රාජ්‍ය ආයතන සතු වෙබ් අඩවි සහ වෙබ් යෙදුම් (Web applications) සංවර්ධනය කිරීම සඳහා බහුලව භාවිත කරනු ලබන PHP පරිගණක භාෂා මෘදුකාංගයේ තීරණාත්මක ආරක්ෂක දුර්වලතා කිහිපයක් හඳුනාගෙන ඇති බවත්, ඒ පිළිබඳ වහාම අවධානය යොමු කර පිළියම් යොදන ලෙසත් ඩිජිටල් ආර්ථික අමාත්‍යාංශය සියලුම රාජ්‍ය ආයතන වෙත දැනුම් දී තිබේ.
අමාත්‍යාංශ ලේකම් වරුණ ශ්‍රී ධනපාල මහතාගේ අත්සනින් යුතුව සියලුම අමාත්‍යාංශ, පළාත් සභා, දෙපාර්තමේන්තු, ව්‍යවස්ථාපිත මණ්ඩල සහ රජය සතු සමාගම් ප්‍රධානීන් වෙත නිකුත් කර ඇති චක්‍රලේඛය මඟින් මෙම අනතුරු ඇඟවීම සිදු කර ඇත.
CVE-2026-109618 සහ CVE-2026-109619 යන කේත මඟින් හඳුනාගෙන ඇති මෙම බරපතළ ආරක්ෂක සිදුරු හේතුවෙන් රජයේ වෙබ් පද්ධති වෙත අනවසරයෙන් ප්‍රවේශ වීම, සංවේදී රාජ්‍ය දත්ත සොරකම් කිරීම මෙන්ම පද්ධතිවල ක්‍රියාකාරීත්වය අඩපණ කිරීමේ දැඩි අවදානමක් මතුව ඇතැයි අදාළ චක්‍රලේඛයේ පෙන්වා දී තිබේ.
මෑත කාලීනව රාජ්‍ය අංශයේ වෙබ් අඩවි ඉලක්ක කර ගනිමින් එල්ල වන විවිධ සයිබර් ප්‍රහාර සහ දත්ත කාන්දුවීම් සැලකිල්ලට ගනිමින් මෙම පූර්ව ආරක්ෂක ක්‍රියාමාර්ග ගැනීම අත්‍යවශ්‍ය වී ඇත.
- මෙම අවදානම් තත්ත්වය කඩිනමින් මඟහරවා ගැනීම සඳහා වහාම ක්‍රියාත්මක වන පරිදි පියවර කිහිපයක් ගන්නා ලෙස අමාත්‍යාංශ ලේකම්වරයා උපදෙස් දී ඇත.
- ආයතන තුළ PHP භාවිත වන සියලුම පද්ධති හඳුනාගෙන ඒවායේ ක්‍රියාත්මක සංස්කරණ (Versions) තහවුරු කර ගැනීම.
- PHP නිල වෙබ් අඩවියේ (https://www.php.net) උපදෙස් අනුව අදාළ මෘදුකාංග ආරක්ෂක පැච් (Software patches) යොදා ගනිමින් පද්ධති වහාම යාවත්කාලීන කිරීම.
- කිසියම් අසාමාන්‍ය ක්‍රියාකාරකමක් සිදුවන්නේ දැයි නිරීක්ෂණය කිරීම සඳහා පද්ධති පිවිසුම් දත්ත (System logs) නිරන්තර විමර්ශනයට ලක් කිරීම.
- කඩිනමින් යාවත්කාලීන කිරීමට නොහැකි, අධි අවදානම් සහිත පද්ධති පවතී නම් ඒවායේ අන්තර්ජාල ප්‍රවේශය සීමා කිරීම හෝ විසන්ධි කිරීම.
මීට අමතරව, අදාළ වෙබ් අඩවිවල මෙවැනි දුර්වලතා පවතින්නේදැයි පරීක්ෂා කර බැලීම සඳහා ඩිජිටල් ආර්ථික අමාත්‍යාංශය යටතේ ක්‍රියාත්මක ‘GovTech Sri Lanka’ ආයතනය විසින් 'www.govtech.lk/cvesecure' හරහා ආරක්ෂක දුර්වලතා අනාවරකයක් (Vulnerability detector) සකස් කර ඇති අතර, තාක්ෂණික සහාය අවශ්‍ය වන්නේ නම් ශ්‍රී ලංකා පරිගණක හදිසි ප්‍රතිචාර සංසදය (Sri Lanka CERT) හා සම්බන්ධ වීමට වෙබ් අඩවි භාර තාක්ෂණික ශිල්පීන්ට අවස්ථාව ලබා දෙන ලෙස ද රාජ්‍ය ආයතන ප්‍රධානීන්ට වැඩිදුරටත් දැනුම් දී තිබේ.
Urgent Security Vulnerabilities Identified in PHP Software Used by State Institutions
Several critical security vulnerabilities have been detected in PHP, a widely used programming language for developing websites and web applications within state institutions. In light of this discovery, the Ministry of Digital Economy has issued an immediate advisory to all government organizations urging them to take prompt remedial actions.
This warning was disseminated via a circular signed by Secretary of the Ministry, K. Dhanapala, directed to all ministries, provincial councils, departments, statutory bodies, and heads of government-owned companies.
Highlighted in the circular are significant security issues coded CVE-2026-109618 and CVE-2026-109619, which pose serious risks of unauthorized access to government web systems, the potential theft of sensitive state data, and the degradation of system functionality.
With the increasing frequency of cyber attacks targeting government websites and incidents of data breaches, implementing preemptive security measures has become imperative to safeguard these digital assets.
- The Secretary has instructed institutions to take immediate action to mitigate these risks.
- All systems utilizing PHP within organizations must be identified, and their operating versions should be verified.
- Systems should be updated without delay using security patches available on the official PHP website (https://www.php.net).
- System logs need to be routinely examined to monitor for any unusual activities.
- If certain high-risk systems cannot be updated swiftly, limiting or disabling their internet access is advised.
Additionally, to assess whether similar vulnerabilities exist on relevant websites, the 'GovTech Sri Lanka' initiative under the Ministry of Digital Economy has developed a vulnerability detector accessible at 'www.govtech.lk/cvesecure'. State institutions are further encouraged to liaise with the Sri Lanka Computer Emergency Response Team (CERT) for technical assistance, providing opportunities for web administration teams to seek necessary support.
*Note: In case of any discrepancy between the Sinhala and English versions, the Sinhala version shall prevail.
