Binance के फाउंडर CZ ने इंटरनेट यूज़र्स को सतर्क रहने की सलाह दी है, क्योंकि शोधकर्ताओं को दो गंभीर PHP खामियां मिली हैं जिनका सक्रिय रूप से दुरुपयोग किया जा रहा है। ये खामियां WordPress और Magento जैसे प्लेटफॉर्म्स सहित इंटरनेट के करीब 70 प्रतिशत हिस्से को प्रभावित कर सकती हैं, जिससे यह क्रिप्टो और पूरे वेब दोनों के लिए इस साल की सबसे बड़ी सुरक्षा घटनाओं में से एक बन गई है।
दरअसल हुआ क्या
Binance फाउंडर CZ ने 23 अक्टूबर 2026 को एक चेतावनी पोस्ट करते हुए कहा कि आने वाले दिनों में वेबसाइट्स विज़िट करते समय सावधानी बरती जाए। उन्होंने बताया कि WordPress और Magento में व्यापक रूप से इस्तेमाल होने वाली PHP ने 21 अक्टूबर 2026 को दो गंभीर खामियां, CVE-2026-109618 और CVE-2026-109619, ठीक कीं। इनकी जानकारी आधिकारिक खुलासे से पहले ही लीक हो गई, और इसके लगभग तुरंत बाद इनका शोषण शुरू हो गया। Amazon की थ्रेट इंटेलिजेंस टीम ने सार्वजनिक पैच से भी पहले, 17 अक्टूबर 2026 को ही एक्सप्लॉइटेशन के प्रयास पकड़ लिए थे। Palo Alto Networks ने दुनियाभर में 2.26 करोड़ से ज्यादा एक्सपोज़्ड इंस्टेंस गिने। Wiz के शोधकर्ताओं का अनुमान है कि इन खामियों से इंटरनेट का करीब 70 प्रतिशत हिस्सा प्रभावित हो सकता है, और उन्होंने इस अंतर्निहित समस्या को एक दशक से भी पुराना बताया। NCC Group के Matt Hull ने WuBlockchain को बताया कि कुछ सिस्टम्स पहले ही कॉम्प्रोमाइज़ होकर बैकडोर किए जा चुके हो सकते हैं।
मामला यहां तक कैसे पहुंचा
Dragonfly के मैनेजिंग पार्टनर Haseeb Qureshi का कहना है कि क्रिप्टो व्यापक इंटरनेट से पहले हैकिंग की इस लहर का सामना कर रहा है, क्योंकि ऑन-चेन हमलों को सीधे भुनाना सबसे आसान होता है। उन्होंने बताया कि हमलों की संख्या तेज़ी से बढ़ी है, लेकिन सालाना नुकसान 2025 के मुकाबले लगभग स्थिर है, यानी बड़े प्रोटोकॉल्स द्वारा AI-आधारित सुरक्षा अपनाने से हर घटना में औसत नुकसान घटा है। Ethereum के सह-संस्थापक Vitalik Buterin ने AI-सहायता प्राप्त कमजोरी खोज को लेकर चल रही बहस पर प्रतिक्रिया देते हुए कहा कि उन्हें कभी उम्मीद नहीं थी कि डिफेंस खुद-ब-खुद हमलावरों से आगे निकल जाएगा। उनके मुताबिक स्थायी बढ़त के लिए फॉर्मल वेरिफिकेशन जैसे गहरे बदलाव ज़रूरी हैं, और उन्होंने WuBlockchain के हवाले से साइबर सुरक्षा व बायोसिक्योरिटी पर GDP का 1 प्रतिशत से ज़्यादा खर्च करने की वकालत की।
आपके लिए इसका क्या मतलब है
क्रिप्टो यूज़र्स के लिए यह याद दिलाने वाली बात है कि ज़्यादातर हैक्स अब भी स्मार्ट कॉन्ट्रैक्ट्स से नहीं, बल्कि आम वेब इंफ्रास्ट्रक्चर से शुरू होते हैं। वॉलेट इंटरफेस, एक्सचेंज पोर्टल और DeFi फ्रंट-एंड अक्सर PHP आधारित सिस्टम्स पर चलते हैं, इसलिए बिना पैच किए गए सर्वर क्रेडेंशियल्स या सीड फ्रेज़ उजागर कर सकते हैं। छोटे प्रोटोकॉल चलाने वाले बिल्डर्स के लिए खतरा सबसे ज़्यादा है, क्योंकि Qureshi के मुताबिक हमलावर अब कमज़ोर सुरक्षा बजट वाले प्रोजेक्ट्स को ज़्यादा निशाना बना रहे हैं। बड़े प्लेटफॉर्म्स AI-पावर्ड मॉनिटरिंग जोड़कर प्रति घटना नुकसान कम कर पा रहे हैं, लेकिन छोटी टीमें अभी इसकी बराबरी नहीं कर पा रहीं। जो कोई भी पर्सनल साइट, वॉलेट गेटवे या कंपनी ब्लॉग चलाता है, उसे यह सुनिश्चित करना चाहिए कि 21 अक्टूबर वाला पैच इंस्टॉल हो चुका है, और पुराने प्लगइन्स को भविष्य का नहीं बल्कि अभी का खतरा मानना चाहिए।
बड़ा सवाल
अगर AI हमलावरों और डिफेंडर्स दोनों को एक ही रफ्तार से एक जैसी खामियां खोजने में मदद कर सकता है, तो क्या बेहतर डिटेक्शन वाकई असली नुकसान कम करता है, या यह सिर्फ दोनों पक्षों की रफ्तार और तेज़ कर देता है? Buterin की यह अनिश्चितता कि डिफेंस कभी आगे निकल पाएगा या नहीं, यह दिखाती है कि जैसे-जैसे ये टूल्स क्रिप्टो और व्यापक इंटरनेट में फैल रहे हैं, विशेषज्ञों को भी नहीं पता कि इससे असल फायदा किसे होगा।
आगे क्या देखना है
सुरक्षा टीमें 2026 की बाकी अवधि में CVE-2026-109618 और CVE-2026-109619 के शोषण पर नज़र रखती रहेंगी। वेबसाइट ऑपरेटरों को तुरंत 21 अक्टूबर वाला पैच लागू करने की पुष्टि करनी चाहिए। इसके अलावा, स्टेबलकॉइन यील्ड्स पर OCC का पहला GENIUS Act नियम 18 जनवरी 2027 से लागू होगा, जो यह याद दिलाता है कि क्रिप्टो की सुरक्षा और नियामक समयसीमाएं अब साथ-साथ चल रही हैं।
