රජය සතු හෝ රජයට අයත් ව්‍යවසායන්ගේ වෙබ් අඩවි 80ක් හදිසියේ අලුත්වැඩියා කළ යුතු PHP මෘදුකාංග භාවිත කරන බව පර්යේෂකයෙකු අගමැති ආචාර්ය හරිනි අමරසූරිය සහ විපක්ෂ නායක සජිත් ප්‍රේමදාස වෙත දන්වා ඇත.
විවෘත ලිපියක් මගින් එම පර්යේෂකයා කියා සිටියේ වෙබ් අඩවි 80න් 61ක්, එනම් තුනෙන් එකකට වඩා වැඩි ප්‍රමාණයක්, නිෂ්පාදකයන් තවදුරටත් සහාය නොදක්වන ඉතා පැරණි අනුවාද භාවිත කරන බවයි. ඒවා යාවත්කාලීන කිරීමෙන් ආරක්ෂිත කළ නොහැකි බවද ඔහු කීය. මෙම වෙබ් අඩවි අතර අමාත්‍යාංශ, පළාත් ආයතන, නගර සභා සහ සෞඛ්‍ය අංශයේ අඩවි තිබේ.
තමන්ගේ මෘදුකාංග අනුවාදය ප්‍රසිද්ධියේ පෙන්වන අඩවි පමණක් ගණන් කළ හැකි වූ බැවින් 80 යනු අවම සංඛ්‍යාවක් බව පර්යේෂකයා කීය. අනුවාදය සඟවන අඩවියක් යාවත්කාලීන කර තිබේද යන්න පිටස්තරයෙකුට දැනගත නොහැකි බවද ඔහු පැවසීය.
පද්ධති කිහිපයක් පොදු තොරතුරු පිටු නොව ක්‍රියාත්මක යෙදුම් බව පර්යේෂකයා කීය. සෞඛ්‍ය අංශයේ කාර්ය මණ්ඩල පද්ධති, වෛද්‍යවරුන් ජාතික හැඳුනුම්පත් අංකවලින් ඇතුළු වන ද්වාරයක් සහ අනන්‍යතා ලේඛනයට සම්බන්ධ පද්ධති ඒ අතර වේ. විදුලිබලය, වරාය, විදුලි සංදේශ, ප්‍රවාහන, ආපදා කළමනාකරණ සහ ආරක්ෂක අංශවල වෙබ් අඩවිද ඔහු නම් කළ අතර, ඒවා පිටුපස ඇති පද්ධතිවලට සම්බන්ධද යන්න පැහැදිලි නැති බව කීය.
බලපෑමට ලක්වූ සෑම ආයතනයකටම පැය 48ක් ඇතුළත යාවත්කාලීන කිරීම හෝ තාවකාලික ආරක්ෂණ සක්‍රීය කිරීමට, ඒ දෙකම කළ නොහැකි නම් අඩවිය ජාලයෙන් ඉවත් කිරීමට අගමැති උපදෙස් දෙන ලෙස ඔහු ඉල්ලා සිටියේය. සති එකක් ඇතුළත ආයතන දැනටමත් ආක්‍රමණයට ලක්ව තිබේද යන්න පරීක්ෂා කළ යුතු බවත්, දැනුම් දුන් ආයතන සහ ඒවායේ ප්‍රගතිය ශ්‍රී ලංකා CERT ප්‍රසිද්ධ කළ යුතු බවත් ඔහු කීය. නතර කළ මෘදුකාංග භාවිත කරන අඩවි මාස තුනක් ඇතුළත සහාය ලබන අනුවාදයකට මාරු විය යුතු හෝ වසා දැමිය යුතු බවද ඔහු පැවසීය.
පසුබිම
PHP යනු වෙබ් පිටු සෑදීමට යොදන මෘදුකාංගයකි. ලොව වෙබ් අඩවි විශාල ප්‍රමාණයක් එය භාවිත කරයි. ඔක්තෝබර් 21 වැනිදා එහි සංවර්ධකයන් විසින් PHP2Shell යන අන්වර්ථ නාමයෙන් හැඳින්වෙන බරපතළ දෝෂ දෙකක් හෙළි කළ බව පර්යේෂකයා කීය. මුරපදයක් නැතිව වෙබ් අඩවියක පරිගණකය පිටස්තරයෙකුට පාලනය කිරීමට ඒවායින් ඉඩ ලැබෙන බව ඔහු පැවසීය.
ඇමෙරිකානු ජාතික ආරක්ෂක ඒජන්සිය (NSA) පද්ධති නිවැරදි කළ නොහැකි ආයතනවලට ඒවා ජාලයෙන් ඉවත් කරන ලෙස දන්වා ඇති බවත්, ආක්‍රමණ උත්සාහයන් ආරම්භ වූ පසු දකුණු අප්‍රිකානු ජනාධිපති කාර්යාලය, ෆින්ලන්ත රජය සහ බ්‍රිතාන්‍ය රජය එසේ කළ බවත් ඔහු කීය.
ශ්‍රී ලංකාවේ ඩිජිටල් ආර්ථික අමාත්‍යාංශය රාජ්‍ය ආයතනවලට MODE/2026/03 චක්‍රලේඛය නිකුත් කර ඇත. එයට අමාත්‍යාංශ ලේකම් වරුණ ශ්‍රී ධනපාල අත්සන් තබා ඇත. CVE-2026-109618 සහ CVE-2026-109619 යන දුර්වලතා දෙකක් එහි සඳහන් වේ. PHP භාවිත කරන පද්ධති හඳුනාගෙන, මෘදුකාංග අනුවාද පරීක්ෂා කර, ආරක්ෂක යාවත්කාලීන වහාම ස්ථාපනය කරන ලෙස ආයතනවලට නියම කර ඇත. සැක සහිත ක්‍රියාකාරකම් සඳහා පද්ධති ලඝු පරීක්ෂා කිරීමට සහ යාවත්කාලීන කළ නොහැකි අධි අවදානම් පද්ධතිවල අන්තර්ජාල ප්‍රවේශය සීමා කිරීමටද උපදෙස් දී ඇත. GovTech ශ්‍රී ලංකා විසින් www.govtech.lk/cvesecure හි හඳුනාගැනීමේ මෙවලමක් සකස් කර ඇති අතර, ශ්‍රී ලංකා CERT හි සහාය ලබා ගන්නා ලෙසද ආයතනවලට උපදෙස් දී ඇත.
ශ්‍රී ලංකා CERT ඔක්තෝබර් 21 වැනිදා පොදු උපදෙස් නිකුත් කළ බවත්, එහි ආයතන නම් කර නොතිබූ බවත්, පසුව කුමන රාජ්‍ය වෙබ් අඩවි බලපෑමට ලක්වී ඇත්දැයි කිසිවෙකු පරීක්ෂා කළ බවට ප්‍රසිද්ධ සාක්ෂියක් නැති බවත් පර්යේෂකයා කීය. 2021 සිට ප්‍රමාද වූ පැරණි මෘදුකාංග උත්ශ්‍රේණි කිරීමකින් පසු 2023 අගෝස්තුවේ ලංකා රජයේ ක්ලවුඩ් (Lanka Government Cloud) පද්ධතියට එල්ල වූ රැන්සම්වෙයාර් ප්‍රහාරයෙන් රජයේ ගිණුම් 5,000ක පමණ මාස තුනක විද්‍යුත් තැපැල් විනාශ වූ බවද ඔහු සිහිපත් කළේය.
ජනතාවට බලපාන්නේ කෙසේද?
රාජ්‍ය වෙබ් අඩවි බොහොමයක පුරවැසියන්ගේ සහ රාජ්‍ය සේවකයන්ගේ පුද්ගලික තොරතුරු තිබේ හෝ ඒවාට සම්බන්ධ වේ. පුද්ගලික දත්ත ආරක්ෂා කිරීමේ වගකීමක් පුද්ගලික දත්ත ආරක්ෂණ පනතින් රාජ්‍ය අධිකාරීන් වෙත පැවරෙන බව සෞඛ්‍ය සහ අනන්‍යතා පද්ධති ගැන කතා කරමින් පර්යේෂකයා සඳහන් කළේය.
චක්‍රලේඛයෙන් රාජ්‍ය සේවා භාවිත කරන ආකාරය වෙනස් නොවේ. එහෙත් ජාතික හැඳුනුම්පත් අංකය හෝ වෙනත් පුද්ගලික තොරතුරු ඉල්ලන ඕනෑම රාජ්‍ය ද්වාරයක් ආයතනවලට පරීක්ෂා කරන ලෙස දන්වා ඇති පද්ධති අතර වේ. එවැනි ද්වාර භාවිත කරන අයට අදාළ ආයතනයේ දැනුම් දීම් බලා, ගැටලු ශ්‍රී ලංකා CERT වෙත වාර්තා කළ හැකිය.
ආක්‍රමණයට ලක්වූ නිල වෙබ් අඩවියක් අසත්‍ය තොරතුරු පතුරවීමටද යොදාගත හැකි බව පර්යේෂකයා කීය. බලපෑමට ලක්වූ අඩවි ඉක්මනින් නිවැරදි කිරීමට හෝ ජාලයෙන් ඉවත් කිරීමට ඔහු ඉල්ලා සිටියේ එබැවිනි.
