රජයේ වෙබ් අඩවි, වාණිජ ඩිජිටල් වේදිකා සහ මාර්ගගත රාජ්‍ය සේවාවන් සඳහා බහුලව භාවිත කරන සේවාදායක පාර්ශ්වීය ක්‍රමලේඛන භාෂාවක් වන PHP හි බරපතළ ආරක්ෂක දුර්වලතා හඳුනාගැනීමත් සමඟ, ශ්‍රී ලංකාවේ අභිලාෂකාමී ඩිජිටල් පරිවර්තන වැඩසටහන ප්‍රධාන සයිබර් ආරක්ෂක අභියෝගයකට මුහුණ දී තිබේ.
CVE-2026-109618 සහ CVE-2026-109619 ලෙස හඳුනාගෙන ඇති මෙම ආරක්ෂක දුර්වලතා, පොදු දුර්වලතා ලකුණු කිරීමේ පද්ධතිය (Common Vulnerability Scoring System) යටතේ 10න් 9.2ක බරපතළතා අගයක් ලබාගෙන තිබේ.
මෙම දුර්වලතා පවතින පද්ධතිවලින් ප්‍රයෝජන ගන්නා ප්‍රහාරකයන්ට, නීත්‍යනුකූල ප්‍රවේශ අක්තපත්‍ර ලබාගැනීමකින් තොරව දුරස්ථව අනිෂ්ට කේත ක්‍රියාත්මක කිරීමට හැකි විය හැකි බව සයිබර් ආරක්ෂක බලධාරීන් අනතුරු අඟවා තිබේ.
මේ හේතුවෙන් සංවේදී තොරතුරු වෙත අනවසරයෙන් ප්‍රවේශ වීම, වෙබ් අඩවිවල අන්තර්ගතය වෙනස් කිරීම, රාජ්‍ය සේවාවන්ට බාධා ඇති කිරීම සහ සම්බන්ධිත තොරතුරු තාක්ෂණ යටිතල පහසුකම්වල ආරක්ෂාව තවදුරටත් බිඳ වැටීම වැනි ප්‍රතිවිපාක ඇති විය හැකිය.
රජයෙන් ආරක්ෂක උපදෙස්
2026 ඔක්තෝබර් 25 වැනිදා Newsfirst වාර්තා කළේ, රජයේ වෙබ් අඩවි සහ යෙදුම්වලට බලපාන PHP ආරක්ෂක දුර්වලතා සම්බන්ධයෙන් රජය චක්‍රලේඛයක් නිකුත් කර ඇති බවයි.
ශ්‍රී ලංකාවේ රාජ්‍ය ආයතන විසින් පවත්වාගෙන යනු ලබන වෙබ් අඩවි සහ වෙබ් යෙදුම්වලින් සියයට 70කට වැඩි ප්‍රමාණයක් PHP භාවිතයෙන් සංවර්ධනය කර ඇති බව එම වාර්තාවේ සඳහන් විය.
මෙම සංඛ්‍යාවෙන් ගැටලුවේ විභව පරිමාණය පැහැදිලි වුවද, යම් වෙබ් අඩවියක් PHP භාවිතයෙන් සංවර්ධනය කර තිබීම පමණක් එහි තවමත් ආරක්ෂක දුර්වලතාවක් පවතින බව තහවුරු නොකරයි.
සැබෑ අවදානම තීරණය වන්නේ භාවිත කරන PHP අනුවාදය, සේවාදායකයේ වින්‍යාසය, ස්ථාපනය කර ඇති ආරක්ෂක යාවත්කාලීන කිරීම් සහ අනෙකුත් තාක්ෂණික ආරක්ෂණ ක්‍රියාමාර්ග මතය.
ශ්‍රී ලංකා CERT ආයතනය සහ ජාත්‍යන්තර සයිබර් ආරක්ෂක ආයතන නිකුත් කළ අනතුරු ඇඟවීම්වලින් පසුව රජය මෙම පියවර ගෙන තිබේ.
ශ්‍රී ලංකා CERT ආයතනයෙන් බරපතළ අනතුරු ඇඟවීමක්
ඔක්තෝබර් 21 වැනිදා ශ්‍රී ලංකා CERT ආයතනය මෙම ආරක්ෂක දුර්වලතා දෙක හඳුනාගනිමින් බරපතළ ආරක්ෂක උපදේශනයක් නිකුත් කළේය. PHP පදනම් කරගත් පද්ධති ක්‍රියාත්මක කරන ආයතන කඩිනම් පියවර ගත යුතු බව එමගින් නිර්දේශ කර තිබේ.
බලපෑමට ලක්විය හැකි පද්ධති හඳුනාගැනීම, නිල ආරක්ෂක නිවේදන නිරීක්ෂණය කිරීම, අවදානමට ලක්විය හැකි මෘදුකාංග යාවත්කාලීන කිරීම සහ පද්ධතිවල ආරක්ෂාව බිඳ වැටී ඇති බවට සාක්ෂි තිබේද යන්න විමර්ශනය කිරීම සඳහා පියවර ගන්නා ලෙස එම උපදේශනය මගින් පද්ධති පරිපාලකයන්ට උපදෙස් දී ඇත.
වහාම ආරක්ෂක දුර්වලතා නිවැරදි කළ නොහැකි අවස්ථාවලදී, අදාළ පද්ධති වෙත ප්‍රවේශය සීමා කරන ලෙස ද නිර්දේශ කර තිබේ.
මෙම අනතුරු ඇඟවීම සාමාන්‍ය වෙබ් අඩවිවලට පමණක් නොව, තම මෙහෙයුම් පරිසරය තුළ PHP අන්තර්ගත කරගත් යෙදුම් සහ මෘදුකාංග නිෂ්පාදනවලට ද අදාළ වේ.
හදිසි ආරක්ෂක යාවත්කාලීන කිරීම් නිකුත් කෙරේ
මෙම ආරක්ෂක දුර්වලතා අනාවරණය වීමෙන් පසුව PHP සංවර්ධන කණ්ඩායම ඔක්තෝබර් 21 වැනිදා ආරක්ෂක යාවත්කාලීන කිරීම් නිකුත් කළේය.
යුරෝපා සංගමයේ සයිබර් ආරක්ෂක ඒජන්සිය (European Union Agency for Cybersecurity) ඇතුළු ජාත්‍යන්තර සයිබර් ආරක්ෂක සංවිධාන සහ ජාතික පරිගණක හදිසි ප්‍රතිචාර කණ්ඩායම් එම ආරක්ෂක නිවැරදි කිරීම් කඩිනමින් ස්ථාපනය කරන ලෙස ආයතනවලට උපදෙස් දුන්නේය.
මූලික හදිසි ප්‍රතිචාර අවස්ථාවේදී, ආරක්ෂක යාවත්කාලීන කිරීම් සහිත අනුවාද ලෙස PHP 8.5.12, 8.4.27, 8.3.36 සහ 8.2.35 හඳුන්වා දී තිබිණි.
කෙසේ වෙතත්, ඉන් අනතුරුව තවත් ආරක්ෂක තත්ත්වයන් අනාවරණය විය.
ඔක්තෝබර් 23 වැනිදා යුරෝපා සයිබර් ආරක්ෂක බලධාරීන් CVE-2026-115560 ලෙස හඳුනාගත් තවත් PHP දුරස්ථ කේත ක්‍රියාත්මක කිරීමේ ආරක්ෂක දුර්වලතාවක් අනාවරණය වී ඇති බව වාර්තා කළහ.
මෙම තත්ත්වය මගින් අවධාරණය වූයේ, පෙර යාවත්කාලීන කිරීමකින් සියලු අදාළ ආරක්ෂක අවදානම් ස්ථිරවම විසඳී ඇතැයි උපකල්පනය නොකර, මෘදුකාංග නිෂ්පාදකයා නිකුත් කරන නවතම ආරක්ෂක නිවේදන නිරීක්ෂණය කිරීමේ වැදගත්කමයි.
ජාත්‍යන්තර වෙබ් අඩවි තාවකාලිකව අක්‍රිය කෙරේ
මෙම ආරක්ෂක දුර්වලතා හේතුවෙන් ජාත්‍යන්තර මට්ටමින් සැලකිය යුතු ප්‍රතිචාරයක් ඇති විය.
යුරෝපයේ ඇතැම් ප්‍රදේශවල රාජ්‍ය වෙබ් අඩවි සහ වෙනත් මාර්ගගත සේවාවන්, ඒවාට ඇති අවදානම තක්සේරු කර ආරක්ෂක යාවත්කාලීන කිරීම් යෙදවීම සඳහා තාවකාලිකව අක්‍රිය කර තිබිණි.
බහුලව භාවිත කරන මෘදුකාංගයක ඇති දුර්වලතා හේතුවෙන් රටවල් කිහිපයක ආයතනවලට එකවර බලපෑම් එල්ල විය හැකි බව මෙම සිදුවීම් මගින් පෙන්නුම් කෙරිණි.
මෙම ආරක්ෂක දුර්වලතා ප්‍රයෝජනයට ගැනීමට උත්සාහ කරන ප්‍රහාර ද නිරීක්ෂණය කර ඇති බව සයිබර් ආරක්ෂක පර්යේෂකයෝ වාර්තා කළහ.
ඒ අනුව, මෙම තර්ජනය මෘදුකාංගයක පවතින න්‍යායාත්මක දුර්වලතාවකට පමණක් සීමා නොවේ.
ශ්‍රී ලංකාවේ ඩිජිටල් අභිලාෂයන් පරීක්ෂාවට ලක්වෙයි
රාජ්‍ය පරිපාලනය නවීකරණය කිරීම සහ සේවා සැපයීම වැඩිදියුණු කිරීම සඳහා ශ්‍රී ලංකාව ඩිජිටල් පරිවර්තනය සිය වැඩපිළිවෙළේ ප්‍රධාන අංගයක් බවට පත්කරගෙන තිබේ.
මාර්ගගත රාජ්‍ය වේදිකා, විද්‍යුත් ලේඛන, මූල්‍ය සේවා සහ ඒකාබද්ධ දත්ත ගබඩා පුළුල් වීමත් සමඟ ඵලදායී සයිබර් ආරක්ෂක පාලන ක්‍රමවේදවල වැදගත්කම තවදුරටත් ඉහළ ගොස් තිබේ.
රාජ්‍ය අංශයේ පද්ධතියක ආරක්ෂාව බිඳ වැටුණහොත්, පෞද්ගලික තොරතුරු අනාවරණය වීම, සේවාවන්ට බාධා ඇති වීම හෝ රාජ්‍ය ආයතන කෙරෙහි මහජන විශ්වාසය පළුදු වීම සිදුවිය හැකිය.
කෙසේ වෙතත්, මෑතකදී අනාවරණය වූ PHP ආරක්ෂක දුර්වලතා හේතුවෙන් ශ්‍රී ලංකාවේ නිශ්චිත රජයේ වෙබ් අඩවියක් සාර්ථක සයිබර් ප්‍රහාරයකට ලක්ව ඇති බව තහවුරු කරන ස්වාධීන සාක්ෂි මේ වන විට නොමැත.
පැරණි රාජ්‍ය පද්ධතිවල අභියෝගය
මෙම නවතම අනතුරු ඇඟවීම මගින් යල් පැන ගිය මෘදුකාංග, ප්‍රමාණවත් ආරක්ෂක නඩත්තු කටයුතු නොමැති වීම සහ සයිබර් ආරක්ෂාව සඳහා ප්‍රමාණවත් සම්පත් නොමැති වීම වැනි දිගුකාලීන ගැටලු ද යළිත් ඉස්මතු කරයි.
ශ්‍රී ලංකාවේ රාජ්‍ය ආයතන සම්බන්ධයෙන් මීට පෙර වාර්තා වූ සිදුවීම්වලින් ද පෙන්වා දී ඇත්තේ, නිසි යාවත්කාලීන කිරීම් නොමැතිව පැරණි පද්ධති දිගින් දිගටම ක්‍රියාත්මක වීමෙන් මූල්‍යමය හානි ඇති විය හැකි බවයි.
එබැවින්, තිරසාර ඩිජිටල් පරිවර්තන වැඩසටහනක් සඳහා නව වේදිකා සංවර්ධනය කිරීම පමණක් ප්‍රමාණවත් නොවේ.
ඒ සඳහා අඛණ්ඩ ආරක්ෂක නිරීක්ෂණය, මෘදුකාංග පිළිබඳ සම්පූර්ණ ලේඛනගත කිරීම, ආරක්ෂක දුර්වලතා තක්සේරු කිරීම, යාවත්කාලීන කිරීම් කළමනාකරණය, සිදුවීම්වලට ප්‍රතිචාර දැක්වීමේ හැකියාව සහ ආයතනික වගකීම් පැහැදිලිව පැවරීම අවශ්‍ය වේ.
ආරක්ෂක පියවර ක්‍රියාත්මක කිරීම පිළිබඳ ප්‍රශ්න තවමත් පවතී
රජය විසින් නිකුත් කළ බව වාර්තා වන චක්‍රලේඛය, ක්ෂණික තර්ජනයට ප්‍රතිචාර දැක්වීම සඳහා ගත් වැදගත් පියවරකි.
එසේ වුවද, තීරණාත්මක ප්‍රශ්න කිහිපයකට තවමත් පිළිතුරු ලැබී නොමැත.
බලපෑමට ලක්වූ රජයේ පද්ධති සංඛ්‍යාව, ඒවායින් කොපමණ සංඛ්‍යාවක් ආරක්ෂක යාවත්කාලීන කිරීම් මගින් නිවැරදි කර තිබේද සහ කිසියම් පද්ධතියක ආරක්ෂාව බිඳ වැටී ඇති බවට සාක්ෂි හඳුනාගෙන තිබේද යන්න පිළිබඳ සම්පූර්ණ විස්තරයක් බලධාරීන් මෙතෙක් ප්‍රසිද්ධ කර නොමැත.
එවැනි තොරතුරු නොමැතිව ආරක්ෂක දුර්වලතා නිවැරදි කිරීමේ වැඩසටහනේ සාර්ථකත්වය ස්වාධීනව තක්සේරු කිරීම දුෂ්කර වේ.
මෙම ආරක්ෂක දුර්වලතා ශ්‍රී ලංකාවට සිය පුළුල් වෙමින් පවතින ඩිජිටල් යටිතල පහසුකම් ආරක්ෂා කිරීමේ හැකියාව පිළිබඳ ප්‍රායෝගික පරීක්ෂණයක් නිර්මාණය කර තිබේ.
එහි සාර්ථකත්වය රඳා පවතින්නේ නිල උපදෙස් නිකුත් කිරීම මත පමණක් නොව, රාජ්‍ය ආයතන අවශ්‍ය ආරක්ෂක පියවර සැබෑ ලෙස ක්‍රියාත්මක කර ඒවා නිසි පරිදි සත්‍යාපනය කරන්නේද යන්න මතය.
