන් සිටින ලෙසත්, පද්ධතිවලින් ලැබෙන ආරක්ෂක උපදෙස් පිළිපදින ලෙසත් සයිබර් ආරක්ෂණ විශේෂඥයෝ ජනතාවට උපදෙස් දෙති.