साइबर सुरक्षा सम्बन्धी अत्यन्त जरुरी सूचना

नेपाल सरकार स्वास््य तथा खाद्य स्वच्छता मन्त्रालय सूचना प्रववधि तथा इ-हेल्थ शाखा धसिंहदरवार, काठमाडौं धमधत: २०८३/०७/१२ साइबर सरु क्षा सम्बन्त्िी अत्यन्त्त जरुरी सूचना (PHP तथा Node.js Runtime मा देखखएका गम्भीर सरु क्षा कमजोरी तत्काल समािान गने सम्बन्त्िमा) प्रिानमन्त्री तथा मखन्त्रपररषद्को कायाालय अन्त्तगता को राविय साइबर सरु क्षा के न्त्र, धसिंहदरबारबाट धमधत २०८३/०७/०५ मा PHP Runtime (Apache mod_php, PHP-FPM, php-cgi, FrankenPHP, LiteSpeed आदद) तथा यससगँ सम्बखन्त्ित Ecosystem (WordPress, Joomla, Drupal, Magento आदद) मा देखखएका दईु गम्भीर सरु क्षा कमजोरी (CVE-2026-109618 र CVE-2026-109619) सम्बन्त्िी "अत्यन्त्त जरुरी साइबर सरु क्षा एडभाइजरी" तथा धमधत २०८३/०७/११ मा Node.js Runtime मा देखखएको Node2Shell (CVE-2026- 111497) लगायतका कमजोरी सम्बन्त्िी साइबर सरु क्षा एडभाइजरी (Advisory Number: NCSC-1146-115-05) जारी भएका छन ् । यी कमजोरीको दरुु पयोग भएमा सम्बखन्त्ित प्रणालीमा अनधिकृत पहँचु प्राप्त हनु ,े सेवा अवरुद्ध हनु े तथा प्रणालीमाधथ अनधिकृत धनयन्त्रण कायम हनु सक्न े जोखखम रहेको छ । स्वास््य सिंस्थाहरूमा सञ्चाधलत अस्पताल व्यवस्थापन सूचना प्रणाली (HMIS), इलेक्रोधनक स्वास््य अधभलेख (EMR/EHR), धबधलङ, प्रयोगशाला, अनलाइन वटकट/अपोइन्त्टमेन्त्ट प्रणाली तथा वबे साइट लगायतमा धबरामीको सिंवेदनशील व्यखिगत तथा स्वास््य सम्बन्त्िी वववरण रहने हदँु ा यी कमजोरीले स्वास््य सेवा प्रवाह तथा धबरामीको गोपनीयतामा गम्भीर असर पान ा सक्ने देखखन्त्छ । तसथ,ा यस मन्त्रालय मातहतका सम्पणू ा ववभाग, के न्त्र, अस्पताल तथा कायाला यहरू एविं ती धनकायका प्रणाली सञ्चालक तथा सेवा प्रदायक (Vendor) हरूले देहायबमोखजमका काय ा तत्काल सम्पन्न गरी कायाान्त्वयन प्रधतवेदन यस शाखामा पठाउनहु नु सम्बखन्त्ित सबैको जानकारीका लाधग यो सूचना प्रकाखशत गररएको छ । १. प्रणालीको पवहचान: आफ्नो धनकायमा सञ्चाधलत सबै सभरा , वेबसाइट तथा वबे एखललके सनमा PHP वा Node.js प्रयोग भए/नभएको र प्रयोग भएको Version यवकन गनहाु ोस।् इन्त्टरनेटबाट पहँचु हनु े (Internet- facing) प्रणालीलाई पवहलो प्राथधमकतामा राख्नहु ोस।् २. PHP अपग्रडे : PHP प्रयोग भएका प्रणालीलाई यथाशीघ्र देहायको Version वा सोभन्त्दा पधछको Version मा अपग्रडे गनहाु ोस:्हालको Version अपग्रडे गनपाु ने न्त्यूनतम Version PHP 8.5 8.5.12 वा सोभन्त्दा पधछको PHP 8.4 8.4.27 वा सोभन्त्दा पधछको PHP 8.3 8.3.36 वा सोभन्त्दा पधछको PHP 8.2 8.2.35 वा सोभन्त्दा पधछको PHP 8.1 वा सोभन्त्दा परु ानो सरु क्षा Patch जारी नहनु े भएकाले अधनवाय ा रूपमा Support भइरहेको सरु खक्षत नयाँ Version मा स्थानान्त्तरण गनहाु ोस ् ३. Node.js अपग्रडे : Node.js प्रयोग भएका प्रणालीलाई देहायबमोखजम अपग्रडे गनहाु ोस:् हालको Version गनपाु ने काय ा Node.js 26.x (Current LTS) 26.12.1 वा सोभन्त्दा पधछको Version मा अपग्रडे Node.js 24.x (LTS) 24.22.1 वा सोभन्त्दा पधछको Version मा अपग्रडे Node.js 22.x (LTS) 22.23.4 वा सोभन्त्दा पधछको Version मा अपग्रडे (यसको End-of-Life April 30, 2027 रहेकाले Node.js 24 वा 26 LTS मा स्थानान्त्तरणको योजना बनाउनहु ोस)् Node.js 25.x, 23.x, 20.x, 18.x वा परु ानो (End- सरु क्षा Patch जारी नहनु े भएकाले Compatibility of-Life) परीक्षण गरी Node.js 24 LTS वा 26 LTS मा स्थानान्त्तरण गनहाु ोस ् ४. सेवा पनु ः सरुु (Restart/Redeploy): Disk मा Patch गरेर मार पग्ु दैन । PHP का हकमा PHP-FPM, Apache तथा Queue Worker, Scheduler, Daemon लगायत लामो समय चल्ने सब ै Process पनु ः सरुु गनहाु ोस ् ।Node.js का हकमा Application, Container तथा Serverless Function नया ँ Runtime बाट Rebuild/Redeploy गरी परु ानो वा Bundled Node.js Binary प्रयोगमा नरहेको सधुनखित गनहाु ोस ् । Docker प्रयोग गने प्रणालीमा Base Image अद्यावधिक गरी Image पनु ः Build गनहाु ोस ् । ५. Patch नभएसम्म प्रणाली Online नगने: Patch/अपग्रडे सम्पन्न भई परीक्षण नगरेसम्म प्रभाववत Internet Facing प्रणालीलाई सावजा धनक इन्त्टरनटे मा (Online) सञ्चालन नगनहाु ोस ् । Patch सम्पन्न भएपधछ मार प्रणाली पनु ः Online गनहाु ोस ् । बीचको अवधिमा आन्त्तररक प्रयोग आवश्यक भएमा VPN, IP Allowlist वा Zero- Trust Gateway मार्ा त मार पहँचु ददनहु ोस ् । End-of-Life Version भएका प्रणालीलाई छुट्टै Network माIsolate गरी बावहर जान े (Egress) Traffic रोक्नहु ोस ् । WAF/Firewall Rule ले जोखखम के ही घटाए पधन पूण ा समािान नहनु े र अपग्रडे नै एकमार सरु खक्षत ववकल्प भएकाले यसलाई अस्थायी उपायका रूपमा मार धलनहु ोस ् । प्रणाली Offline रहेको अवधिमा धबरामी सेवा प्रवाहमा अवरोि नआउन े गरी वैकखल्पक व्यवस्था धमलाउनहु ोस ् । ६. तेस्रो पक्ष (Vendor) बाट सञ्चाधलत प्रणाली: सफ्टवेयर कम्पनी वा सेवा प्रदायकबाट ववकास तथा सञ्चालन भएका प्रणालीको हकमा सम्झौताबमोखजम धनजलाई तत्काल Patch गन ा लगाई अद्यावधिक Version सवहतको धलखखत पवुि धलनहु ोस ् । ७. परीक्षण तथा धनगरानी: अपग्रडे पधछ प्रणालीले Patch गररएको Version नै प्रयोग गरररहेको, सेवा सामान्त्य रूपमा सञ्चालन भइरहेको र Log मा रवुट नदेखखएको सधुनखित गनहाु ोस ् । सरु क्षा कमजोरीको दरुु पयोग भएको आशिंका भएमा सम्बखन्त्ित प्रणालीका Log तथा अन्त्य धडखजटल प्रमाण सरु खक्षत राखी प्रणाली Isolate गनहाु ोस,् Password/API Key लगायतका Credential पररवतना गनहाु ोस ् र तत्काल राविय साइबर सरु क्षा के न्त्र तथा यस शाखालाई जानकारी गराउनहु ोस ् । ८. कायान्त्ा वयन प्रधतवदे न: Patch/अपग्रडे सम्पन्न भएपधछ अनसु ूची-१ बमोखजमको ढाँचामा यस शाखाको इमेल ठेगाना [email protected] मा प्रधतवेदन पठाउनहु नु अनरु ोि छ । आफ्नो धनकायमा PHP वा Node.js प्रयोग नभएको अवस्थामा पधन सोही व्यहोरा खलु ाई प्रधतवेदन पठाउनहु नु अनरु ोि छ।अनसु ूची-१: कायाान्त्वयन प्रधतवेदनको ढाँचा धनकायको नाम: ........................ सम्पका व्यखि तथा र्ोन: ........................ URL/IP Runtime Patch क्र.सिं. प्रणाली/वे साधबकको अपग्रडे सञ्चालक कै वर्यत (PHP/No ठेगाना Version गरेको बसाइट de.js) पधछको (आफ्नै/V Version धमधत endor) को नाम १ २ ३ प्रमाखणत गने: ........................ पद: ........................ धमधत: ........................