महेश कोळी, आय.टी. तज्ज्ञ
डिजिटल जगाची जीवनवाहिनी असणार्‍या पीएचपी या संगणकीय प्रोग्रामिंग भाषेत दोन गंभीर सुरक्षा त्रुटी आढळल्याने सायबर सुरक्षेसमोर नवे आव्हान उभे राहिले आहे. याचे कारण, जगातील ७० टक्क्यांहून अधिक संकेतस्थळांचा पाया पीएचपीवर आधारित आहे. विशेष म्हणजे, या त्रुटींचा संबंध दशकभराहून अधिक जुन्या सॉफ्टवेअर आवृत्त्यांशी असल्याचे समोर आले आहे.
ऑनलाईन खरेदी, बँकिंग, माहितीची देवाणघेवाण आणि विविध डिजिटल सेवांसाठी वापरल्या जाणार्‍या अनेक संकेतस्थळांच्या मागे पीएचपी (हायपरटेक्स्ट प्रीप्रोसेसर) ही प्रोग्रामिंग भाषा कार्यरत असते. जगातील ७० टक्क्यांहून अधिक संकेतस्थळांचा पाया पीएचपीवर आधारित आहे. वापरकर्त्यांकडून आलेल्या माहितीवर प्रक्रिया करणे, माहिती साठवणूक प्रणालीशी संपर्क साधणे आणि संकेतस्थळावरील विविध सेवा चालविणे अशी कामे या भाषेच्या माध्यमातून केली जातात. साहजिकच, पीएचपीच्या मूळ प्रणालीमध्ये सुरक्षा त्रुटी आढळल्यास त्याचा परिणाम एका संकेतस्थळापुरता मर्यादित राहत नाही. संबंधित सॉफ्टवेअरच्या असुरक्षित आवृत्त्यांचा वापर करणार्‍या अनेक संकेतस्थळांवर त्याचा परिणाम होण्याची शक्यता असते.
सायबर सुरक्षा क्षेत्रातील विझ रिसर्च या संस्थेने २१ ऑक्टोबर २०२६ रोजी पीएचपीमधील दोन गंभीर त्रुटींची माहिती जाहीर केली. या समस्येला ‘पीएचपीटूशेल’ असे नाव देण्यात आले आहे. सीव्हीई-२०२६-१०९६१८ आणि सीव्हीई-२०२६-१०९६१९ या क्रमांकांनी या त्रुटींची नोंद करण्यात आल्याचे संशोधकांनी म्हटले आहे. संगणकाच्या स्मृती व्यवस्थापनाशी संबंधित या त्रुटींचा गैरफायदा घेतल्यास हल्लेखोरांना संवेदनशील माहिती मिळविण्याची किंवा काही परिस्थितींमध्ये दूरस्थ संगणकावर अनधिकृत प्रोग्राम चालविण्याची संधी मिळू शकते. या प्रकारातील सर्वाधिक गंभीर धोका म्हणजे, दूरस्थ संगणकीय आदेशांची अंमलबजावणी. एखादा हल्लेखोर प्रत्यक्ष सर्व्हरजवळ उपस्थित नसतानाही इंटरनेटच्या माध्यमातून त्यावर स्वतःचा घातक प्रोग्राम चालवू शकतो. अशा हल्ल्यात संकेतस्थळावरील माहिती चोरणे, तिच्यात फेरफार करणे, सेवा बंद पाडणे किंवा संबंधित प्रणालीवरील नियंत्रण मिळविण्याचा प्रयत्न करणे शक्य होते. अर्थात, सुरक्षा त्रुटी अस्तित्वात आहे, याचा अर्थ प्रत्येक संकेतस्थळावर असा हल्ला यशस्वी होईलच असे नाही. त्यासाठी संबंधित प्रणालीची आवृत्ती, संरचना आणि इतर सुरक्षा व्यवस्थाही महत्त्वाच्या असतात.
या त्रुटींमुळे संकेतशब्द, वापरकर्त्यांची ओळख प्रमाणित करणारे डिजिटल संकेत आणि विविध संगणकीय सेवांना परस्परांशी जोडणार्‍या गोपनीय कळा उघड होण्याचा धोका संभवतो. अशा कळा चुकीच्या व्यक्तींच्या हाती लागल्यास संबंधित संकेतस्थळापुरताच धोका मर्यादित राहत नाही. त्याच्या माध्यमातून जोडलेल्या इतर सेवांमध्येही अनधिकृत प्रवेश करण्याचा प्रयत्न होऊ शकतो. त्यामुळे एका प्रणालीतील सुरक्षा त्रुटीचे परिणाम अनेक डिजिटल सेवांपर्यंत पोहोचण्याची शक्यता असते. या संशोधनात वर्डप्रेस, ड्रुपल आणि जूमला या लोकप्रिय संकेतस्थळ व्यवस्थापन प्रणालींवर संभाव्य हल्ल्यांची चाचणी करण्यात आल्याचे नमूद करण्यात आले आहे. या प्रणालींमध्येच दोष आहे, असा त्याचा अर्थ नाही. त्या ज्या पीएचपी आवृत्तीवर कार्यरत आहेत, तिच्यातील त्रुटींमुळे धोका निर्माण होऊ शकतो. विशेषतः पीएचपी ५.४ पासूनच्या जुन्या आवृत्त्यांचा वापर करणार्‍या आणि नियमित सुरक्षा सुधारणा न केलेल्या प्रणालींच्या बाबतीत अधिक दक्षता आवश्यक असल्याचे संशोधनातून सूचित होते.
या प्रकरणातील सर्वाधिक महत्त्वाचा पैलू म्हणजे कृत्रिम बुद्धिमत्तेची भूमिका. विझ रिसर्चच्या संशोधकांनी विझ अ‍ॅटलस, गुगलचे जेमिनी ४ आर्गान आणि ओपनएआयचे जीपीटी-५.६ सोल या प्रगत प्रणालींचा वापर केला. संगणकीय स्मृती व्यवस्थापनातील गुंतागुंतीच्या त्रुटी शोधणे, त्यांचे विश्लेषण करणे आणि संभाव्य हल्ल्यांची चाचणी घेणे यासाठी या तंत्रज्ञानाची मदत झाली. संशोधकांच्या मते, अत्यंत कुशल तज्ज्ञांच्या पथकाला अनेक महिने लागू शकणारे काही संशोधन या साधनांमुळे अल्पावधीत पूर्ण करणे शक्य झाले. अनेक वर्षे सॉफ्टवेअरमध्ये दडलेल्या त्रुटी शोधण्यासाठी कृत्रिम बुद्धिमत्ता प्रभावी साधन ठरू शकते, हे या घटनेने दाखवून दिले आहे. याची दुसरी बाजूही तितकीच चिंताजनक आहे. ज्या तंत्रज्ञानाच्या साहाय्याने संशोधक सुरक्षा त्रुटी शोधू शकतात, त्याच तंत्रज्ञानाचा गैरवापर करून सायबर गुन्हेगार हल्ल्यांचे नवे मार्ग शोधू शकतात. पूर्वी विशिष्ट तांत्रिक कौशल्य आणि दीर्घ संशोधनाची आवश्यकता असलेली कामे कृत्रिम बुद्धिमत्तेमुळे अधिक वेगाने होऊ शकतात. त्यामुळे सायबर सुरक्षा यंत्रणांना आता ज्ञात धोक्यांबरोबरच नव्याने शोधल्या जाणार्‍या त्रुटींचाही सातत्याने विचार करावा लागणार आहे.
सुरक्षेतील त्रुटींची अधिकृत माहिती जाहीर होण्यापूर्वीच संशयास्पद हालचाली आढळल्याने या प्रकरणाचे गांभीर्य वाढले. अमेझॉनच्या मॅडपॉट प्रणालीने १७ ऑक्टोबरलाच संभाव्य हल्ल्याचा प्रयत्न नोंदविला होता. त्यानंतर २१ ऑक्टोबरला अधिक प्रयत्न आढळले. एफ५ लॅब्सनेही अधिकृत माहिती जाहीर होण्यापूर्वी संशयास्पद तपासणी सुरू झाल्याचे नोंदविले. तथापि, हल्ल्याचे प्रयत्न आढळणे आणि प्रत्यक्ष यशस्वी घुसखोरी होणे यात फरक आहे. विझ रिसर्चने २७ ऑक्टोबरला प्रसिद्ध केलेल्या अहवालानुसार त्यांच्या निरीक्षणात काही प्रयत्न आढळले असले, तरी त्यापैकी एकही यशस्वी झाल्याचे स्पष्ट झाले नव्हते. पीएचपीच्या विकासकांनी या त्रुटी दूर करणार्‍या सुधारित आवृत्त्या उपलब्ध करून दिल्या. पीएचपी ८.२.३५, ८.३.३६, ८.४.२७ आणि ८.५.१२ या आवृत्त्यांमध्ये आवश्यक दुरुस्त्या करण्यात आल्या आहेत; पण जुन्या आवृत्त्या वापरणार्‍या संकेतस्थळांच्या व्यवस्थापकांनी अधिकृत सुरक्षा सुधारणा उपलब्ध आहेत का, याची तपासणी करणे आवश्यक आहे. कारण, संकेतस्थळाचे बाह्य स्वरूप किंवा त्यावरील व्यवस्थापन प्रणाली अद्ययावत असल्याने मूळ सर्व्हर सुरक्षित असल्याची खात्री देता येत नाही.
या घटनेतून डिजिटल जगासमोर एक मूलभूत प्रश्न उभा राहिला आहे. इंटरनेटवरील सेवा वेगाने विस्तारत असताना त्यांना आधार देणार्‍या जुन्या संगणकीय प्रणालींची सुरक्षा किती गांभीर्याने तपासली जाते? नवीन तंत्रज्ञान स्वीकारण्याच्या स्पर्धेत सॉफ्टवेअरची नियमित देखभाल आणि सुरक्षा सुधारणा यांकडे दुर्लक्ष झाल्यास त्याची किंमत लाखो वापरकर्त्यांना मोजावी लागू शकते. पीएचपीमधील या त्रुटींनी डिजिटल सुरक्षेतील एक महत्त्वाची वस्तुस्थिती अधोरेखित केली आहे. तंत्रज्ञान कितीही प्रगत झाले, तरी त्याच्या पायाभूत प्रणालींमधील दुर्लक्षित त्रुटी मोठे संकट निर्माण करू शकतात. कृत्रिम बुद्धिमत्तेच्या साहाय्याने अशा त्रुटी अधिक वेगाने शोधता येणार असल्या, तरी त्यांचा गैरवापर रोखण्यासाठी तितकीच सक्षम सुरक्षा व्यवस्था उभारावी लागणार आहे. कृत्रिम बुद्धिमत्ता डिजिटल सुरक्षेसाठी वरदान ठरणार की सायबर गुन्हेगारांच्या हाती नवे शस्त्र देणार, हा प्रश्न या निमित्ताने ऐरणीवर आला आहे.
‘पीएचपी’चा इतिहास
पीएचपी या प्रोग्रामिंग भाषेचा इतिहास इंटरनेटच्या सुरुवातीच्या विकासाशी जोडलेला आहे. १९९४ मध्ये डेन्मार्कमध्ये जन्मलेले कॅनेडियन संगणकतज्ज्ञ रास्मस लेडाॅर्फ यांनी स्वतःच्या वैयक्तिक संकेतस्थळावरील माहिती आणि भेट देणार्‍या वापरकर्त्यांच्या नोंदी व्यवस्थापित करण्यासाठी काही संगणकीय साधने विकसित केली. त्यातून पुढे पीएचपीची निर्मिती झाली. सुरुवातीला या तंत्रज्ञानाला ‘पर्सनल होम पेज टूल्स’ असे संबोधले जात होते. जून १९९५ मध्ये लेडॉर्फ यांनी हे तंत्रज्ञान सार्वजनिक वापरासाठी उपलब्ध करून दिले. पुढे संकेतस्थळांवरील माहितीवर प्रक्रिया करणे, ऑनलाईन अर्ज हाताळणे आणि माहिती साठवणूक प्रणालीशी संपर्क साधणे यांसारख्या सुविधा त्यात समाविष्ट झाल्या. त्यामुळे साध्या स्थिर संकेतस्थळांना अधिक कार्यक्षम आणि परस्परसंवादी बनविणे शक्य झाले. कालांतराने पीएचपीचे पूर्ण नाव ‘पीएचपी : हायपरटेक्स्ट प्रीप्रोसेसर’ असे प्रचलित झाले. इंटरनेटचा व्याप वाढत असताना सहज शिकता येणारी आणि विविध संगणकीय प्रणालींवर वापरता येणारी भाषा म्हणून पीएचपीला लोकप्रियता मिळाली. पीएचपीच्या विकासाला १९९७ मध्ये महत्त्वाचे वळण मिळाले. इस्रायली संगणकतज्ज्ञ झीव सुरास्की आणि अँडी गुटमन्स यांनी या भाषेच्या मूळ प्रणालीत व्यापक सुधारणा केल्या. त्यांच्या योगदानातून १९९८ मध्ये पीएचपी ३ ही आवृत्ती प्रसिद्ध झाली. पुढे त्यांनी विकसित केलेल्या झेड इंजिनच्या आधारे २००० मध्ये पीएचपी ४ उपलब्ध झाली. त्यानंतर २००४ मध्ये पीएचपी ५, २०१५ मध्ये पीएचपी ७ आणि २०२० मध्ये पीएचपी ८ या महत्त्वाच्या आवृत्त्या प्रसिद्ध झाल्या. वर्डप्रेस, ड्रुपल आणि जूमला यांसारख्या लोकप्रिय संकेतस्थळ व्यवस्थापन प्रणालींमुळे पीएचपीचा वापर मोठ्या प्रमाणावर वाढला. ब्लॉग, वृत्तसंस्थांची संकेतस्थळे, ऑनलाईन व्यापार आणि विविध डिजिटल सेवांच्या विकासात या भाषेने महत्त्वाची भूमिका बजावली. मुक्त स्रोत तंत्रज्ञान असल्यामुळे जगभरातील विकासकांना तिच्यात सुधारणा करण्याची संधी मिळाली. गेल्या तीन दशकांत इंटरनेटचे स्वरूप आमूलाग्र बदलले असले, तरी पीएचपीचे महत्त्व कायम आहे.