සටහන – පුලී
ඔක්තෝම්බර් 22, LNW (කොළඹ): PHP පරිගණක භාෂාවට අදාළ සයිබර් ආරක්ෂක දුර්වලතාවක් හඳුනාගැනීමත් සමඟ බ්‍රිතාන්‍ය රජයේ රාජ්‍ය සේවා 32ක් තාවකාලිකව අක්‍රිය කර ඇති අතර, තවත් සේවා හතරක් අර්ධ වශයෙන් අක්‍රිය වී ඇති බව වාර්තා වේ. මෙම තත්ත්වය හමුවේ රාජ්‍ය පද්ධතිවල ආරක්ෂාව තහවුරු කිරීම සඳහා බලධාරීන් කඩිනම් පියවර ගනිමින් සිටී.
PHP (Hypertext Preprocessor) යනු වෙබ් අඩවි සහ අන්තර්ජාල යෙදුම් නිර්මාණය කිරීම සඳහා ලොව පුරා බහුලව භාවිත වන පරිගණක භාෂාවකි. Wikipedia සහ WordPress වැනි ජනප්‍රිය වෙබ් වේදිකා ආශ්‍රිත තාක්ෂණික පද්ධති සමඟද PHP සම්බන්ධ වේ. ආරක්ෂක පර්යේෂකයන් OpenAI තාක්ෂණය භාවිත කරමින් සිදුකළ පරීක්ෂණයකදී, ඇතැම් පද්ධතිවල වෙබ් සේවාදායකයන් පාලනය කර ගැනීමට ප්‍රහාරකයන්ට ඉඩ සැලසිය හැකි දුර්වලතාවක් හඳුනාගෙන තිබේ.
මෙම සොයාගැනීමත් සමඟ ලොව පුරා රාජ්‍ය ආයතන සහ ජාතික රජයන් සිය පරිගණක පද්ධතිවල ආරක්ෂාව පිළිබඳ අවධානය යොමු කර තිබේ. බ්‍රිතාන්‍ය රජය ද සිය නිල පද්ධතිවල ඇති විය හැකි අවදානම් නිවැරදි කිරීම සඳහා ආරක්ෂක කටයුතු සිදුකරන බව සඳහන් කර ඇත.
කෙසේ වෙතත්, බ්‍රිතාන්‍ය අග්‍රාමාත්‍ය කාර්යාලයේ ප්‍රකාශිකාවක පවසා ඇත්තේ රටේ ජනතාවට සෘජුව සේවා සපයන ප්‍රධාන තීරණාත්මක රාජ්‍ය සේවාවලට විශාල බලපෑමක් සිදුවී නොමැති බවයි. පවතින බාධා සීමිත ඒවා බවත්, පද්ධතිවල ආරක්ෂාව තහවුරු කිරීම සඳහා රජය පුරාම කටයුතු සිදුකර ඇති බවත් ඇය සඳහන් කර තිබේ.
මෙම සිදුවීමෙන් සියලුම PHP වෙබ් අඩවි අවදානමට ලක්ව ඇති බවක් අදහස් නොවන නමුත්, අදාළ දුර්වලතාවට ගොදුරු විය හැකි පද්ධතිවලට සයිබර් ප්‍රහාර එල්ල වීමේ අවදානමක් පවතී. එබැවින් වෙබ් අඩවි පරිපාලකයන් සහ ආයතන තම පද්ධති යාවත්කාලීන කරමින් අවශ්‍ය ආරක්ෂක පියවර ගැනීම අත්‍යවශ්‍ය වේ.
මෙහි ප්‍රධාන චරිතය AI තාක්ෂණයයි!
මෙම සිදුවීමේ වඩාත් අවධානයට ලක්වන කරුණ වන්නේ සාම්ප්‍රදායික මෘදුකාංග පරීක්ෂණවලින් හඳුනාගැනීමට අපහසු වූ ආරක්ෂක දුර්වලතා සොයාගැනීමට කෘත්‍රිම බුද්ධිය හෙවත් AI තාක්ෂණය දායක වී තිබීමයි. OpenAI විසින් 2026 ඔක්තෝබර් 21 දින නිකුත් කළ තොරතුරුවලට අනුව, Calif නම් සයිබර් ආරක්ෂක පර්යේෂණ සමාගමක් GPT-5.6 Sol AI මාදිලිය භාවිත කරමින් PHP හි බරපතළ දුර්වලතාවක් හඳුනාගෙන තිබේ. Wiz සමාගමද වෙනම පර්යේෂණ මාර්ගයක් ඔස්සේ දුර්වලතා හඳුනාගෙන ඒවා වාර්තා කර ඇත.
මෙහිදී AI තාක්ෂණය භාවිත කර ඇත්තේ හුදෙක් වෙබ් අඩවියක් පරීක්ෂා කිරීම සඳහා පමණක් නොව, මෘදුකාංගයේ අභ්‍යන්තර ක්‍රියාකාරිත්වය විශ්ලේෂණය කර ආරක්ෂක ගැටලු හඳුනාගැනීමටය. ඒ අනුව, අනාගතයේදී සයිබර් ආරක්ෂක පර්යේෂණ සිදුකරන ආකාරය AI තාක්ෂණය මගින් විශාල ලෙස වෙනස් විය හැකි බවට මෙම සිදුවීම ප්‍රබල උදාහරණයක් සපයයි.
PHP කියන්නේ මොකක්ද? ඇයි මේ ගැටලුව මෙතරම් බරපතළ?
PHP යනු වෙබ් අඩවිවල පසුබිම් ක්‍රියාකාරිත්වය පවත්වාගෙන යාම සඳහා භාවිත වන පරිගණක භාෂාවකි. වෙබ් අඩවිවල තොරතුරු සැකසීම, දත්ත සමුදා සමඟ සම්බන්ධ වීම සහ පරිශීලකයන්ට අවශ්‍ය පිටු සකස් කිරීම වැනි කාර්යයන් සඳහා එය යොදාගැනේ. WordPress, Drupal, Joomla සහ Magento වැනි ජනප්‍රිය වෙබ් වේදිකා සහ පද්ධති රැසක්ද PHP සමඟ සම්බන්ධ වේ.
ගැටලුව වන්නේ PHP භාවිත කරන සෑම වෙබ් අඩවියක්ම එකම මට්ටමේ අවදානමකට ලක්වීම නොව, අදාළ දුර්වලතා පවතින මෘදුකාංග අනුවාද හෝ ඒවා භාවිත කරන පද්ධති නිසි ලෙස ආරක්ෂා කර නොමැති නම් බරපතළ ප්‍රතිවිපාක ඇති විය හැකි වීමයි.
සයිබර් ආරක්ෂක විශේෂඥයන් පෙන්වා දෙන්නේ මෙම දුර්වලතා යම් යම් තත්ත්වයන් යටතේ ප්‍රහාරකයකුට දුරස්ථව පරිගණක කේත ක්‍රියාත්මක කිරීමට ඉඩ සැලසිය හැකි බවයි. එවැනි ප්‍රවේශයක් සාර්ථක වුවහොත්, අදාළ සේවාදායකයේ ඇති ගොනු හෝ දත්ත සමුදා වෙත ප්‍රවේශ වීමේ අවදානමද මතුවිය හැකිය. කෙසේ වෙතත්, එවැනි ප්‍රතිවිපාක ඇතිවීම පද්ධතියේ සැකසුම්, භාවිත කරන අනුවාදය සහ ආරක්ෂක පියවර මත රඳා පවතී.
වඩාත්ම කනස්සල්ලට කරුණ: මෙම ගැටලුව ඊයේ ඇති වූ එකක් නොවේ!
මෙම සිදුවීමේ විමර්ශනාත්මක පැත්ත වන්නේ ආරක්ෂක දුර්වලතාවක් හඳුනාගැනීම පමණක් නොව, එය නිවැරදි කිරීමට ගත වූ කාලය පිළිබඳවද ප්‍රශ්න මතුවීමයි. PHP Foundation විසින් පළ කළ තොරතුරුවලට අනුව, මෙම දුර්වලතාවලින් එකකට අදාළ මුල් සංඥා පර්යේෂකයකු විසින් 2024 වසරේදී හඳුනාගෙන තිබුණි. එහෙත් එම අවස්ථාවේදී ප්‍රහාරයක් සිදුකළ හැකි පැහැදිලි ක්‍රමයක් තහවුරු කරගැනීමට නොහැකි වී තිබූ බව සඳහන් වේ.
ඒ අනුව, මෙහිදී මතුවන ප්‍රධාන ප්‍රශ්නය වන්නේ තාක්ෂණික දුර්වලතාවක් මුලින්ම හඳුනාගැනීම සහ එය සැබෑ ආරක්ෂක අවදානමක් ලෙස තහවුරු කර නිවැරදි කිරීම අතර පවතින පරතරයයි. PHP Foundation පවා එක් දුර්වලතාවක් නිවැරදි කිරීම ප්‍රමාද වීම සංවිධානාත්මක මට්ටමේ අසාර්ථකත්වයක් ලෙස පිළිගෙන තිබේ. මෙය මෘදුකාංග සංවර්ධකයන්ට පමණක් නොව, ලොව පුරා ඩිජිටල් යටිතල පහසුකම් භාවිත කරන සියලුම ආයතනවලට වැදගත් පාඩමකි.
බ්‍රිතාන්‍යයට පමණක් සීමා නොවූ අර්බුදයක්!
මෙම අවදානම හේතුවෙන් වෙබ් අඩවි තාවකාලිකව අක්‍රිය කළ රටවල් අතර නෙදර්ලන්තය, ජර්මනිය, ප්‍රංශය සහ ෆින්ලන්තය වැනි රටවල්ද සිටින බව වාර්තා වේ. නෙදර්ලන්තයේ රජයේ වෙබ් ද්වාර සහ රොටර්ඩෑම් වරාය ආශ්‍රිත වෙබ් සේවා ඇතුළු පද්ධති කිහිපයක් ආරක්ෂක පියවර ලෙස අක්‍රිය කර තිබුණි. ෆින්ලන්තයේ රාජ්‍ය තොරතුරු තාක්ෂණ සේවා සපයන ආයතනයද තම වෙබ් සේවා තාවකාලිකව නවතා තිබුණි.
මෙම පියවර බොහෝ අවස්ථාවල ගෙන ඇත්තේ ප්‍රහාරයක් සිදුවී ඇති බව තහවුරු වූ නිසා නොව, අවදානම පවතින අතරතුර පද්ධති ආරක්ෂා කිරීමේ අරමුණෙනි. එම නිසා වෙබ් අඩවියක් අක්‍රිය වීම සහ එය හැකර් ප්‍රහාරයකට ගොදුරු වීම යන කරුණු දෙක එකිනෙකින් වෙන් කර හඳුනාගැනීම වැදගත් වේ.
හැකර්වරුන්ටත් AI භාවිත කළ හැකිද?
ඔව්. සයිබර් ආරක්ෂක ක්ෂේත්‍රයේ පවතින විශාලතම ගැටලුවක් වන්නේ ආරක්ෂාව ශක්තිමත් කිරීමට යොදාගන්නා තාක්ෂණයම ප්‍රහාරකයන්ටද ප්‍රයෝජනවත් විය හැකි වීමයි. AI මගින් දුර්වලතා හඳුනාගැනීම සහ ඒවා නිවැරදි කිරීම වේගවත් කළ හැකි අතර, එම දුර්වලතා පිළිබඳ තොරතුරු භාවිත කර ප්‍රහාර සඳහා ක්‍රම සකස් කිරීමටද අපරාධකරුවන් උත්සාහ කළ හැකිය.
Cloudflare වැනි තාක්ෂණික සමාගම් මෙම දුර්වලතා පිළිබඳ තොරතුරු ප්‍රසිද්ධ වීමත් සමඟ ඒවා අයුතු ලෙස භාවිත කිරීමට ගන්නා උත්සාහයන් ඉහළ ගිය බව වාර්තා කර තිබේ. එබැවින් ආරක්ෂක දුර්වලතාවක් සොයාගැනීමෙන් පමණක් කාර්යය අවසන් නොවේ. එය ප්‍රසිද්ධ කිරීමට පෙර නිවැරදි කිරීම සූදානම් කිරීම, ආරක්ෂක යාවත්කාලීන නිකුත් කිරීම සහ ඒවා අදාළ පද්ධතිවලට කඩිනමින් යෙදීමද එකසේ වැදගත් වේ.
ලෝකයේ සයිබර් ආරක්ෂක ආයතන දැන් කරන්නේ කුමක්ද?
බ්‍රිතාන්‍යයේ ජාතික සයිබර් ආරක්ෂක මධ්‍යස්ථානය (NCSC) ආයතනවලට උපදෙස් දී ඇත්තේ තම පද්ධතිවල PHP භාවිත වන ස්ථාන හඳුනාගැනීමට, අන්තර්ජාලයට සෘජුව සම්බන්ධ පද්ධතිවලට ප්‍රමුඛත්වය දීමට සහ නිවැරදි කළ මෘදුකාංග අනුවාද වෙත කඩිනමින් යාවත්කාලීන වීමටය. වහාම යාවත්කාලීන කළ නොහැකි අවස්ථාවලදී, අවදානම සම්පූර්ණයෙන් පාලනය කරන තෙක් අදාළ පද්ධති තාවකාලිකව අක්‍රිය කිරීමද සලකා බලන ලෙස උපදෙස් දී තිබේ.
PHP සංවර්ධකයන් විසින් 2026 ඔක්තෝබර් 21 දින ආරක්ෂක නිවැරදි කිරීම් නිකුත් කර ඇති අතර, ආයතන තමන් භාවිත කරන අනුවාදයට අදාළ යාවත්කාලීන කිරීම් යෙදීම අත්‍යවශ්‍ය වේ. එසේම, දුර්වලතාවක් නිවැරදි කළ පමණින් පෙර ප්‍රහාරයක් සිදුවී නොමැති බව තහවුරු නොවන බැවින්, සැක කටයුතු ක්‍රියාකාරකම් පිළිබඳවද පරීක්ෂා කිරීම වැදගත්ය.
ශ්‍රී ලංකාවටත් මෙයින් පාඩමක් තිබේද? ඔව්
මෙම සිදුවීම ශ්‍රී ලංකාවට සෘජුව බලපා ඇති බවට මෙහි සඳහන් තොරතුරුවලින් තහවුරු නොවේ. එහෙත් රජයේ වෙබ් අඩවි, බැංකු, අධ්‍යාපන ආයතන, සෞඛ්‍ය සේවා සහ ව්‍යාපාරික ආයතන සිය ඩිජිටල් පද්ධතිවල ආරක්ෂාව පිළිබඳ නැවත සලකා බැලිය යුතු බව මෙම සිදුවීම පෙන්වා දෙයි.
විශේෂයෙන්ම පැරණි මෘදුකාංග භාවිත කරන, යාවත්කාලීන කිරීම් ප්‍රමාද කරන හෝ තම වෙබ් අඩවිවල තාක්ෂණික පසුබිම පිළිබඳ පැහැදිලි අවබෝධයක් නොමැති ආයතනවලට මෙය වැදගත් අනතුරු ඇඟවීමකි. වෙබ් අඩවියක් සාමාන්‍ය පරිදි ක්‍රියාත්මක වීම පමණක් එය ආරක්ෂිත බවට සාක්ෂියක් නොවේ.
