वडा कार्यालयको झ्याल र दशैँ विदाको त्यो अनौठो बिहान!
कल्पना गर्नुहोस् — काम विशेषले तपाइ कुनै वडा कार्यालयको सेवा प्रवाह गर्ने झ्याल अगाडि लाइनमा उभिनुभएको छ । हातमा निवेदनको रसिद छ । तर भित्र काम गर्ने कर्मचारीले केही कुरै नगरी अचानक काउन्टरको फलामे सटर झ्वाट्ट तानेर भित्रबाट ताल्चा लगाइदिन्छ । यस्तो स्थितिमा, बाहिर उभिएका सेवाग्राहीहरूमाझ तत्कालै कानेखुसी सुरु हुन्छ — कतै कार्यालयभित्र चोरी भयो कि? आगलागी पो भयो कि? अथवा ढुकुटी नै पो लुटियो कि?
ठिक यस्तै दृश्य भर्चुअल संसारमा यसपालिको दशैँको बिदाको बीचमा देखियो । एउटा शान्त बिहानीमा जब आम नेपाली नागरिकले सरकारी सूचना हेर्न, राहदानी वा लाइसेन्सको स्थिति जाँच्न अथवा बैंकको ब्याजदर बुझ्न आफ्नो मोबाइलको स्क्रिन खोले, स्क्रिनमा केवल एउटै सन्देश देखियो—"साइट फेला परेन" वा "सेवा अस्थायी रूपमा अवरुद्ध छ" । राष्ट्रपति कार्यालय, प्रधानमन्त्री तथा मन्त्रिपरिषद्को कार्यालय, लोक सेवा आयोग र विभिन्न मन्त्रालयहरू मात्र होइन, नबिल, ग्लोबल आइएमई, एनआइसी एसिया र सिद्धार्थ बैंक जस्ता ठूला वाणिज्य बैंकका मुख्य वेब पोर्टलहरू एकपछि अर्को गर्दै इन्टरनेटबाट गायब भए ।
बजारमा तत्कालै अनेकौँ हल्ला फैलिए—नेपालका बैंकहरू ह्याक भए, नागरिकको गोप्य विवरण विदेशीको हातमा पुग्यो, वा कसैले खाताबाट पैसा नै उडाइदियो । तर वास्तविकता भने हल्लाभन्दा बिल्कुलै फरक थियो । राज्यको डिजिटल पूर्वाधार कुनै साइबर डकैतीको सिकार भएको थिएन । बरु विश्वव्यापी रूपमा इन्टरनेटको जगमै एउटा गम्भीर त्रुटि फेला परेपछि, चोर पस्नु अगावै हाम्रा प्राविधिकहरूले सुरक्षाका लागि आफैँ अगाडि बढेर 'डिजिटल सटर' झारेका थिए!
पिएचपी (PHP) खासमा के हो?
कम्प्युटरका जटिल प्राविधिक शब्दहरू पन्छाएर यसलाई हाम्रो दैनिक सरकारी कार्यालयको कार्यशैलीमा बुझौँ । जब तपाईं वडा कार्यालय जानुहुन्छ, तपाईं केवल काउन्टरमा बस्नुभएको कर्मचारीलाई भेट्नुहुन्छ । तपाईंलाई पछाडिको अभिलेख कोठाको दराजमा कहाँ कुन ढड्डा राखिएको छ भन्ने थाहा हुँदैन । तपाईंले निवेदन दिनुहुन्छ, कर्मचारी भित्र जान्छ, दराजको चावी खोल्छ, पुरानो ढड्डा पल्टाएर विवरण खोज्छ, त्यसमा छाप लगाउँछ र काउन्टरमा ल्याएर तपाईंलाई कागजात थमाइदिन्छ ।
डिजिटल प्रणालीमा हाम्रो मोबाइल वा ल्यापटपको स्क्रिन त्यो बाहिरको 'सेवा झ्याल' मात्र हो । भित्री अभिलेख कोठामा रहेको दराज भनेको संस्थाको 'डेटाबेस' हो । अनि त्यो सेवा झ्याल र रेकर्ड रुमको बीचमा कुदेर फाइल ओसारपसार गर्ने, प्रमाणित गर्ने र तपाईंको स्क्रिनमा ठिकठाक देखाउने अदृश्य कर्मचारीको नाम नै पिएचपी (PHP) हो ।
पिएचपी एक खुला र निःशुल्क उपलब्ध 'सर्भर-साइड प्रोग्रामिङ भाषा' हो, जसले पर्दा पछाडि बसेर सम्पूर्ण वेबसाइट सञ्चालन गर्छ । संसारभर पहिचान गर्न सकिने वेबसाइटहरूमध्ये करिब ७० प्रतिशत यही भाषामा चलेका छन् र वर्डप्रेस (WordPress) जस्ता चर्चित प्लेटफर्मको मेरुदण्ड पनि यही हो । नेपालको सन्दर्भमा त झन् डट-गभ-डट-एनपी (.gov.np) जोडिएका प्रायः सबै सरकारी पोर्टल, पालिकाका वेबसाइट, अनलाइन समाचार पोर्टल र बैंकका सूचना पाटीहरू यही पिएचपीको भरमा वर्षौँदेखि चलिरहेका छन् ।
परिचयपत्र नचाहिने 'मास्टर चाबी' को विश्वव्यापी त्रास
समस्या कहाँबाट सुरु भयो भने, हालै सुरक्षा अनुसन्धानकर्ताहरूले आर्टिफिसियल इन्टेलिजेन्स (एआई) प्रविधिको सहायताले पिएचपीको भित्री संरचनामै दुईवटा डरलाग्दा कमजोरी पत्ता लगाए । अन्तर्राष्ट्रिय प्राविधिक भाषामा यिनलाई CVE-2026-109618 र CVE-2026-109619 नाम दिइएको छ । १० अङ्कको गम्भीरता मापन प्रणालीमा यी दुवै कमजोरीलाई ९.२ को अति जोखिमपूर्ण स्तरमा राखिएको छ – भनेपछि यसको गाम्भिर्यता कति छ भनेर सहजै अनुमान गर्न सकिन्छ ।
हाम्रो सामान्य कार्यालय प्रणालीमा रेकर्ड रुमभित्र छिर्न कर्मचारीलाई आधिकारिक परिचयपत्र वा ताल्चाको साँचो चाहिन्छ । कम्प्युटरमा यसलाई युजरनेम र पासवर्ड भनिन्छ । तर, पिएचपीमा देखिएको यो कमजोरीलाई प्राविधिकहरू रिमोट कोड एक्जिक्युसन (RCE) भन्छन् । यसको सिधा अर्थ हो—विश्वको कुनै पनि कुनामा बसेको अपरिचित व्यक्तिले इन्टरनेटको माध्यमबाट एउटा विशेष बिगारिएको सन्देश पठाएर कम्प्युटरको मेमोरी र त्रुटि सम्हाल्ने संयन्त्रलाई अलमल्याउन सक्छ ।
त्यो अनधिकृत व्यक्तिलाई कुनै युजरनेम, पासवर्ड वा परिचयपत्र चाहिँदैन । ऊ सिधै पछाडिको ढड्डा कोठामा पस्न सक्छ, फाइलहरू हेर्न, चोर्न वा च्यात्न सक्छ, सूचनाहरू तोडमोड गर्न सक्छ, र त्यो सर्भरलाई अरूमाथि आक्रमण गर्ने हतियार बनाउन पनि सक्छ । यो कमजोरी सार्वजनिक हुनासाथ विश्वभरका स्वचालित सफ्टवेयर ‘बट’ हरूले सुरक्षा अपडेट नगरिएका वेबसाइट खोज्दै इन्टरनेटमा लाखौँ पटक ढकढक्याउन थाले ।
स्थिति कति संवेदनशील थियो भने, अमेरिकी सुरक्षा निकायहरू एफबीआई (FBI) र एनएसए (NSA) ले स्पष्ट निर्देशन जारी गरे - यदि तुरुन्तै सफ्टवेयरमा नयाँ सुधार (प्याच) हाल्न सकिँदैन भने सर्भरलाई इन्टरनेटबाट तत्काल विच्छेद गर्नुहोस् । बेलायतको बीबीसी, फिनल्यान्ड सरकार, नेदरल्यान्ड्सको साइबर सुरक्षा निकाय र जापानका ठूला मन्त्रालय तथा बैंकहरूले समेत आफ्ना वेबसाइटहरू बन्द गरेर यही बाटो रोजे ।
सिंहदरबार र बैंकहरूको कदम: पैसा सुरक्षित, झ्याल मात्र बन्द!
यो अन्तर्राष्ट्रिय चेतावनीको घण्टी बज्नेबित्तिकै नेपाल सरकारको प्रधानमन्त्री तथा मन्त्रिपरिषद्को कार्यालय मातहत रहेको सफ्टवेयर विकास तथा सञ्चालन केन्द्रले आपत्कालीन प्राविधिक टोली गठन गर्यो र जोखिममा रहेका सरकारी साइटहरूको इन्टरनेट पहुँच विच्छेद गरिदियो । राष्ट्रिय साइबर सुरक्षा केन्द्रले तुरुन्तै सूचना जारी गर्दै सबै सरकारी निकाय, बैंक तथा निजी प्रतिष्ठानहरूलाई आफ्ना पिएचपी प्रणालीहरू सुरक्षित संस्करण (८.२.३५, ८.३.३६, ८.४.२७ वा ८.५.१२) मा अपग्रेड गर्न र नसकेसम्म सेवा बन्द राख्न निर्देशन दियो ।
यता नेपाल राष्ट्र बैंकले पनि बैंक, वित्तीय संस्था र भुक्तानी प्रदायकहरूलाई हाइ-अलर्टमा रहन र सम्भावित जोखिमयुक्त वेब पोर्टलहरू अस्थायी रूपमा बन्द गर्न आदेश जारी गर्यो । जसका कारण प्राइम कमर्सियल बैंकको अनलाइन खाता खोल्ने र मुद्दती निक्षेपको पोर्टल, ग्लोबल आइएमई बैंकको डिजिटल युनिभर्स सेवा, र नबिल बैंकको कार्ड तथा ऋणसम्बन्धी अनलाइन आवेदनहरू रोकिए ।
यहाँ आम नागरिकले प्रस्ट बुझ्नुपर्ने कुरा के हो भने - बन्द भएको बाहिरको सूचना झ्याल मात्रै हो, भित्रको ढुकुटी होइन ।
नागरिकको निक्षेप, खाताको मौज्दात र आन्तरिक बैंकिङ प्रणाली पूर्ण रूपमा सुरक्षित रह्यो । सडकका एटिएम (ATM) मेसिनहरू चलेकै थिए, पसलहरूमा पिओएस (POS) मेसिनबाट भुक्तानी भएकै थियो, र मोबाइल बैंकिङ एपमार्फत फोनपे वा नेपालपेको क्युआर (QR) कोड स्क्यान गरेर पैसा तिर्ने काम निर्वाध चलिरहेको थियो । केवल कम्प्युटरको ब्राउजरबाट खोलिने बाहिरी वेबसाइट, जहाँबाट ब्याजदर हेर्ने वा फाराम भरिन्थ्यो, ती मात्र सावधानीवश बन्द गरिएका थिए ।
दशैँको उल्झन र आगामी प्रशासनिक पाठ
सामान्य अवस्थामा सफ्टवेयरको नयाँ सुरक्षा प्याच जडान गर्न प्राविधिकहरूलाई ४ देखि ५ घण्टा मात्र लाग्छ । तर, हाम्रो सरकारी संयन्त्रमा यो काम केही दिन लम्बिनुको कारण विशुद्ध मानवीय र मौसमी थियो - बडादशैँको बिदा ।
दशैँको मुख्य दिनहरू परेकाले धेरैजसो सरकारी तथा निजी क्षेत्रका मुख्य आइटी इन्जिनियरहरू काठमाडौँ बाहिर गाउँघरमा थिए । सरकारी कार्यालयहरू बिदाका कारण भौतिक रूपमा बन्द रहेकाले लाइसेन्स, राहदानी वा राजस्व तिर्ने नागरिकको तत्कालको काममा ठूलो असर परेन, तर दूरदराजमा रहेका जनशक्तिले गर्दा कोड परीक्षण र प्रणाली पुनः सञ्चालनमा केही ढिलाइ अवश्य भयो ।
अर्को गम्भीर पक्ष भनेको हाम्रो पुरानो प्राविधिक संरचना (Technical Debt) हो । नयाँ प्रविधिमा बनेका वेबसाइटहरू त केही घण्टामै अपग्रेड भए, तर सरकारी सेवाका धेरै पुराना साइटहरू अझै पनि पिएचपी ८.१ वा त्योभन्दा पुराना, म्याद सकिएका संस्करणमा चलिरहेका छन् । त्यस्ता पुराना प्रणालीका लागि विश्व बजारमा सीधै मिल्ने तयारी मर्मत सामग्री (प्याच) पाइँदैन; तिनलाई जोगाउन इन्जिनियरहरूले पुरानो कोड नै फेरि पुनर्लेखन गर्नुपर्ने हुन्छ ।
यो घटनाले नेपालको समग्र डिजिटल प्रशासनलाई एउटा ठूलो पाठ सिकाएको छ । डिजिटल नेपाल भनेको कुनै सफ्टवेयर कम्पनीलाई ठेक्का दिएर वेबसाइट बनाउन लगाउने र वर्षौंसम्म फर्केर नहेर्ने विषय होइन । भौतिक पुल वा सडकजस्तै डिजिटल सडकलाई पनि निरन्तर मर्मत, नयाँ रङरोगन र २४ घण्टे निगरानी चाहिन्छ । दशैँको बेला वेबसाइटहरू बन्द देखिँदा केही असुविधा त भयो, तर खुला ढोका छाडेर राष्ट्रको संवेदनशील तथ्याङ्क लुटिन दिनुभन्दा समयमै सतर्क भएर सटर लगाउनु नै प्रशासनिक र सुरक्षाको दृष्टिले बुद्धिमानी कदम हो ।
सरकारी वेबसाइटहरू एकाएक किन हराए? - डिजिटल नेपालको सटर नै बन्द गर्न वाध्य पार्ने त्यो PHP को कमजोर ताला !
🌐 यो लेख धेरै भाषाहरूमा उपलब्ध छ। माथिको भाषा चयनकर्ता प्रयोग गरी स्विच गर्नुहोस्।